Foi pirateado? Os primeiros passos

Sinais de que outra pessoa está no seu servidor: processos desconhecidos que utilizam muito processador, um utilizador ou uma chave SSH que não reconhece, ficheiros alterados, ou um aviso de que o seu servidor está a enviar spam ou ataques. Mantenha a calma e siga esta ordem.

1. Registe o estado atual

Crie um snapshot (consulte Snapshots: uma rede de segurança para cada alteração importante). Assim conserva as provas e pode, mais tarde, investigar como o atacante entrou. Não comece por limpar.

2. Isole o servidor

Desligue o servidor com Encerrar no ecrã do VPS, ou configure a firewall de modo que apenas o seu endereço IP tenha acesso por SSH. Se já não conseguir entrar, utilize a consola.

3. Reinstale

Um servidor pirateado não se limpa: nunca tem a certeza de ter encontrado tudo. Reinstale (consulte Reinstalar ou associar uma ISO) e reponha os seus dados a partir de uma cópia de segurança de antes da intrusão. Não reponha programas ou scripts que tenham possibilitado a intrusão.

4. Substitua todos os segredos

• Crie novas chaves SSH se suspeitar que uma chave privada foi divulgada, e remova as antigas de todos os seus servidores.
• Substitua as palavras-passe de bases de dados, aplicações e painéis de gestão, bem como os tokens em .env.
• Substitua as palavras-passe das caixas de correio e dos serviços cujos dados estavam no servidor.

5. Feche a brecha

Descubra como foi possível: uma palavra-passe em vez de uma chave, uma base de dados ou painel de gestão aberto, um plugin desatualizado, uma porta que o Docker publicou contornando a sua firewall. Reveja novamente o capítulo 3 e Docker e a firewall: publicar portas em segurança antes de voltar a abrir o servidor.

6. Comunicar

O servidor continha dados pessoais, como dados de clientes ou endereços de e-mail? Nesse caso, poderá ter de comunicar a violação de dados no prazo de 72 horas à CNPD (Comissão Nacional de Proteção de Dados) e, por vezes, informar também as pessoas afetadas. Consulte cnpd.pt.