Hakirani ste? Prvi koraci

Znakovi da je netko drugi na Vašem serveru: nepoznati procesi koji jako opterećuju procesor, korisnik ili SSH ključ koji ne poznajete, izmijenjene datoteke ili obavijest da Vaš server šalje spam ili napade. Ostanite smireni i postupajte ovim redoslijedom.

1. Zabilježite zatečeno stanje

Napravite snimku stanja (pogledajte Snapshotovi: sigurnosna mreža za svaku veću promjenu). Time čuvate dokaze i kasnije možete istražiti kako je napadač ušao. Nemojte najprije počistiti.

2. Izolirajte server

Isključite server pomoću opcije Isključivanje u VPS zaslonu ili postavite vatrozid tako da samo Vaša IP adresa još može pristupiti SSH-u. Ako više ne možete ući, upotrijebite konzolu.

3. Ponovno instalirajte

Hakirani server ne čistite: nikad ne možete biti sigurni da ste pronašli sve. Ponovno instalirajte server (pogledajte Ponovna instalacija ili povezivanje ISO datoteke) i vratite svoje podatke iz sigurnosne kopije napravljene prije upada. Ne vraćajte programe ili skripte koji su omogućili upad.

4. Zamijenite sve tajne

• Izradite nove SSH ključeve ako mislite da je privatni ključ procurio, a stare uklonite sa svih svojih servera.
• Zamijenite lozinke baza podataka, aplikacija i administratorskih sučelja te tokene u .env.
• Zamijenite lozinke poštanskih sandučića i usluga čiji su se podaci nalazili na serveru.

5. Zatvorite rupu

Istražite kako je do toga došlo: lozinka umjesto ključa, otvorena baza podataka ili administratorsko sučelje, zastarjeli dodatak, priključak koji je Docker objavio mimo Vašeg vatrozida. Ponovno prođite kroz 3. poglavlje i Docker i vatrozid: sigurno objavljivanje portova prije nego što server ponovno otvorite.

6. Prijava

Jesu li se na serveru nalazili osobni podaci, primjerice podaci o klijentima ili adrese e-pošte? U tom slučaju možda morate povredu osobnih podataka prijaviti AZOP-u (Agencija za zaštitu osobnih podataka) u roku od 72 sata, a ponekad i obavijestiti osobe na koje se podaci odnose. Pogledajte azop.hr.