Kai kas nors nutinka ne taip

10 modulis: Išlikti saugiems · Skaitymo laikas: 11 min.

Mokymosi tikslas: Po šios pamokos atpažinsite įsilaužimo į serverį požymius, atliksite pirmuosius veiksmus nesunaikindami įrodymų ar atsarginių kopijų, pasirinksite tarp valymo ir įdiegimo iš naujo ir žinosite, kada reikia pranešti apie duomenų saugumo pažeidimą.

Pagrindinės sąvokos: incidentas, požymiai, izoliavimas, momentinė kopija (snapshot) kaip įrodymas, incidento žurnalas, įdiegimas iš naujo, raktų ir slaptažodžių pakeitimas, švari atsarginė kopija, prievolė pranešti apie duomenų saugumo pažeidimus (72 valandos), Valstybinė duomenų apsaugos inspekcija (VDAI), avarinis planas

Kaip atpažinti incidentą

Įsilaužimas retai apie save praneša. Dažniausiai pastebite kažką "keisto". Požymiai, į kuriuos verta žiūrėti rimtai:

• Didelė apkrova be priežasties: procesorius nuolat apkrautas 100 %, pavyzdžiui, dėl kriptovaliutų kasimo programos. Su top arba htop patikrinkite, koks tai procesas ir kokio naudotojo vardu jis veikia.
• Nežinomi procesai ar paslaugos: programa keistu pavadinimu, dažnai /tmp, /dev/shm arba /var/tmp kataloge, arba systemd paslauga ar laikmatis, kurių nesukūrėte patys.
• Įtartinas išeinantis srautas: paslaugų teikėjas praneša, kad Jūsų serveris siunčia šlamštą ar atakuoja kitus serverius, arba valdymo skydelio tinklo grafikuose matyti šuoliai.
• Nauji naudotojai ar raktai: eilutė ~/.ssh/authorized_keys, kurios nepažįstate, naudotojas /etc/passwd su UID 0, nauja eilutė /etc/sudoers.d/.
• Pakeisti failai: nežinomi PHP failai Jūsų svetainėje, pakeista crontab.
• Dingę ar tušti žurnalai: įsilaužėliai mėgsta ištrinti savo pėdsakus.

Kelios komandos greitai apžiūrai:

anna@web1:~$ top -o %CPU
anna@web1:~$ sudo ss -tunap | grep ESTAB
anna@web1:~$ sudo last -n 20
anna@web1:~$ awk -F: '$3 == 0 {print $1}' /etc/passwd
anna@web1:~$ sudo find /etc/systemd/system /etc/cron* -newer /etc/hostname -type f
anna@web1:~$ for u in /root /home/*; do sudo cat $u/.ssh/authorized_keys 2>/dev/null; done

last parodo, kas ir kada prisijungė, eilutė su awk parodo visas paskyras su UID 0 (tokia turėtų būti tik root), o eilutė su find ieško unit ir cron failų, kurie naujesni už failą, sukurtą diegimo metu.

Atkreipkite dėmesį: tikrai pažeistame serveryje net šios komandos gali būti suklastotos. Jos padeda kažką įtarti, bet neįrodo, kad viskas švaru.

Pirmieji veiksmai: ramybė, izoliavimas, fiksavimas

Svarbiausia pirmosiomis minutėmis: panikuodami nieko netrinkite. Veikite šia tvarka.

1. Pradėkite žurnalą. Popieriuje arba savo nešiojamajame kompiuteryje (ne serveryje) užrašykite, ką matote, kada ir ką darote. To prireiks vėliau ieškant priežasties, teikiant pranešimą, pareiškimą policijai ar kreipiantis į draudimo bendrovę. Tai rekomenduoja ir Nyderlandų NCSC.

2. Izoliuokite serverį. Neleiskite jam daryti tolesnės žalos (siųsti šlamšto, atakuoti, išsiųsti duomenų), bet jo neišjunkite:

• paslaugų teikėjo užkardoje (jei tokia yra) uždarykite viską, išskyrus SSH iš Jūsų paties adreso; arba
• tą patį padarykite pačiame serveryje per konsolę;
• jei kitaip neįmanoma: išjunkite serverį per valdymo skydelį. Tada prarasite atminties turinį.

3. Sukurkite momentinę kopiją (snapshot). Momentinė kopija valdymo skydelyje užfiksuoja dabartinę būseną. Tai Jūsų įrodymas ir šaltinis, iš kurio vėliau galėsite išsiaiškinti, kaip įsilaužėlis pateko į sistemą, net jei po to serverį įdiegsite iš naujo.

