Keď sa niečo pokazí

Modul 10: Zostaňte v bezpečí · Čas čítania: 11 minút

Cieľ lekcie: Po tejto lekcii rozpoznáte znaky napadnutého servera, urobíte prvé kroky bez toho, aby ste zničili dôkazy alebo zálohy, rozhodnete sa medzi vyčistením a preinštalovaním a budete vedieť, kedy treba oznámiť porušenie ochrany osobných údajov.

Kľúčové pojmy: incident, varovné signály, izolácia, snapshot ako dôkaz, denník incidentu, preinštalovanie, výmena kľúčov a hesiel, čistá záloha, povinnosť oznámiť porušenie ochrany osobných údajov (72 hodín), Úrad na ochranu osobných údajov SR, núdzový plán

Ako rozpoznať incident

Prienik sa zriedka ohlási sám. Väčšinou si všimnete niečo "zvláštne". Signály, ktoré treba brať vážne:

• Vysoké zaťaženie bez príčiny: procesor je neustále na 100 %, napríklad kvôli cryptomineru. Pomocou top alebo htop zistite, o ktorý proces ide a pod akým používateľom beží.
• Neznáme procesy alebo služby: program so zvláštnym názvom, často v /tmp, /dev/shm alebo /var/tmp, alebo služba či časovač systemd, ktoré ste sami nevytvorili.
• Podozrivá odchádzajúca prevádzka: váš poskytovateľ hlási, že váš server posiela spam alebo útočí na iné servery, alebo grafy siete v paneli ukazujú nečakané špičky.
• Noví používatelia alebo kľúče: riadok v ~/.ssh/authorized_keys, ktorý nepoznáte, používateľ v /etc/passwd s UID 0, nový riadok v /etc/sudoers.d/.
• Zmenené súbory: neznáme PHP súbory na vašej webovej stránke, zmenený crontab.
• Zmiznuté alebo prázdne logy: útočníci radi zahládzajú stopy.

Niekoľko príkazov na rýchlu obhliadku:

anna@web1:~$ top -o %CPU
anna@web1:~$ sudo ss -tunap | grep ESTAB
anna@web1:~$ sudo last -n 20
anna@web1:~$ awk -F: '$3 == 0 {print $1}' /etc/passwd
anna@web1:~$ sudo find /etc/systemd/system /etc/cron* -newer /etc/hostname -type f
anna@web1:~$ for u in /root /home/*; do sudo cat $u/.ssh/authorized_keys 2>/dev/null; done

last ukazuje, kto sa kedy prihlásil, riadok s awk zobrazí všetky účty s UID 0 (malo by to byť iba root) a riadok s find hľadá unity a súbory cron, ktoré sú novšie ako súbor vytvorený pri inštalácii.

Pozor: na skutočne napadnutom serveri môžu byť podvrhnuté aj tieto príkazy. Pomáhajú vám niečo tušiť, nie dokázať, že je všetko čisté.

Prvé kroky: pokoj, izolácia, zaznamenanie

V prvých minútach je najdôležitejšie nemazať v panike veci. Postupujte v tomto poradí.

1. Založte si denník. Na papier alebo do notebooku (nie na server) si zapisujte, čo vidíte, kedy a čo robíte. Neskôr to budete potrebovať na zistenie príčiny, pre oznámenie, trestné oznámenie alebo poisťovňu. Odporúča to aj holandské NCSC.

2. Izolujte server. Zabráňte tomu, aby ďalej škodil (spam, útoky, odosielanie údajov), a pritom ho nevypínajte:

• vo firewalle vášho poskytovateľa (ak ho má) zatvorte všetko okrem SSH z vašej vlastnej adresy; alebo
• urobte to isté priamo na serveri cez konzolu;
• ak to inak nejde: vypnite server cez panel. Prídete však o obsah pamäte.

