Hoofdstuk 9 · 9.5
Gehackt? De eerste stappen
Signalen dat er iemand anders op je server zit: onbekende processen die veel processor gebruiken, een gebruiker of SSH-sleutel die je niet kent, gewijzigde bestanden, of een melding dat je server spam of aanvallen verstuurt. Blijf rustig en werk in deze volgorde.
1. Leg vast hoe het is
Maak een snapshot (zie Snapshots: een vangnet voor elke grote wijziging). Daarmee bewaar je het bewijs en kun je later uitzoeken hoe de aanvaller binnenkwam. Ga niet eerst opruimen.
2. Isoleer de server
Zet de server uit met Afsluiten in het VPS-scherm, of zet de firewall zo dat alleen jouw IP-adres nog bij SSH kan. Kom je niet meer binnen, gebruik dan de console.
3. Installeer opnieuw
Een gehackte server maak je niet schoon: je weet nooit zeker of je alles hebt gevonden. Installeer opnieuw (zie Opnieuw installeren of een ISO koppelen) en zet je gegevens terug uit een back-up van vóór de inbraak. Zet geen programma's of scripts terug die de inbraak mogelijk maakten.
4. Vervang alle geheimen
- Maak nieuwe SSH-sleutels als je denkt dat een privésleutel is gelekt, en haal de oude van al je servers.
- Vervang de wachtwoorden van databases, apps en beheerschermen, en de tokens in
.env. - Vervang de wachtwoorden van mailboxen en diensten waarvan de gegevens op de server stonden.
5. Dicht het gat
Zoek uit hoe het kon: een wachtwoord in plaats van een sleutel, een open database of beheerscherm, een verouderde plugin, een poort die Docker langs je firewall publiceerde. Loop hoofdstuk 3 en Docker en de firewall: poorten veilig publiceren opnieuw door voordat je de server weer openzet.
6. Melden
Stonden er persoonsgegevens op de server, zoals klantgegevens of e-mailadressen? Dan moet je een datalek mogelijk binnen 72 uur melden bij de Autoriteit Persoonsgegevens, en soms ook de betrokkenen inlichten. Kijk op autoriteitpersoonsgegevens.nl.