4. Apsaugokite atsargines kopijas. Patikrinkite, ar už serverio ribų laikomos atsarginės kopijos tebėra nepažeistos, ir užtikrinkite, kad pažeistas serveris prie jų nebeprieitų (pavyzdžiui, atšaukite serverio prieigos prie atsarginių kopijų saugyklos raktą). Įsilaužėliai taip pat bando ištrinti ar užšifruoti atsargines kopijas.

Valyti ar įdiegti iš naujo?

Viliojantis atsakymas: ištrinti įtartiną failą, sustabdyti kasimo programą, ir viskas. Tačiau nežinote, ką dar įsilaužėlis padarė: antros galinės durys, pakeista programa, papildomas raktas, laikmatis, kuris viską atkuria. Serveriu, kuriame kažkas turėjo root teises, nebegalima pasitikėti.

Todėl administratoriai, taip pat ir Nyderlandų NCSC, pataria: pažeistas sistemas įdiekite iš naujo ir atkurkite duomenis iš atsarginės kopijos, kuri pati nėra užkrėsta. Konkrečiai:

1. Nauja instaliacija (įdiegimas iš naujo valdymo skydelyje arba naujas serveris).
2. Iškart pagrindai iš šio kurso: atnaujinimai, įprastas naudotojas su sudo, SSH su naujais raktais, užkarda (moduliai nuo 2 iki 5).
3. Programų įdiegimas iš naujo iš oficialių šaltinių, geriausia naudojant compose failus ar užrašus (pamoka 10.4).
4. Duomenų (duomenų bazės, įkelti failai) atkūrimas iš atsarginės kopijos, padarytos prieš incidentą. Neatkurkite kodo ar konfigūracijos aklai: juose gali būti galinės durys. Kritiškai peržiūrėkite ir atkurtus duomenis; įsilaužėlis galėjo būti sistemoje ilgiau, nei manote.
5. Spragos, per kurią įsilaužėlis pateko, užtaisymas. Kitaip viskas pasikartos. Išsiaiškinti padės 3 žingsnio momentinė kopija.

Pakeiskite viską, kas galėjo nutekėti

Laikykite, kad viskas, kas buvo serveryje, pateko į įsilaužėlio rankas:

• SSH raktai: visur pašalinkite viešuosius raktus, kurie buvo serveryje, ir sukurkite naujas raktų poras, jei serveryje buvo privačiųjų raktų.
• Duomenų bazių, valdymo skydelių ir Jūsų programos naudotojų slaptažodžiai.
• API raktai ir prieigos raktai (tokens) (el. paštas, mokėjimai, debesų saugykla, atsarginių kopijų saugykla) iš .env failų ir konfigūracijos: atšaukite juos paslaugoje ir pakeiskite.
• Sertifikatai: Jūsų sertifikato privatusis raktas buvo serveryje. Atšaukite sertifikatą ir užsakykite naują (su Let's Encrypt tai greita, pamoka 7.3).

Pranešimas: BDAR ir kiti

Jei serveryje buvo asmens duomenų (klientų duomenys, paskyros, el. pašto adresai), galimai įvyko duomenų saugumo pažeidimas. BDAR (33 straipsnis) nustato, kad duomenų valdytojas apie duomenų saugumo pažeidimą priežiūros institucijai praneša be nepagrįsto delsimo ir, jei įmanoma, ne vėliau kaip per 72 valandas nuo tada, kai apie jį sužinojo. Lietuvoje tai Valstybinė duomenų apsaugos inspekcija (VDAI). Keli svarbūs punktai:

• pranešti nereikia, jei pažeidimas greičiausiai nekelia pavojaus duomenų subjektams; jei abejojate, praneškite;
• jei dar neturite visos informacijos, vis tiek praneškite per 72 valandas, o vėliau papildykite;
• asmenis, kurių duomenys nutekėjo, informuokite, jei jiems kyla didelis pavojus;
• kiekvieną duomenų saugumo pažeidimą užregistruokite savo registre, net jei pranešti nereikia.

Jei serverį administruojate klientui, dažniausiai esate duomenų tvarkytojas: tuomet turite be nepagrįsto delsimo informuoti klientą (duomenų valdytoją), kad šis galėtų pranešti. Ši pamoka nėra teisinė konsultacija; kilus abejonių, žr. VDAI svetainę.

