Gamybos debesies paskyra (AWS / GCP / „Azure“) arba domenas sustabdytas: neatidėliotinas eskalavimas ir perkėlimas¶

Atsibunda tūkstančiai PagerDuty įspėjimų ir klientų skambučių, nes visa jūsų įmonės gamybinė svetainė, SaaS programa, API ir įmonės @yourcompany.com el. pašto adresai tuo pačiu metu dingo iš interneto (ne dėl kodo klaidos, o dėl to, kad jūsų domeno registratorius įdėjo clientHold sustabdymas pirminiame domene arba AWS, „Google Cloud“ (GCP) arba „Microsoft Azure“ laikinai sustabdė jūsų gamybinės debesies nuomininko veiklą) yra egzistencinė operatyvinė avarija. Kasdien pelningos įmonės patiria visišką elektros energijos tiekimo nutraukimą, nes pasibaigė buvusio darbuotojo įmonės kredito kortelės galiojimo laikas, automatizuotas apsaugos nuo sukčiavimo robotas klaidingai pažymėjo vartotojo įkeltą PDF failą S3 segmente, nepatvirtintas **ICANN WHOIS registruotojo el.

Jei jūsų sustabdytas domenas arba debesies infrastruktūra palaiko gyvybiškai svarbią sveikatos priežiūros telemetriją, skubios pagalbos išsiuntimo ar komunalinių paslaugų saugos sistemas, nedelsdami suaktyvinkite vietines vietines perkrovas ir praneškite pagalbos tarnyboms, jei nukentės visuomenės saugumas (skambinkite numeriu 911 Jungtinėse Amerikos Valstijose ir Kanadoje, 112 visoje Europos Sąjungoje, 999 Jungtinėje Karalystėje; žr. pagalbos numeriai). Apie lygiagrečias technines ir operacines verslo krizes žr veiklos tęstinumo planas ir atkūrimas nelaimės atveju, verslo išpirkos reikalaujančios programos ir serverio pažeidimas, ir pardavimo vietos (POS) nutraukimas ir interneto ryšys.

Padarykite tai dabar¶

1. Paleiskite 10 sekundžių whois ir dig +trace ieškoti iš terminalo, kad nustatytų, ar jūsų domeno vardas (clientHold) arba jūsų debesies prieglobos paskyra (AWS / GCP / Azure). Niekada negaiškite 45 minučių derindami „Kubernetes“ grupes arba debesies apkrovos balansavimo priemones, kai domeno registratorius užgrobė jūsų vardų serverius. Bėk whois yourdomain.com | grep -i "status": jei matai clientHold, serverHold, redemptionPeriod arba vardų serveriai pakeisti į sedoparking.com / verification-hold.suspended-domain.com, jūsų debesies serveriai vis dar veikia gerai, o nutrūkimas yra 100 procentų domenų registratoriaus lygiu.
2. ** Išjunkite avarinio įvykio ryšį @yourcompany.com nedelsdami el. paštu.** Kai pagrindinis domenas yra laikinai sustabdytas arba įtrauktas clientHold, visi įeinantys MX el @yourcompany.com atmetimai, įskaitant slaptažodžio nustatymo iš naujo el. laiškus, 2FA patvirtinimo kodus ir atsakymų bilietus iš domeno registratoriaus ir AWS patikimumo ir saugos. Nedelsdami patikrinkite, ar jūsų registratoriaus arba debesies šakninė paskyra susieta su @yourcompany.com pašto adresą; jei taip, pateikite už juostos ribų @gmail.com arba antrinio domeno adresas kiekviename palaikymo biliete ir telefono skambutyje.
3. Jei jūsų domenas įjungtas clientHold dėl nepatvirtinto ICANN WHOIS el. laiško (15 dienų taisyklė), spustelėkite patvirtinimo nuorodą arba pakeiskite registratoriaus el. pašto adresą registratoriaus portale. Pagal ICANN 2013 registratoriaus akreditavimo sutarties (RAA) „Whois“ tikslumo specifikaciją, jei registruotojo kontaktiniame el. pašto adrese nepavyksta spustelėti patvirtinimo nuorodos per **15 dienų, atnaujinus domeno domeno perkėlimą, arba susisiekite su domenu. Norėdami įdėti domeną clientHold (DNS parkavimas). Iš naujo išsiuntus ir spustelėjus tą vienintelę el. pašto nuorodą, pašalinama clientHold per 15-60 minučių.
4. Jei jūsų domeną sustabdė registratorius „Abuse / Trust & Safety“ dėl tariamo sukčiavimo, kenkėjiškų programų ar piktnaudžiavimo prekės ženklu, NEATsakykite tik į bendrą piktnaudžiavimo bilietų eilę. Standartinės el. pašto eilės „GoDaddy“, „Namecheap“, „Tucows/Enom“, „Cloudflare“ ir „Network Solutions“ trunka 24-72 valandas. Nedelsdami: (a) pašalinkite arba izoliuokite skunde nurodytą konkretų pažeidžiantį URL / naudotojo įkėlimą, (b) pateikite Piktnaudžiavimo išgydymo įrodymą + klaidingą teigiamą eskalavimą per registratoriaus tiesioginį telefono / pokalbio piktnaudžiavimo stalą ir © nedelsiant sukurkite Antrinį veidrodinį domeną (yourcompany.co arba yourcompany-app.com), kad klientai ir API klientai galėtų toliau dirbti, kol DNS platinamas.
5. Jei AWS, GCP arba Azure sustabdė jūsų gamybos debesies paskyrą dėl atsiskaitymo nesėkmės, sumokėkite pradelstą likutį naudodami antrinę banko kortelę ARBA pavedimu / ACH ir atidarykite pagrindinio lygio atsiskaitymo iš naujo suaktyvinimo bilietą. Ne neatidarykite visiškai naujos AWS / GCP paskyros ir nebandykite perkelti nepasiekiamas gamybos duomenų bazes iš debesies1 proc. RDS duomenų bazės ir S3 segmentai nepažeisti užšaldyti 30-90 dienų prieš ištrinant visam laikui. Sumokėjus pradelstą likutį Root Billing Console, automatiškai suaktyvinama iš naujo per 15 minučių iki 4 valandų.
6. Jei AWS, GCP arba Azure laikinai sustabdė jūsų paskyrą dėl „Priimtino naudojimo politikos (AUP) / Pasitikėjimo ir saugos / Kompromituoto IAM rakto“ pažeidimo, nedelsdami pakeiskite visus IAM raktus ir atsakykite į tikslų atvejo ID pagrindiniame palaikymo centre. „Cloud Trust & Safety“ komandos niekada neatšauks saugos sustabdymo, kol neįrodysite prieigos prie rakto, ištrynimo pažeidimo. EC2/Compute Engine kriptovaliutų gavybos egzempliorius, įgalinkite MFA pagrindiniame naudotoje ir pridėkite glaustą Pagrindinės priežasties ir ištaisymo ataskaitą prie oficialaus pasitikėjimo ir saugos palaikymo bylos.