3. Vytvorte snapshot. Snapshot v paneli zachytí aktuálny stav servera. Je to váš dôkaz a zdroj, z ktorého neskôr zistíte, ako sa útočník dostal dnu, aj keď server potom preinštalujete.

4. Zabezpečte zálohy. Overte, či sú vaše zálohy mimo servera stále v poriadku, a zariaďte, aby sa k nim napadnutý server už nedostal (napríklad zrušte prístupový kľúč servera k úložisku záloh). Útočníci sa snažia zálohy tiež vymazať alebo zašifrovať.

Vyčistiť, alebo preinštalovať?

Lákavá odpoveď znie: odstrániť podozrivý súbor, zastaviť cryptominer a hotovo. Neviete však, čo ďalšie útočník urobil: druhé zadné dvierka, upravený program, kľúč navyše, časovač, ktorý všetko vráti späť. Serveru, na ktorom mal niekto root, už nemôžete dôverovať.

Správcovia aj holandské NCSC preto radia: zasiahnuté systémy preinštalujte a údaje obnovte zo zálohy, ktorá sama nie je infikovaná. Konkrétne:

1. Nová inštalácia (preinštalovanie v paneli alebo nový server).
2. Hneď základy z tohto kurzu: aktualizácie, bežný používateľ so sudo, SSH s novými kľúčmi, firewall (moduly 2 až 5).
3. Aplikácie nainštalujte znova z oficiálnych zdrojov, ideálne podľa vašich súborov compose alebo poznámok (lekcia 10.4).
4. Údaje (databázu, nahrané súbory) obnovte zo zálohy spred incidentu. Kód ani konfiguráciu neobnovujte naslepo: môžu obsahovať zadné dvierka. Aj obnovené údaje si kriticky prezrite; útočník mohol byť v systéme dlhšie, než si myslíte.
5. Zalepte dieru, cez ktorú sa útočník dostal dnu. Inak sa to stane znova. Pri hľadaní pomôže snapshot z kroku 3.

Vymeňte všetko, čo mohlo uniknúť

Počítajte s tým, že všetko, čo bolo na serveri, má útočník v rukách:

• SSH kľúče: verejné kľúče, ktoré boli na serveri, všade odstráňte; ak boli na serveri súkromné kľúče, vytvorte nové páry kľúčov.
• Heslá k databázam, administračným panelom a používateľom vašej aplikácie.
• API kľúče a tokeny (e-mail, platby, cloudové úložisko, úložisko záloh) zo súborov .env a z konfigurácie: zrušte ich v danej službe a nahraďte novými.
• Certifikáty: súkromný kľúč vášho certifikátu bol na serveri. Nechajte certifikát zrušiť a požiadajte o nový (s Let's Encrypt je to rýchle, lekcia 7.3).

Oznámenie: GDPR a ďalší

Ak boli na serveri osobné údaje (údaje zákazníkov, účty, e-mailové adresy), môže ísť o porušenie ochrany osobných údajov. GDPR (článok 33) hovorí, že prevádzkovateľ oznámi porušenie dozornému orgánu bez zbytočného odkladu a podľa možnosti do 72 hodín po tom, ako sa o ňom dozvedel. Na Slovensku je to Úrad na ochranu osobných údajov SR. Niekoľko dôležitých bodov:

• oznámenie nie je potrebné, ak porušenie pravdepodobne nepredstavuje riziko pre dotknuté osoby; v prípade pochybností ho oznámte;
• ak ešte nemáte všetky informácie, oznámte porušenie aj tak do 72 hodín a doplňte ich neskôr;
• ľudí, ktorých údaje unikli, informujte, ak im hrozí vysoké riziko;
• každé porušenie zaznamenajte do vlastného registra, aj keď ho nemusíte oznamovať.

Ak spravujete server pre zákazníka, ste zvyčajne sprostredkovateľ: vtedy musíte bez zbytočného odkladu informovať zákazníka (prevádzkovateľa), aby mohol porušenie oznámiť. Táto lekcia nie je právne poradenstvo; v prípade pochybností si pozrite stránku Úradu na ochranu osobných údajov SR.

