Server napadnutý? Prvé kroky

Znaky, že na vašom serveri je niekto iný: neznáme procesy, ktoré výrazne zaťažujú procesor, používateľ alebo SSH kľúč, ktorý nepoznáte, zmenené súbory alebo upozornenie, že váš server odosiela spam či útoky. Zachovajte pokoj a postupujte v tomto poradí.

1. Zaznamenajte aktuálny stav

Vytvorte snapshot (pozrite Snapshoty: záchranná sieť pri každej väčšej zmene). Tým uchováte dôkazy a neskôr môžete zistiť, ako sa útočník dostal dnu. Nezačínajte najprv upratovaním.

2. Izolujte server

Vypnite server pomocou Vypnutie na obrazovke VPS alebo nastavte firewall tak, aby k SSH mala prístup už len vaša IP adresa. Ak sa už nedokážete prihlásiť, použite konzolu.

3. Nainštalujte server nanovo

Napadnutý server sa nedá spoľahlivo vyčistiť: nikdy si nemôžete byť istí, že ste našli všetko. Nainštalujte server nanovo (pozrite Preinštalovanie alebo pripojenie ISO) a obnovte svoje údaje zo zálohy z obdobia pred vniknutím. Neobnovujte programy ani skripty, ktoré vniknutie umožnili.

4. Vymeňte všetky tajné údaje

• Ak máte podozrenie, že unikol súkromný kľúč, vytvorte nové SSH kľúče a staré odstráňte zo všetkých svojich serverov.
• Zmeňte heslá k databázam, aplikáciám a administračným rozhraniam, ako aj tokeny v .env.
• Zmeňte heslá k e-mailovým schránkam a službám, ktorých prihlasovacie údaje boli uložené na serveri.

5. Odstráňte slabé miesto

Zistite, ako k tomu mohlo dôjsť: heslo namiesto kľúča, otvorená databáza alebo administračné rozhranie, zastaraný plugin, port, ktorý Docker zverejnil mimo vášho firewallu. Skôr než server znova sprístupníte, prejdite ešte raz kapitolu 3 a Docker a firewall: bezpečné publikovanie portov.

6. Nahlásenie

Boli na serveri osobné údaje, napríklad údaje zákazníkov alebo e-mailové adresy? V takom prípade možno budete musieť do 72 hodín nahlásiť únik údajov Úradu na ochranu osobných údajov Slovenskej republiky a niekedy informovať aj dotknuté osoby. Viac informácií nájdete na dataprotection.gov.sk.