Sprendimų medis: gamybos domeno arba debesies sustabdymo diagnostika ir sprendimas¶

flowchart TD
    Start["VISAS GAMYBOS NUTRAUKIMAS: svetainė, API ir įmonės el. paštas neveikia"] --> Diag["Vykdykite 10 sekundžių terminalo diagnostiką: whois yourdomain.com IR dig +trace yourdomain.com"]

    Diag -->|"WHOIS rodo „clientHold“, „serverHold“, „redemptionPeriod“ arba „parked NS“."| DomainCrisis{"Kas sukėlė domenų registratoriaus sustabdymą?"}

    DomainCrisis -->|"1. ICANN 15 dienų WHOIS el. pašto patvirtinimo klaida"| ICANNFix["Prisijunkite prie registratoriaus -> Iš naujo siųsti RAA patvirtinimo el. laišką (arba atnaujinkite registruotoją į veikiančią Gmail) -> Spustelėkite nuorodą -> Tiesiogiai per 15-60 min."]
    DomainCrisis -->|"2. Pasibaigęs domenas / nepavyko automatiškai atnaujinti kredito kortelės"| RenewFix["Sumokėkite atnaujinimo mokestį (plius 80-250 USD išpirkimo mokestį, jei pasibaigia daugiau nei 30 dienų) -> Atkurti originalius pasirinktinius vardų serverius -> Išvalyti viešąjį DNS"]
    DomainCrisis -->|"3. Piktnaudžiavimas registratoriumi / sukčiavimas / kenkėjiškų programų sustabdymas"| AbuseFix["1. Pašalinkite pažymėtą URL / failą serveryje 2. Pateikite klaidingą teigiamą / ištaisytą įrodymą su registratoriaus patikimumu ir sauga"]

    Diag -->|"Domeno DNS išsprendžiamas gerai, bet debesies IP / konsolė grąžina paskyrą laikinai sustabdytą"| CloudCrisis{"Kodėl AWS / GCP / Azure sustabdė debesies nuomininko veiklą?"}

    CloudCrisis -->|"1. Atsiskaitymo klaida (pasibaigęs kortelės galiojimo laikas / banko ACH atmetimas / limito atitikimas)"| CloudBill["1. Prisijunkite kaip pagrindinis naudotojas / atsiskaitymo administratorius 2. Pridėkite naują kredito kortelę arba atsarginę kortelę ir spustelėkite „Bandyti mokėjimą iš naujo“ 3. Atidarykite atsiskaitymo iš naujo suaktyvinimo palaikymo bylą"]
    CloudCrisis -->|"2. Sukompromituotas IAM raktas / nesąžiningos kriptovaliutos kasybos išlaidų šuolis"| CloudSec["1. Pasukite / ištrinkite nutekėjusius IAM prieigos raktus 2. Nutraukite nesąžiningus egzempliorius ir įgalinkite pagrindinę MFA 3. Atsakykite į pasitikėjimo ir saugos atvejį + prašymas atsisakyti išlaidų"]
    CloudCrisis -->|"3. Trečiosios šalies sukčiavimo / DMCA / AUP piktnaudžiavimo žyma S3 / VM"| CloudAUP["1. Atskirkite arba ištrinkite pažymėtą S3 objektą / VM IP 2. Atsakykite į AWS / GCP patikimumo ir saugos atvejo ID naudodami WAF / įkėlimo apsauginius turėklus"]

1 etapas: 3 minučių teismo ekspertizė (ar tai domeno registratorius, DNS ar debesų tiekėjas?)¶

Kai jūsų gamybos programa aptemsta, o darbuotojai šaukia, kad „viskas neveikia, net ir mūsų el. paštas“, nespėkite. Vykdykite šias tris komandas iš bet kurio nešiojamojo kompiuterio terminalo („macOS“, „Linux“ arba „Windows WSL“ / „PowerShell“), kad tiksliai nustatytumėte sluoksnį, kuris jus sustabdė.

