Vdor v strežnik? Prvi koraki

Znaki, da je na Vašem strežniku še nekdo drug: neznani procesi, ki močno obremenjujejo procesor, uporabnik ali ključ SSH, ki ga ne poznate, spremenjene datoteke ali obvestilo, da Vaš strežnik pošilja neželeno pošto ali izvaja napade. Ostanite mirni in ukrepajte v tem vrstnem redu.

1. Zabeležite trenutno stanje

Naredite posnetek (glejte Posnetki stanja: varnostna mreža za vsako večjo spremembo). Tako ohranite dokaze in lahko pozneje ugotovite, kako je napadalec vdrl. Ne začnite najprej s čiščenjem.

2. Izolirajte strežnik

Strežnik izklopite z ukazom Zaustavitev na zaslonu VPS ali požarni zid nastavite tako, da ima dostop do SSH le še Vaš naslov IP. Če se ne morete več prijaviti, uporabite konzolo.

3. Znova namestite strežnik

Strežnika, v katerega je bilo vdrto, ne očistite: nikoli ne morete biti povsem prepričani, da ste našli vse. Strežnik znova namestite (glejte Ponovna namestitev ali priklop ISO) in podatke obnovite iz varnostne kopije, narejene pred vdorom. Ne obnovite programov ali skript, ki so vdor omogočili.

4. Zamenjajte vse skrivnosti

• Če sumite, da je zasebni ključ ušel v javnost, ustvarite nove ključe SSH in stare odstranite z vseh svojih strežnikov.
• Zamenjajte gesla podatkovnih zbirk, aplikacij in skrbniških vmesnikov ter žetone v .env.
• Zamenjajte gesla poštnih predalov in storitev, katerih podatki so bili shranjeni na strežniku.

5. Zaprite varnostno luknjo

Ugotovite, kako je do vdora prišlo: geslo namesto ključa, odprta podatkovna zbirka ali skrbniški vmesnik, zastarel vtičnik, vrata, ki jih je Docker objavil mimo Vašega požarnega zidu. Preden strežnik znova odprete, še enkrat preglejte 3. poglavje in Docker in požarni zid: varna objava vrat.

6. Prijava

Ali so bili na strežniku osebni podatki, na primer podatki strank ali e-poštni naslovi? V tem primeru morate kršitev varnosti osebnih podatkov morda v 72 urah prijaviti Informacijskemu pooblaščencu, včasih pa o njej obvestiti tudi prizadete posameznike. Več informacij najdete na ip-rs.si.