Ați fost atacat? Primii pași

Semne că altcineva are acces la serverul dvs.: procese necunoscute care folosesc mult procesorul, un utilizator sau o cheie SSH pe care nu le cunoașteți, fișiere modificate sau o notificare că serverul dvs. trimite spam sau atacuri. Păstrați-vă calmul și procedați în ordinea de mai jos.

1. Înregistrați starea actuală

Creați un snapshot (consultați Snapshoturi: o plasă de siguranță pentru orice modificare importantă). Astfel păstrați dovezile și puteți afla ulterior cum a pătruns atacatorul. Nu începeți prin a face curățenie.

2. Izolați serverul

Opriți serverul cu Oprire în ecranul VPS sau configurați firewall-ul astfel încât doar adresa dvs. IP să mai aibă acces la SSH. Dacă nu mai puteți intra, folosiți consola.

3. Reinstalați

Un server compromis nu se curăță: nu puteți fi niciodată sigur că ați găsit totul. Reinstalați (consultați Reinstalarea sau atașarea unui ISO) și restaurați datele dintr-o copie de rezervă realizată înainte de atac. Nu restaurați programele sau scripturile care au făcut posibil atacul.

4. Înlocuiți toate secretele

• Creați chei SSH noi dacă bănuiți că o cheie privată a fost divulgată și eliminați-le pe cele vechi de pe toate serverele dvs.
• Înlocuiți parolele bazelor de date, aplicațiilor și panourilor de administrare, precum și tokenurile din .env.
• Înlocuiți parolele căsuțelor de e-mail și ale serviciilor ale căror date se aflau pe server.

5. Remediați breșa

Aflați cum a fost posibil: o parolă în loc de o cheie, o bază de date sau un panou de administrare accesibil public, un plugin învechit, un port pe care Docker l-a publicat ocolind firewall-ul dvs. Parcurgeți din nou capitolul 3 și Docker și firewall-ul: publicarea în siguranță a porturilor înainte de a redeschide serverul.

6. Notificați

Se aflau pe server date cu caracter personal, cum ar fi date ale clienților sau adrese de e-mail? În acest caz, este posibil să fiți obligat să notificați încălcarea securității datelor în termen de 72 de ore la ANSPDCP (Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal) și, uneori, să informați și persoanele vizate. Consultați dataprotection.ro.