1. 1 komanda: patikrinkite ICANN Extensible Provisioning Protocol (EPP) būsenos kodus¶

Vykdyti:

whois yourdomain.com | grep -E -i "Status|Name Server|Expiry"

2 etapas: domeno registratoriaus sustabdymo sprendimas (clientHold / Piktnaudžiavimas / ICANN užraktas)¶

Jei jūsų whois patikrinimas atskleidžia clientHold arba paliktus vardų serverius, sekite tikslią toliau pateiktą atkūrimo kelią.

A takelis: ICANN WHOIS el. pašto patvirtinimo sustabdymo panaikinimas (15 minučių pataisymas)¶

Pagal ICANN 2013 RAA Whois Accuracy Program kiekvieną kartą, kai registruojate naują domeną, perkeliate domeną arba pakeičiate Registruotojo vardą, pavardę ar el. pašto adresą, registratorius išsiunčia privalomą el. laišką pavadinimu **"Reikalingas jūsų domenui. 1. Prisijunkite prie domeno registratoriaus valdymo skydelio. Ryškiai raudonoje reklamjuostėje ekrano viršuje bus nurodyta: "Šis domenas laikinai sustabdytas, kol bus patvirtintas ICANN Whois kontaktas." 2. The Catch-22 Trap: Jei registruotojo el. pašto adresas yra faile admin@yourdomain.com, negalite gauti patvirtinimo el. laiško, nes yourdomain.com šiuo metu yra sustabdytas. 3. Pataisymas: registratoriaus domeno kontaktų / WHOIS nustatymuose pakeiskite Registruotojo el. pašto adresą į veikiantį išorinį adresą (pvz., @gmail.com adresą), išsaugokite pakeitimą, spustelėkite „Iš naujo siųsti patvirtinimo el. laišką“ atidarykite „Gmail“ gautuosius ir spustelėkite patvirtinimo nuorodą. 4. Registratoriaus automatizuota API iš karto išsiunčia EPP update komandos pašalinimas clientHold iš Verisign/Registry šaknies zonos per 5-20 minučių.

B takelis: registratoriaus sustabdymo „Piktnaudžiavimas / sukčiavimas / kenkėjiška programa / AUP“ panaikinimas¶

Šiandien pagrindiniai domenų registratoriai („Namecheap“, „GoDaddy“, „Tucows/Enom/OpenSRS“, „Porkbun“, „Cloudflare Registrar“, „Squarespace Domains“) prenumeruoja automatinius grėsmių žvalgybos kanalus („Netcraft“, „PhishTank“, „Spamhaus“, „Google Safe Browsing“, „AbuseIPDB“). Jei įsilaužėlis pažeidžia „WordPress“ papildinį pamirštame rinkodaros padomenyje (promo.yourdomain.com) arba jei vartotojas įkelia netikrą prisijungimo PDF failą į jūsų SaaS programos naudotojo turinio segmentą (cdn.yourdomain.com/uploads/invoice.pdf), automatizuotas robotas siunčia 1 pakopos sukčiavimo panaikinimo pranešimą jūsų registratoriui, o ofšorinis atitikties rangovas pateikia jūsų visą šakninį domeną (yourdomain.com) įjungta clientHold.

Žingsnis po žingsnio eskalavimas clientHold pakeliamas valandomis, o ne dienomis¶