Ďalej: zneužitie, ktoré prebehlo z vášho servera, nahláste svojmu poskytovateľovi (často ho už zaznamenal) a pri závažnom útoku podajte trestné oznámenie na Policajnom zbore SR. Ak vaša organizácia spadá pod zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti v znení novely č. 366/2024 Z. z. (transpozícia NIS2), platia osobitné, kratšie lehoty na hlásenie.

Príprava: núdzový plán

Incident vždy príde v nevhodnej chvíli. To, čo si pripravíte vopred, ušetrí hodiny:

• Vedzte, ako sa dostanete ku konzole a k tlačidlu snapshotu u vášho poskytovateľa, a majte prihlasovacie údaje k panelu (s dvojstupňovým overením) uložené niekde mimo servera.
• Vedzte, kde sú vaše zálohy, ako ich obnoviť a že naozaj fungujú (lekcia 8.2).
• Veďte si zoznam všetkých tajomstiev, ktoré sú na serveri, aby ste vedeli, čo treba vymeniť.
• Majte zoznam kontaktov: váš poskytovateľ, kto ďalší sa musí o serveri dozvedieť (zákazník, kolega) a kontaktné údaje pre oznámenie porušenia ochrany osobných údajov.

V praxi

V obrazovke VPS vo WebOké nájdete konzolu, snapshoty, zálohy a tlačidlo na preinštalovanie; u iných poskytovateľov sa volajú podobne (console alebo VNC, snapshot, rescue, reinstall). Tento kurz je svojpomocný: nikto vám na server nedozerá a nikto za vás incident neupratá. Práve preto je taký dôležitý núdzový plán, ktorý zvládnete vykonať sami.

Zhrnutie

• Signály: nevysvetliteľné zaťaženie, neznáme procesy, služby alebo kľúče, podivná odchádzajúca prevádzka, zmenené alebo zmiznuté súbory a logy.
• Prvé kroky: viesť denník, izolovať server, vytvoriť snapshot ako dôkaz, zabezpečiť zálohy.
• Server, na ktorom mal niekto root, nečistíte, ale preinštalujete; údaje obnovíte z čistej zálohy a zalepíte dieru.
• Vymeňte všetky kľúče, heslá, tokeny a certifikáty, ktoré boli na serveri.
• Zasiahlo to osobné údaje? Porušenie oznámte podľa možnosti do 72 hodín Úradu na ochranu osobných údajov SR a každé porušenie zaznamenajte.

Kvíz

Úloha

Úloha O10.3: Váš núdzový plán na jednej strane. Napíšte pre svoj server núdzový plán najviac na jednu stranu A4: ako sa dostanete do panela, ku konzole a k snapshotom; kde sú vaše zálohy a ako ich obnovíte; aké tajomstvá sú na serveri; koho musíte informovať (a či musíte oznámiť porušenie ochrany osobných údajov); a akých prvých päť krokov urobíte pri podozrení na prienik. Plán uložte mimo servera.

Ďalšie čítanie

• Nemáte už prístup k svojmu VPS? Čo robiť ďalej
• Snapshoty a zálohy vášho VPS
• Pripojenie vlastného ISO alebo preinštalovanie VPS
• Holandské NCSC, Gehackt, wat nu? (holandský zdroj v holandčine): https://www.ncsc.nl/incidenten-en-herstellen/gehackt-wat-nu
• Úrad na ochranu osobných údajov SR, oznámenie porušenia ochrany osobných údajov: https://dataprotection.gov.sk/
• VPS: od prvého prihlásenia po bezpečný server 9.1: Bez prístupu: na server sa už nedostanete
• VPS: od prvého prihlásenia po bezpečný server 9.5: Server napadnutý? Prvé kroky