9. fejezet · 9.5
Feltörték? Az első lépések
Jelek arra, hogy valaki más is hozzáfér a szerveréhez: ismeretlen folyamatok, amelyek sok processzoridőt használnak, egy felhasználó vagy SSH-kulcs, amelyet nem ismer, módosított fájlok, vagy egy értesítés arról, hogy a szervere spamet vagy támadásokat küld. Őrizze meg nyugalmát, és ebben a sorrendben haladjon.
1. Rögzítse az állapotot
Készítsen snapshotot (lásd: Pillanatképek: biztonsági háló minden nagyobb módosításhoz). Ezzel megőrzi a bizonyítékokat, és később kiderítheti, hogyan jutott be a támadó. Ne a takarítással kezdje.
2. Szigetelje el a szervert
Kapcsolja ki a szervert a VPS-képernyő Leállítás gombjával, vagy állítsa be úgy a tűzfalat, hogy már csak az Ön IP-címéről lehessen SSH-n csatlakozni. Ha már nem tud belépni, használja a konzolt.
3. Telepítse újra
Egy feltört szervert nem lehet megtisztítani: soha nem lehet biztos benne, hogy mindent megtalált. Telepítse újra (lásd: Újratelepítés vagy ISO csatolása), és állítsa vissza az adatait egy, a betörés előtti biztonsági mentésből. Ne állítson vissza olyan programokat vagy szkripteket, amelyek lehetővé tették a betörést.
4. Cserélje le az összes titkos adatot
- Hozzon létre új SSH-kulcsokat, ha úgy gondolja, hogy egy privát kulcs kiszivároghatott, és távolítsa el a régieket az összes szerveréről.
- Cserélje le az adatbázisok, alkalmazások és adminisztrációs felületek jelszavait, valamint a
.envtokenjeit. - Cserélje le azoknak a postafiókoknak és szolgáltatásoknak a jelszavait, amelyek adatai a szerveren voltak.
5. Tömje be a rést
Derítse ki, hogyan történhetett: jelszó kulcs helyett, egy nyitott adatbázis vagy adminisztrációs felület, egy elavult bővítmény, egy port, amelyet a Docker a tűzfal megkerülésével tett elérhetővé. Mielőtt újra megnyitja a szervert, nézze át ismét a 3. fejezetet és a(z) Docker és a tűzfal: portok biztonságos közzététele cikket.
6. Bejelentés
Voltak személyes adatok a szerveren, például ügyféladatok vagy e-mail-címek? Ebben az esetben előfordulhat, hogy az adatvédelmi incidenst 72 órán belül be kell jelentenie a NAIH-nak (Nemzeti Adatvédelmi és Információszabadság Hatóság), és néha az érintetteket is tájékoztatnia kell. További információ: naih.hu.