1. Raskite tikslų piktnaudžiavimo bilieto ID ir pažymėtą URL:
2. Patikrinkite el. pašto dėžutę, susietą su registratoriaus paskyra (ir WHOIS piktnaudžiavimo kontaktiniu asmeniu), ar nėra el. laiškų iš abuse@, legal@, arba compliance@[registrar].com.
3. Ieškokite tikslaus URL arba IP adreso, nurodyto piktnaudžiavimo ataskaitoje.
4. ** Nedelsdami ištaisykite arba izoliuokite pažymėtą šaltinį:**
5. Net jei skundas klaidingai teigiamas (pavyzdžiui, jūsų teisėtas įmonės vienkartinio prisijungimo [SSO] prisijungimo puslapis dirbtinio intelekto skaitytuvo buvo klaidingai pažymėtas kaip „Microsoft 365 sukčiavimo puslapis“), ** laikinai išjunkite arba įdėkite IP leidžiamąjį sąrašą prieš konkretų pažymėtą kelią**, jei įmanoma, arba užfiksuokite ekrano kopijas, įrodančias, kad tai jūsų teisėtas darbuotojas.
6. Jei naudotojo įkeltas failas arba pažeistas padomenis buvo tikrai kenkėjiškas, nedelsdami ištrinkite failą / sudėtinį rodinį, sustabdykite piktnaudžiaujančio naudotojo paskyrą ir užblokuokite kelią „Cloudflare“ / WAF krašte.
7. ** Siųsti atsakymą „Vykdomasis piktnaudžiavimo gydymas ir kritinės infrastruktūros eskalavimas“:**
8. Atsakykite tiesiai į registratoriaus piktnaudžiavimo bilietą (išsaugodami tikslią [Ticket #...] temos žyma, kad jų analizatorius jį nukreiptų) IR paskambinkite registratoriaus pagalbos telefonu 24 valandas per parą, 7 dienas per savaitę ir paprašykite prižiūrėtojo pažymėti piktnaudžiavimo bilietą kaip „Production SaaS / klaidingas teigiamas: taisymas baigtas“.
9. Į savo rašytinį atsakymą įtraukite šiuos 4 privalomus įrodymus:
   1. Nedelsiant pašalinimo patvirtinimas: "Praneštas URL ([exact URL]) buvo neteisėtas trečiosios šalies įkėlimas / pažeistas rinkodaros išteklius ir buvo visam laikui ištrintas [Timestamp UTC]. Dabar jis grąžina HTTP 404 Not Found / 410 Gone“
   2. Įdiegtos sisteminės prevencijos apsaugos priemonės: „Įdiegėme žiniatinklio programų ugniasienės (WAF) taisykles, išjungėme neautentifikuotą viešųjų failų įkėlimą ir pakeitėme visus serverio kredencialus, kad išvengtume pasikartojimo.“
   3. Pranešimas apie neproporcingą poveikį verslui: „Šakninės viršūnės domeno pateikimas yourdomain.com įjungta clientHold panaikino gamybos infrastruktūrą ir įmonės el [Number] teisėti verslo klientai/darbuotojai.“
   4. ** Prašymas nedelsiant pašalinti clientHold:** "Prašome pašalinti EPP clientHold būsena įjungta yourdomain.com nedelsiant. Įsipareigojame atsakyti į visus būsimus pranešimus apie piktnaudžiavimą per 2 valandas nereikalaujant šakninio domeno sulaikymo."
10. Išvalykite „Neigiamas talpyklos (NXDOMAIN)“ TTL viešuosiuose DNS sprendiniuose, kai bus panaikintas:
11. Tą akimirką, kai registratorius pašalina clientHold, jūsų domenas vėl yra .com šakniniai serveriai, bet „Google“ viešasis DNS (8.8.8.8), Cloudflare DNS (1.1.1.1), o OpenDNS gali toliau kaupti mirusiuosius NXDOMAIN arba pastatytas atsakymas 15-60 minučių.
12. Nedelsdami apsilankykite nemokamuose žiniatinklio talpyklos plovimo įrankiuose adresu Google Public DNS Flush Cache (developers.google.com/speed/public-dns/cache) ir Cloudflare 1.1.1.1 Išvalyti talpyklą (one.one.one.one/purge-cache/), tipas yourdomain.com (ir A, AAAA, NS, MX) ir spustelėkite Išplauti talpyklą, kad pasauliniai naudotojai vėl prisijungtų per 60 sekundžių.

3 etapas: Gamybos debesies paskyros sustabdymo sprendimas (AWS, Google Cloud, Microsoft Azure)¶

Kai „Amazon Web Services“ (AWS), „Google Cloud Platform“ (GCP) arba „Microsoft Azure“ sustabdo debesies paskyrą arba projektą, atkūrimo procedūra visiškai priklauso nuo to, ar sustabdymą sukėlė Atsiskaitymo / mokėjimo nesėkmė ir Pasitikėjimas ir sauga / pažeisti kredencialai.

Debesų paslaugų teikėjo sustabdymo gyvavimo ciklų ir pakartotinio aktyvinimo langų palyginimas¶

Išsamus 1 protokolas: atsigavimas po atsiskaitymo debesyje sustabdymo (kai kortelė atsisakoma arba laidas užstringa)¶

Kodėl gerai finansuojamoms įmonėms sustabdomas atsiskaitymas? 1. Registruota kredito kortelė pasiekė mėnesio įmonės išlaidų viršutinę ribą (pvz., 25 000 USD limitą) dėl mėnesio pabaigos automatinio mastelio padidėjimo arba metinio rezervuoto egzemplioriaus atnaujinimo; 2. Kortelė priklausė pasišalinusiam steigėjui arba inžinerijos viceprezidentui, kurio kortelę atšaukė HR/Finance; arba 3. Banko automatizuota sukčiavimo sistema užblokavo didelį AWS/GCP mokestį kaip „įtartiną kortelės nebuvimo veiklą“.

