Bonnes pratiques pour répondre à un incident de sécurité

Contactez votre intégrateur système et le personnel de sécurité approprié pour mener des enquêtes et des efforts de correction.

Déterminer la portée de l'attaque :

• Les informations de carte de crédit ont-elles été consultées ?
• Quelles informations ont été volées ?
• Combien de temps s'est-il écoulé depuis le compromis ?
• L'information a-t-elle été cryptée ?

Essayez de trouver le vecteur d'attaque pour déterminer quand et comment le site a été compromis, en examinant les fichiers journaux du serveur et les modifications de fichiers.

• Dans certains cas, il peut être conseillé d’effacer et de réinstaller tout ou, dans le cas de l’hébergement virtuel, de créer une nouvelle instance. Des logiciels malveillants pourraient être cachés dans un endroit insoupçonné, attendant de se rétablir.

• Supprimez tous les fichiers inutiles. Ensuite, réinstallez les fichiers requis à partir d’une source connue et propre. Par exemple, vous pouvez réinstaller à l’aide de fichiers de votre système de contrôle de version ou à partir des fichiers de distribution d’origine d’Adobe.

• Réinitialisez toutes les informations d’identification, y compris la base de données, l’accès aux fichiers, les intégrations de paiement et d’expédition, les services web et la connexion administrateur. Réinitialisez également toutes les clés d’intégration et d’API et tous les comptes qui peuvent être utilisés pour attaquer le système.

Journaux d’action de l’administrateur d’audit.

Le rapport Journaux d’actions affiche un enregistrement détaillé de toutes les actions d’administration activées pour la journalisation. Chaque enregistrement est horodaté et enregistre l’adresse IP et le nom de l’utilisateur. Le détail du journal comprend les données utilisateur de l’administrateur et les modifications associées qui ont été apportées pendant l’action.

Analysez les événements avec l’outil Observation pour Adobe Commerce.

L’outil Observation pour Adobe Commerce vous permet d’analyser des problèmes complexes afin d’identifier les causes profondes. Au lieu de suivre des données disparates, vous pouvez passer votre temps à mettre en corrélation des événements et des erreurs afin d’obtenir des informations plus approfondies sur les causes des goulets d’étranglement en termes de performances.

Utilisez l’onglet Sécurité de l’outil pour obtenir une vue claire des problèmes de sécurité potentiels afin d’identifier les causes premières et de garder les sites à un niveau optimal.

Analysez les journaux avec New Relic Logs

Les projets Adobe Commerce sur l’infrastructure cloud Pro incluent le service New Relic Logs. Le service est préconfiguré pour agréger toutes les données de journal de vos environnements d’évaluation et de production afin de les afficher dans un tableau de bord de gestion des journaux centralisé où vous pouvez rechercher et visualiser des données agrégées.

Pour d’autres projets Commerce, vous pouvez configurer et utiliser le service New Relic Logs pour effectuer les tâches suivantes :

• Utilisez des requêtes New Relic pour rechercher des données de journal agrégées.
• Visualisez les données de journal à l’aide de l’application New Relic Logs.

Vérifiez l’accès des utilisateurs administrateurs: supprimez les comptes anciens, inutilisés ou suspects et faites pivoter les mots de passe de tous les utilisateurs administrateurs.

Vérifiez les paramètres de sécurité d’administrateur : vérifiez que les paramètres de sécurité d’administrateur suivent les bonnes pratiques en matière de sécurité.

Vérifiez les comptes d’utilisateurs d’Adobe Commerce sur les projets d’infrastructure cloud: supprimez les comptes anciens, inutilisés ou suspects et faites pivoter les mots de passe de tous les utilisateurs administrateurs de projet cloud. Vérifiez que les paramètres de sécurité du compte sont correctement configurés.

Audit des clés SSH pour Adobe Commerce sur l’infrastructure cloud : vérifiez, supprimez et faites pivoter les clés SSH.

À partir de l’administrateur, passez en revue la configuration HTML Header and Footer à tous les niveaux de portée, y compris website et store view. Supprimez tout code JavaScript inconnu des scripts et des feuilles de style, ainsi que des paramètres d’HTML divers. Conservez uniquement le code reconnu tel que les fragments de code de suivi.

Comparez la base de code de production actuelle à la base de code stockée dans le système de contrôle de version (VCS).

Mettre en quarantaine tout code suspect.

S’assurer qu’il n’y a pas de restes de code suspect en redéployant le code base dans l’environnement de production.

Examinez les procédures stockées pour les modifications.

Vérifiez que la base de données n’est accessible que par l’instance Commerce.

Vérifiez que les logiciels malveillants ne sont plus présents en analysant le site à l’aide d’outils de numérisation de programmes malveillants accessibles au public.

Sécurisez le panneau d’administration en modifiant son nom et en vérifiant que les URL de site app/etc/local.xml et var ne sont pas accessibles au public.

Continuez à surveiller de près le site après l'incident, car de nombreux sites sont de nouveau compromis en quelques heures. Assurez-vous que la révision des journaux et la surveillance de l’intégrité des fichiers sont en cours afin de détecter rapidement tout signe de nouveau compromis.