もしものとき、元に戻す。
そして、被害を広げない。

Webサイトへの侵入は、異常に気づいた日に起きたとは限りません。攻撃者は、あとから再び入るための裏口（バックドア）を目立たない場所に置き、数週間から数か月たってから改ざんや迷惑メールの送信を始めることがあります。

この場合、手元のバックアップがすべて侵入された後のものという可能性があります。バックアップの保存期間には限りがあるため、侵入前の正常な時点がもう残っていないこともあります。

ほかにも、復旧の結果を左右する要因があります。

サイトの見た目と動作を元に戻すことと、事故による影響をすべて取り消すことは、別の問題です。

ファイルやデータベースは正常な時点へ戻せても、すでに外へ出ていったものや、他社が下した判断は、サイトを戻しても元には戻りません。また、正常な時点まで戻すということは、その時点より後の正当な更新もいったん失われるということです。

「元に戻す」が何を意味するのかを事前に共有しておくことが、顧客への説明と、復旧後の行き違いを防ぐことにつながります。

監視が得意なのは、「何かが変わった」ことに気づくことです。しかし、その変化が正当な更新なのか不正な改ざんなのか、いつ、どこから入られたのかまでは、変化そのものからは判断できません。

また、一般的な共用レンタルサーバーでは、ファイルの変化を瞬時に捉える仕組みが使えないことが多く、一定の間隔で確認する方式が基本になります。確認と確認の間に起きたことは、次の確認まで分かりません。

監視は異常に早く気づくための仕組みであり、侵入そのものを止めるものでも、原因をすべて明らかにするものでもありません。

一般的な共用レンタルサーバーでは、同じアカウントに入っているサイトは、サーバーから見るとすべて同じ利用者として動いています。たとえるなら、10の部屋が1本の合鍵で開く状態です。

そのため、1つのサイトから入り込んだ不正なプログラムは、同じアカウント内のほかのサイトのファイルも読み書きできてしまいます。1サイトだけを元に戻しても、ほかのサイトに裏口が残っていれば、そこから再び侵入されます。

「異常が見つからない」ことは「安全である」ことの証明にはなりません。調査の結果、アカウント全体に影響が及んだ可能性があると判断した場合は、アカウント内の全サイトの確認・再構築と、パスワードの変更をあわせて行います。反対に、影響が1サイト内に限られると判断できれば、そのサイトだけの復旧で済む場合もあります。