Žingsnis po žingsnio 30 minučių atsiskaitymo iš naujo suaktyvinimo kontrolinis sąrašas¶

1. Prisijunkite tik kaip pagrindinės paskyros savininkas arba atsiskaitymo administratorius: Standartiniai IAM kūrėjo / administratoriaus vaidmenys dažnai negali pasiekti užrakinto atsiskaitymo iš naujo suaktyvinimo ekrano, kai paskyra laikinai sustabdoma. Naudokite AWS pagrindinio vartotojo el. pašto adresą (arba GSP atsiskaitymo paskyros administratorių / „Azure“ paskyros administratorių).
2. Prieš skambindami į banką toje pačioje atmestoje kortelėje tiesiog spustelėkite „Bandyti dar kartą“: Jei banko sukčiavimo sistema užblokavo 14 000 USD AWS mokestį, tris kartus spustelėjus „Bandyti iš naujo“ AWS pulte suaktyvins dar tris griežtus atmetimus ir užrakins mokėjimo metodą. Arba:
3. Įveskite visiškai kitą įmonės kredito ar debeto kortelę (padalykite mokėjimą į dvi korteles, jei teikėjo konsolė leidžia atlikti dalinius mokėjimus); ARBA
4. Paskambinkite telefono numeriu, esančiu įmonės kortelės gale pirmiausia, paprašykite banko komercinių sukčiavimo atvejų panaikinti prekybininko bloką. Amazon Web Services / Google Cloud / Microsoft Azure ir padidinkite vienos operacijos limitą 24 valandoms ir tik tada spustelėkite Bandyti mokėjimą iš naujo debesies konsolėje.
5. Jei jūsų įmonė apmoka sąskaita faktūra pavedimu / ACH („Net-30 Enterprise Accounts“) ir sąskaita faktūra buvo apmokėta daugiau nei 60 dienų:
6. Išsiųskite Same-Day Fedwire (ne 3 dienų ACH), kad gautumėte visą pradelstą likutį, atsisiųskite oficialų banko Pavedimo patvirtinimo kvitą, kuriame nurodytas IMAD / OMAD federalinis nuorodos numeris, ir pridėkite tą PDF tiesiogiai prie skubios Atsiskaitymo ir sąskaitos palaikymo bylos, prašydami nedelsiant pateikti vadovą Pažada-pažadėti. iždo skyrius sutaiko laidą.
7. Patikrinkite egzemplioriaus būseną po pakartotinio suaktyvinimo („Sustabdytos VM ir dinaminio IP spąstai“):
8. Kai AWS, GCP arba Azure iš naujo suaktyvina laikinai sustabdytą paskyrą, kai kurios sustabdytos virtualios mašinos (ypač Azure Deallocated VM ir GCP Compute Engine egzemplioriai) NEPASIkrauna automatiškai atsarginės kopijos ir bet kuris įrenginys, kuris nenaudojo statinio elastingo IP / rezervuoto statinio IP, pateiks viešąjį prekės ženklo IP adresą.
9. Nedelsdami patikrinkite kiekvieną EC2 / Compute Engine / Azure VM regioną, paleiskite visus sustabdytus egzempliorius, patikrinkite, ar jūsų elastiniai apkrovos balansai ir RDS duomenų bazės Availableir patikrinkite, ar jūsų DNS A įrašai vis tiek atitinka jūsų aktyvius viešuosius IP.

Išsamus 2 protokolas: atkūrimas iš debesies saugos / pažeisto rakto / pasitikėjimo ir saugos sustabdymas¶

Jei kūrėjas netyčia įvykdo .env failą, kuriame yra AWS_ACCESS_KEY_ID ir AWS_SECRET_ACCESS_KEY (arba GCP paslaugos paskyros JSON raktą) į viešą „GitHub“ saugyklą, automatiniai įsilaužėlių robotai iškrauna tą raktą per 1,5 sekundės ir sukuria 200 milžiniškų GPU egzempliorių (p4d.24xlarge) tokiuose regionuose kaip ap-east-1 arba sa-east-1 išgauti kriptovaliutą arba pradėti DDoS atakas. Per kelias valandas AWS/GCP Trust & Safety aptinka anomaliją ir paskyroje įveda Apsauginį karantiną / paskyros sustabdymą.

Kaip pasiekti, kad AWS / GCP / Azure Trust & Safety panaikintų saugos karantiną per mažiau nei 4 valandas¶

Debesų saugos komandos laikosi griežto kontrolinio sąrašo: jos atsisakys iš naujo suaktyvinti jūsų paskyrą, kol neįrodysite, kad ją iš naujo suaktyvinus, ataka iš karto nebus atnaujinta. 1. Tikrinti kiekvieną regioną (įskaitant išjungtus / pasirinktus regionus) ir ištrinkite kompromiso vektorių: - Prisijunkite prie IAM konsolės: Išjunkite ir ištrinkite pažeistą IAM prieigos raktą (ir bet kokius nepažįstamus užpakalinių IAM vartotojus, vaidmenis ar tapatybės teikėjus, kuriuos užpuolikas sukūrė, kad išlaikytų atkaklumą). - Įgalinkite Aparatinę arba virtualią MFA pagrindiniam naudotojui ir visiems IAM naudotojams. - Atidarykite AWS išteklių naršyklę / žymų redagavimo priemonę / EC2 visuotinį vaizdą (tikrinkite visus 30 ir daugiau pasaulio regionų, ne tik us-east-1) ir Nutraukti visus neteisėtus EC2 egzempliorius, automatinio mastelio keitimo grupes, EKS grupes ir Lambda funkcijas, kurias sukūrė užpuolikas. 2. Pateikite 4 dalių saugumo ištaisymo ataskaitą oficialioje palaikymo byloje: - Debesijos konsolėje atidarykite Pagalbos centrą ir atsakykite į atidarytą Paskyros saugos / Pasitikėjimo ir saugos atvejį su: - 1. Pagrindinė priežastis: "IAM vartotojas [Name] raktas AKIA... buvo netyčia atskleistas kodų saugykloje adresu [Time]“ - 2. Kredencialų atšaukimas: "Prieigos raktas AKIA... ir nesąžiningas IAM vartotojas [Name] buvo visam laikui ištrinti, o Root / IAM MFA yra vykdoma." - 3. Išteklių valymas visuose regionuose: "Visi neleistini EC2 egzemplioriai regionuose [List Regions] buvo nutrauktos." - 4. Užklausa nedelsiant atblokuoti gamybą + atsiskaitymo dėl pažeisto rakto koregavimo užklausa: „Mūsų teisėtas gamybos darbo krūvis [Your Region] tarnauja [Number] klientų ir šiuo metu yra neprisijungęs. Nedelsdami panaikinkite paskyros sustabdymą ir prašome koreguoti atsiskaitymą / kreditą $[Amount] nesąžiningai apskaičiavus mokesčius, patirtus neteisėto įsibrovimo metu." - (Patarimas: AWS ir GCP reguliariai suteikia vienkartinį 100 % nemokamo kredito atleidimą už dešimtis tūkstančių dolerių apgaulingų kriptovaliutų gavybos mokesčių, kai tik užpildysite oficialų pažeistos paskyros taisymo kontrolinį sąrašą.)