Be to: apie piktnaudžiavimą, vykdytą iš Jūsų serverio, praneškite savo paslaugų teikėjui (jis dažnai jau būna tai pastebėjęs), o rimtos atakos atveju pateikite pareiškimą policijai per e. policiją (https://www.epolicija.lt/). Jei Jūsų organizacijai taikomas Kibernetinio saugumo įstatymas (NIS2 perkėlimas), galioja atskiri, trumpesni pranešimo terminai.

Pasiruošimas: avarinis planas

Incidentas visada įvyksta netinkamu metu. Tai, ką susitvarkėte iš anksto, sutaupo valandų:

• Žinokite, kaip pasiekti paslaugų teikėjo konsolę ir momentinių kopijų mygtuką, ir laikykite valdymo skydelio prisijungimo duomenis (su dviejų veiksnių autentifikavimu) kur nors už serverio ribų.
• Žinokite, kur yra Jūsų atsarginės kopijos, kaip jas atkurti ir kad jos veikia (pamoka 8.2).
• Turėkite visų serveryje esančių slaptų duomenų sąrašą, kad žinotumėte, ką reikia pakeisti.
• Turėkite kontaktų sąrašą: Jūsų paslaugų teikėjas, kas dar turi žinoti apie serverį (klientas, kolega) ir kontaktai pranešimui apie duomenų saugumo pažeidimą.

Praktikoje

WebOké VPS lange rasite konsolę, momentines kopijas, atsargines kopijas ir įdiegimo iš naujo mygtuką; kitų paslaugų teikėjų jie vadinasi panašiai (console arba VNC, snapshot, rescue, reinstall). Šis kursas skirtas savarankiškam mokymuisi: niekas nestebi Jūsų serverio ir niekas už Jus nesutvarkys incidento. Būtent todėl toks svarbus avarinis planas, kurį galite įgyvendinti patys.

Santrauka

• Požymiai: nepaaiškinama apkrova, nežinomi procesai, paslaugos ar raktai, keistas išeinantis srautas, pakeisti ar dingę failai ir žurnalai.
• Pirmieji veiksmai: vesti žurnalą, izoliuoti serverį, sukurti momentinę kopiją kaip įrodymą, apsaugoti atsargines kopijas.
• Serverio, kuriame kažkas turėjo root teises, nevalykite, o įdiekite iš naujo; duomenis atkurkite iš švarios atsarginės kopijos ir užtaisykite spragą.
• Pakeiskite visus raktus, slaptažodžius, prieigos raktus ir sertifikatus, kurie buvo serveryje.
• Paveikti asmens duomenys? Apie duomenų saugumo pažeidimą, jei įmanoma, praneškite VDAI per 72 valandas ir užregistruokite kiekvieną pažeidimą.

Testas (quiz)

Užduotis

Užduotis O10.3: Jūsų avarinis planas viename puslapyje. Parašykite savo serveriui avarinį planą, ne ilgesnį nei vienas A4 lapas: kaip pasiekiate valdymo skydelį, konsolę ir momentines kopijas; kur yra Jūsų atsarginės kopijos ir kaip jas atkurti; kokie slapti duomenys yra serveryje; ką turite informuoti (ir ar turite pranešti apie duomenų saugumo pažeidimą); kokius pirmuosius penkis veiksmus atliksite įtarę įsilaužimą. Laikykite planą už serverio ribų.

Skaitykite daugiau

• Nebeturite prieigos prie savo VPS: ką daryti?
• Jūsų VPS momentinės kopijos ir atsarginės kopijos
• Nuosavo ISO prijungimas arba VPS įdiegimas iš naujo
• Nyderlandų NCSC, „Gehackt, wat nu?“ (nyderlandų k.): https://www.ncsc.nl/incidenten-en-herstellen/gehackt-wat-nu
• Nyderlandų duomenų apsaugos institucija (Autoriteit Persoonsgegevens), prievolė pranešti apie duomenų saugumo pažeidimus (Nyderlandų šaltinis, nyderlandų k.): https://www.autoriteitpersoonsgegevens.nl/nl/onderwerpen/beveiliging/meldplicht-datalekken
• VPS: nuo pirmojo prisijungimo iki saugaus serverio 9.1: Užsirakinote: nebegalite prisijungti prie savo serverio
• VPS: nuo pirmojo prisijungimo iki saugaus serverio 9.5: Serveris įsilaužtas? Pirmieji žingsniai