Uzlauzts? Pirmie soļi

Pazīmes, ka Jūsu serverī darbojas kāds cits: nezināmi procesi, kas patērē daudz procesora jaudas, lietotājs vai SSH atslēga, ko Jūs nepazīstat, mainīti faili vai paziņojums, ka Jūsu serveris sūta surogātpastu vai veic uzbrukumus. Saglabājiet mieru un rīkojieties šādā secībā.

1. Fiksējiet pašreizējo stāvokli

Izveidojiet momentuzņēmumu (skatiet Snapshot kopijas: drošības tīkls ikvienām lielām izmaiņām). Tā Jūs saglabāsiet pierādījumus un vēlāk varēsiet noskaidrot, kā uzbrucējs iekļuva serverī. Nesāciet ar tīrīšanu.

2. Izolējiet serveri

Izslēdziet serveri ar pogu Izslēgt VPS ekrānā vai iestatiet ugunsmūri tā, lai SSH būtu pieejams tikai no Jūsu IP adreses. Ja vairs nevarat pieslēgties, izmantojiet konsoli.

3. Pārinstalējiet serveri

Uzlauztu serveri nevar droši iztīrīt: Jūs nekad nevarat būt pārliecināti, ka esat atraduši visu. Pārinstalējiet serveri (skatiet Pārinstalēšana vai ISO pievienošana) un atjaunojiet savus datus no rezerves kopijas, kas izveidota pirms ielaušanās. Neatjaunojiet programmas vai skriptus, kas ielaušanos padarīja iespējamu.

4. Nomainiet visus noslēpumus

• Izveidojiet jaunas SSH atslēgas, ja domājat, ka kāda privātā atslēga ir nopludināta, un noņemiet vecās no visiem saviem serveriem.
• Nomainiet datubāzu, lietotņu un pārvaldības paneļu paroles, kā arī marķierus failā .env.
• Nomainiet to pastkastu un pakalpojumu paroles, kuru dati atradās serverī.

5. Novērsiet ievainojamību

Noskaidrojiet, kā tas varēja notikt: parole atslēgas vietā, atvērta datubāze vai pārvaldības panelis, novecojis spraudnis, ports, ko Docker publicēja, apejot Jūsu ugunsmūri. Pirms atkal padarāt serveri pieejamu, vēlreiz izskatiet 3. nodaļu un Docker un ugunsmūris: kā droši publicēt portus.

6. Ziņošana

Vai serverī atradās personas dati, piemēram, klientu dati vai e-pasta adreses? Tādā gadījumā Jums, iespējams, 72 stundu laikā par datu noplūdi jāziņo Datu valsts inspekcijai un dažkārt arī jāinformē iesaistītās personas. Skatiet dvi.gov.lv.