4 etapas: avarinio „Break-Glass“ antrinio domeno perjungimo aktyvinimas per 30 minučių¶

Jei jūsų pagrindinis domenas (yourcompany.com) yra užrakintas registre serverHold arba sudėtingas registratoriaus teisinis ginčas, kurio sprendimas užtruks nuo 48 iki 72 valandų, nesėdėkite neprisijungę tris dienas. Kiekviena technologijų ir elektroninės prekybos įmonė gali atkurti klientų prieigą ir darbuotojų el. paštą per 30-45 minutes, naudodama avarinio antrinio veidrodžio domeną (yourcompany.co, yourcompany.io, arba getyourcompany.com).

30 minučių avarinis antrinio domeno perjungimo kontrolinis sąrašas¶

1. Užregistruokite (arba suaktyvinkite) antrinį domeną pas atskirą registratorių: niekada neregistruokite atsarginio domeno tame pačiame registratoriuje, kuris ką tik sustabdė jūsų pagrindinį domeną. Registruotis yourcompany-app.com arba yourcompany.co nepriklausomame registratoriuje (pvz., „Cloudflare Registrar“, „Porkbun“ arba „AWS Route 53“), naudojant atskirą įmonės kortelę ir patvirtintą el.
2. Importuokite savo zonos failą į „Cloudflare“ arba „Route 53“: Eksportuokite (arba nukopijuokite) savo DNS A, AAAA, CNAME, ir TXT įrašus iš pirminio DNS skydelio į naujojo domeno zonos failą app.yourcompany.co ir api.yourcompany.co nurodykite lygiai tuos pačius gamybos apkrovos balansavimo įrenginius.
3. Atnaujinkite savo apkrovos balansavimo priemonę / įėjimo TLS sertifikatą (SAN priedas): Pridėti *.yourcompany.co ir yourcompany.co kaip Subject Alternative Names (SAN) savo AWS ACM / Let's Encrypt / Cloudflare edge SSL sertifikate ir pridėkite naują pagrindinio kompiuterio pavadinimą prie savo Nginx / Envoy / ALB pagrindinio kompiuterio antraštės maršruto parinkimo taisyklių ir CORS leidžiamųjų sąrašų.
4. Pridėkite antrinį domeną kaip patvirtintą domeno slapyvardį „Google Workspace“ arba „Microsoft 365“:
5. „Google Workspace“ administratoriaus pulte (admin.google.com -> Paskyra -> Domenai -> Tvarkyti domenus -> Pridėti domeno slapyvardį) arba Microsoft 365 administravimo centras (Settings -> Domains -> Add Domain), pridėkite yourcompany.co ir įklijuokite patvirtinimą TXT ir MX įrašus į naujojo domeno DNS.
6. Per 15 minučių kiekvienas darbuotojas automatiškai gauna el firstname@yourcompany.co esančiame gautuosiuose be jokio pašto dėžutės perkėlimo.

5 etapas: sustiprinkite savo domeno ir debesies paskyras, kad tai niekada nepasikartotų¶

Kai gamyba vėl pradės veikti, per 48 valandas įgyvendinkite šias penkias struktūrines apsaugos priemones:

1. ** Įgyvendinti registro užraktą (serverDeleteProhibited / serverUpdateProhibited / serverTransferProhibited):** Jei naudojate itin svarbius gamybos domenus, naujovinkite savo domeną į Registry Lock (siūlo „Cloudflare“, „MarkMonitor“, CSC Corporate Domains ir pagrindiniai registratoriai), kuriai reikalingas kelių asmenų kriptografinis patvirtinimas už juostos ribų, kad būtų galima pakeisti vardų serverius arba domeno būsenas.
2. Niekada nepriimkite naudotojų sukurto turinio (NGC) ar rinkodaros nuorodų savo gamybos Apex domene: visada pateikite naudotojų įkėlimus, klientų PDF ir siunčiamų el. pašto stebėjimo nuorodas iš visiškai atskiro smėlio dėžės domeno (pvz., yourcompany-usercontent.com vietoj yourcompany.com). Tokiu būdu, jei vartotojas įkelia kenkėjišką failą, kuris suaktyvina automatinį registratoriaus piktnaudžiavimo robotą, bus pažymėtas tik vienkartinio turinio domenas, o ne jūsų pagrindinė gamybinė programa ar įmonės el.
3. Konfigūruokite dvigubo mokėjimo metodus + ACH atsarginę kopiją + atsiskaitymo iš debesies įspėjimus: pridėkite bent dvi nepriklausomas kredito korteles iš dviejų skirtingų bankų ir ACH tiesioginio debeto banko sąskaitą AWS, GCP, Azure ir domeno registratoriuje ir įgalinkite **AWS mokesčių anomalijų aptikimą / kasdienės išlaidų aptikimą / GCP biudžeto išlaidų puslapį. daugiau nei 25 proc.
4. Nustatykite vaidmenimis pagrįstą registratorių ir „Cloud Root“ el. paštą nepriklausomame antriniame domene: Niekada nenustatykite admin@yourcompany.com kaip atkūrimo el. pašto adresas yourcompany.com. Naudokite specialią, aparatinės įrangos „YubiKey“ apsaugotą pašto dėžutę nepriklausomame administraciniame domene arba įmonės tapatybės nuomininke, kad visada galėtumėte gauti patvirtinimo ir palaikymo el. laiškus, net kai jūsų pagrindinis domenas neveikia.

Regioniniai pagalbos numeriai ir agentūrų protokolai¶

Dažnai užduodami klausimai¶

Jei AWS, „Google Cloud“ arba „Azure“ sustabdo mūsų paskyrą dėl nemokėjimo ar piktnaudžiavimo, ar mūsų gamybinės duomenų bazės ir S3 segmentai nedelsiant ištrinami?¶

Ne. Nei AWS, nei GCP, nei „Microsoft Azure“ neištrina jūsų duomenų 1 sustabdymo dieną. Kai paskyra laikinai sustabdoma, jūsų virtualios mašinos sustabdomos, o vieša prieiga prie saugyklos segmentų ir apkrovos balansavimo priemonių blokuojama, **tačiau 100 procentų jūsų EBS kiekių, RDS duomenų bazių, S3 objektų ir momentinių vaizdų saugomi šaltoje saugykloje mažiausiai 30 dienų** (o AWS atveju paskyras galima atkurti per papildomas 60 dienų po uždarymo lango, iš viso iki 9 dienų). Sumokėjus pradelstą likutį arba išsprendus „Trust & Safety“ bilietą, tiksli gamybos aplinka bus atkurta nepažeista ir nereikia atkurti iš atsarginių kopijų.

Kodėl mūsų domenas staiga nustojo spręsti su a clientHold būseną, kai mūsų domeno atnaujinimas neįvyks dar 8 mėnesius?¶

Kai apmokėtas domenas, kurio galiojimo laikas toli gražu nėra pasibaigęs, staiga patenka **`clientHold`**, yra tik dvi priežastys: (1) **ICANN 15 dienų WHOIS kontakto patvirtinimo klaida** (kažkas atnaujino registruotojo vardą arba el. pašto adresą arba perdavė domeną ir per 15 dienų nespustelėjo privalomos patvirtinimo nuorodos, išsiųstos Registrantui per 15 dienų), arba (2) **Piktnaudžiavimas registruotoju / sukčiavimas / jūsų automatinis jūsų domeno grėsmė.** registratoriaus atitikties komanda). Nedelsdami prisijunkite prie savo registratoriaus portalo: ICANN patvirtinimo sulaikymas panaikinamas per 15 minučių nuo pakartotinai išsiųstos nuorodos spustelėjimo, o sulaikant piktnaudžiavimą reikia atsakyti į registratoriaus atitikties kvitą.

Kodėl mūsų @ourcompany.com el. laiškas taip pat atšokęs, kai tik mūsų svetainėje buvo pranešta apie klaidingai teigiamą sukčiavimo nuorodą?¶

Kai domeno registratorius pateikia EPP**`clientHold`** jūsų šakniniame domene (`ourcompany.com`), registras pašalina **viso domeno delegavimą (visą `NS` įrašai)** iš pasaulinio `.com` šakniniai serveriai. Kadangi pasaulio pašto serveriai nebegali ieškoti jūsų domeno `NS` arba `MX` įrašai, kiekvienas gaunamas el `@ourcompany.com` nepavyksta dėl DNS paieškos klaidos, net jei jūsų el. paštas yra atskirai priglobtas „Google Workspace“ arba „Microsoft 365“. Štai kodėl visada turite susisiekti su registratoriumi iš už juostos ribų `@gmail.com` arba antrinio domeno adresas per a `clientHold` nutrūkimas.

