Хакнат сървър? Първите стъпки

Признаци, че някой друг има достъп до Вашия сървър: непознати процеси, които натоварват силно процесора, потребител или SSH ключ, които не познавате, променени файлове или известие, че Вашият сървър изпраща спам или атаки. Запазете спокойствие и действайте в следния ред.

1. Запазете текущото състояние

Направете snapshot (вижте Снапшоти: предпазна мрежа при всяка голяма промяна). Така запазвате доказателствата и по-късно можете да установите как нападателят е проникнал. Не започвайте с почистване.

2. Изолирайте сървъра

Изключете сървъра с Изключване в екрана на VPS или настройте защитната стена така, че само Вашият IP адрес да има достъп до SSH. Ако вече не можете да влезете, използвайте конзолата.

3. Инсталирайте наново

Хакнат сървър не може да бъде изчистен: никога не можете да сте сигурни, че сте открили всичко. Инсталирайте наново (вижте Преинсталиране или свързване на ISO) и възстановете данните си от резервно копие отпреди проникването. Не възстановявайте програми или скриптове, които са направили проникването възможно.

4. Сменете всички тайни данни

• Създайте нови SSH ключове, ако смятате, че частен ключ е изтекъл, и премахнете старите от всичките си сървъри.
• Сменете паролите на бази данни, приложения и административни панели, както и токените в .env.
• Сменете паролите на пощенски кутии и услуги, чиито данни са се намирали на сървъра.

5. Затворете пробива

Установете как е станало: парола вместо ключ, отворена база данни или административен панел, остарял plugin, порт, който Docker е публикувал в обход на Вашата защитна стена. Прегледайте отново глава 3 и Docker и защитната стена: как да публикувате портове безопасно, преди да отворите сървъра отново.

6. Уведомяване

Имало ли е лични данни на сървъра, например данни на клиенти или имейл адреси? Тогава може да се наложи да уведомите КЗЛД (Комисия за защита на личните данни) за нарушението на сигурността на данните в рамките на 72 часа, а понякога и засегнатите лица. Вижте cpdp.bg.