Παραβίαση; Τα πρώτα βήματα

Ενδείξεις ότι κάποιος άλλος βρίσκεται στον server σας: άγνωστες διεργασίες που χρησιμοποιούν πολύ επεξεργαστή, ένας χρήστης ή ένα κλειδί SSH που δεν αναγνωρίζετε, αλλαγμένα αρχεία ή μια ειδοποίηση ότι ο server σας στέλνει spam ή επιθέσεις. Μείνετε ψύχραιμοι και ακολουθήστε αυτή τη σειρά.

1. Καταγράψτε την κατάσταση

Δημιουργήστε ένα snapshot (δείτε Snapshots: ένα δίχτυ ασφαλείας για κάθε μεγάλη αλλαγή). Έτσι διατηρείτε τα αποδεικτικά στοιχεία και μπορείτε αργότερα να εξετάσετε πώς μπήκε ο εισβολέας. Μην ξεκινήσετε πρώτα τον καθαρισμό.

2. Απομονώστε τον server

Απενεργοποιήστε τον server με Τερματισμός στην οθόνη του VPS ή ρυθμίστε το firewall ώστε μόνο η δική σας διεύθυνση IP να έχει πρόσβαση στο SSH. Αν δεν μπορείτε πλέον να συνδεθείτε, χρησιμοποιήστε την κονσόλα.

3. Κάντε νέα εγκατάσταση

Έναν server που έχει παραβιαστεί δεν τον καθαρίζετε: δεν μπορείτε ποτέ να είστε σίγουροι ότι βρήκατε τα πάντα. Κάντε νέα εγκατάσταση (δείτε Επανεγκατάσταση ή σύνδεση ISO) και επαναφέρετε τα δεδομένα σας από ένα αντίγραφο ασφαλείας από πριν την παραβίαση. Μην επαναφέρετε προγράμματα ή scripts που έκαναν δυνατή την παραβίαση.

4. Αντικαταστήστε όλα τα μυστικά

• Δημιουργήστε νέα κλειδιά SSH αν πιστεύετε ότι διέρρευσε κάποιο ιδιωτικό κλειδί και αφαιρέστε τα παλιά από όλους τους servers σας.
• Αλλάξτε τους κωδικούς πρόσβασης των βάσεων δεδομένων, των εφαρμογών και των οθονών διαχείρισης, καθώς και τα tokens στο .env.
• Αλλάξτε τους κωδικούς πρόσβασης των γραμματοκιβωτίων και των υπηρεσιών των οποίων τα στοιχεία βρίσκονταν στον server.

5. Κλείστε το κενό

Βρείτε πώς συνέβη: ένας κωδικός πρόσβασης αντί για κλειδί, μια ανοιχτή βάση δεδομένων ή οθόνη διαχείρισης, ένα παρωχημένο plugin, μια θύρα που το Docker δημοσίευσε παρακάμπτοντας το firewall σας. Ελέγξτε ξανά το κεφάλαιο 3 και το Docker και firewall: ασφαλής δημοσίευση θυρών πριν ανοίξετε ξανά τον server.

6. Αναφορά

Υπήρχαν προσωπικά δεδομένα στον server, όπως στοιχεία πελατών ή διευθύνσεις email; Τότε ενδέχεται να πρέπει να αναφέρετε την παραβίαση δεδομένων εντός 72 ωρών στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα και, σε ορισμένες περιπτώσεις, να ενημερώσετε και τα ενδιαφερόμενα πρόσωπα. Επισκεφθείτε το dpa.gr.