Kaip pasiekti žmogų iš AWS, GCP ar domeno registratoriaus, jei turime tik nemokamą „Basic“ palaikymo pakopą?¶

Net 0 USD pagrindinio palaikymo pakopoje **AWS, GCP ir Azure leidžia laikinai sustabdytų paskyrų root naudotojams nemokamai atidaryti aukšto prioriteto „Paskyros ir atsiskaitymo“ palaikymo atvejus**, o AWS palaikymo centre kaip susisiekimo būdą galite pasirinkti **„Telefonas“**, kad AWS paskyros ir atsiskaitymo specialistas paskambintų tiesiai į jūsų telefoną per kelias minutes. Jei sprendžiate neatidėliotiną gamybos nutraukimą, taip pat galite atnaujinti savo AWS paskyrą vietoje, pulte, į **Verslo palaikymo (mažiausiai 100 USD per mėnesį)** arba **Enterprise On-Ramp** pakopą, kad atrakintumėte tiesioginį 15 minučių 24 valandas per parą, 7 dienas per savaitę, tiesioginį techninio inžinieriaus pokalbį ir eskalavimą telefonu.

Ką daryti, jei nesąžiningas darbuotojas ar buvęs kūrėjas turi domeno registratoriaus prisijungimo duomenis arba AWS Root paskyrą ir atsisako jį perduoti?¶

Jei buvęs darbuotojas, laisvai samdoma agentūra ar nesąžiningas vienas iš įkūrėjų kontroliuoja registratoriaus paskyrą arba debesies šakninius kredencialus ir užblokuoja įmonę, traktuokite tai kaip neatidėliotiną įmonės valdymo ir viešai neatskleistos informacijos blokavimo krizę. Kiekvienas pagrindinis domenų registratorius ir debesijos paslaugų teikėjas turi oficialų **Įmonės paskyros atkūrimo / registruotojo ginčų procesą**, kuriame juridinis verslo subjektas gali pateikti savo **Įstatus, IRS EIN laišką, įmonės prekės ženklo registraciją ir istorines banko / kredito kortelės atsiskaitymo ataskaitas**, įrodančias, kad įmonė sumokėjo už domeną arba debesies nuomininką, kad priverstinai perduotų administracinę valdymą įgaliotam įmonės pareigūnui. Peržiūrėkite mūsų vadovą [partnerystės ginčas, nesąžiningas vienas iš įkūrėjų banko nutekėjimas ir įmonių lokautas](partnership-dispute-rogue-cofounder-bank-drain-and-corporate-lockout.md).

Kiek laiko užtrunka, kad DNS sugrįžtų visame pasaulyje, kai registratorius pašalins clientHold?¶

Kai registratorius pateiks EPP komandą pašalinti `clientHold`, aukščiausio lygio registras (pvz., Verisign for `.com`) atnaujina šakninės zonos serverius per **3-15 minučių**. Dauguma interneto naudotojų vėl galės pasiekti jūsų svetainę per 15-30 minučių, o jūs galite tai pagreitinti iki **iki 2 minučių** didžiajai daliai pasaulinio srauto, rankiniu būdu išvalydami domeno neigiamą talpyklos įrašą viešose žiniatinklio formose, skirtose **Google Public DNS (`8.8.8.8`)** ir **Cloudflare DNS (`1.1.1.1`)**.

Susiję vadovai¶

• Veiklos tęstinumo planas ir atkūrimas nelaimės atveju
• Verslo išpirkos reikalaujančios programos ir serverio pažeidimas
• Ginčas dėl partnerystės, nesąžiningas vieno įkūrėjo banko nutekėjimas ir įmonių lokautas
• Pardavimo vietos (POS) nutraukimas, interneto nutraukimas ir kredito kortelių apdorojimas neprisijungus

Šaltiniai ir oficialios rekomendacijos¶

• Interneto korporacija, skirta priskirtiems vardams ir numeriams (ICANN): 2013 m. registratoriaus akreditavimo sutartis (RAA) „Whois“ tikslumo programos specifikacija (15 dienų patvirtinimo įgaliojimas), išplėstinio aprūpinimo protokolo (EPP) būsenos kodai (clientHold, serverHold, redemptionPeriod) ir pasibaigusios registracijos atkūrimo politika (ERRP).
• „Amazon Web Services“ (AWS) oficiali dokumentacija: Paskyros sustabdymo, atkūrimo ir duomenų saugojimo po uždarymo gyvavimo ciklas (30 dienų sustabdymas / 60 dienų langas po uždarymo) ir AWS pažeistas IAM kredencialų taisymo protokolas.
• „Google Cloud Platform“ (GCP) ir „Microsoft Azure“ oficialūs dokumentai: * Atsiskaitymo iš debesies pažeidimo atkūrimas, projekto pasitikėjimo ir saugos apeliacijų darbo eigos ir paskirstytos „Azure“ prenumeratos pakartotinio aktyvinimo procedūros*.
• Kibernetinio saugumo ir infrastruktūros saugumo agentūra (CISA, Jungtinės Valstijos) ir Nacionalinis kibernetinio saugumo centras (NCSC, Jungtinė Karalystė): Debesų saugos techninės nuorodos architektūra, pagrindinės paskyros MFA vykdymas ir domenų registro užrakto geriausia praktika.
• Nacionalinis standartų ir technologijos institutas (NIST, Jungtinės Amerikos Valstijos): NIST SP 800-61 Rev. 2 (kompiuterių saugos incidentų valdymo vadovas) ir NIST SP 800-53 (DNS vientisumo ir debesies prieigos kontrolės standartai).