Włamanie na serwer? Pierwsze kroki

Sygnały, że ktoś inny ma dostęp do Państwa serwera: nieznane procesy mocno obciążające procesor, użytkownik lub klucz SSH, którego Państwo nie znają, zmienione pliki albo powiadomienie, że serwer wysyła spam lub przeprowadza ataki. Prosimy zachować spokój i postępować w poniższej kolejności.

1. Zabezpieczenie stanu serwera

Prosimy wykonać snapshot (zob. Snapshoty: zabezpieczenie przed każdą większą zmianą). W ten sposób zachowują Państwo dowody i mogą później ustalić, jak atakujący dostał się do serwera. Prosimy nie zaczynać od sprzątania.

2. Izolacja serwera

Prosimy wyłączyć serwer za pomocą opcji Zamknij system na ekranie VPS albo ustawić zaporę tak, aby tylko Państwa adres IP miał dostęp do SSH. Jeśli nie mogą się Państwo zalogować, prosimy skorzystać z konsoli.

3. Ponowna instalacja

Serwera, na który się włamano, nie da się wyczyścić: nigdy nie ma pewności, że znaleziono wszystko. Prosimy zainstalować system ponownie (zob. Ponowna instalacja lub podłączenie obrazu ISO) i przywrócić dane z kopii zapasowej wykonanej przed włamaniem. Prosimy nie przywracać programów ani skryptów, które umożliwiły włamanie.

4. Zmiana wszystkich danych poufnych

• Jeśli podejrzewają Państwo, że klucz prywatny wyciekł, prosimy wygenerować nowe klucze SSH i usunąć stare ze wszystkich swoich serwerów.
• Prosimy zmienić hasła do baz danych, aplikacji i paneli administracyjnych, a także tokeny w .env.
• Prosimy zmienić hasła do skrzynek pocztowych i usług, których dane znajdowały się na serwerze.

5. Usunięcie luki

Prosimy ustalić, jak doszło do włamania: hasło zamiast klucza, otwarta baza danych lub panel administracyjny, nieaktualna wtyczka, port opublikowany przez Docker z pominięciem zapory. Przed ponownym udostępnieniem serwera prosimy jeszcze raz przejść przez rozdział 3 oraz Docker i zapora sieciowa: bezpieczne publikowanie portów.

6. Zgłoszenie

Czy na serwerze znajdowały się dane osobowe, takie jak dane klientów lub adresy e-mail? W takim przypadku mogą Państwo mieć obowiązek zgłoszenia naruszenia ochrony danych do UODO (Urząd Ochrony Danych Osobowych) w ciągu 72 godzin, a czasem także poinformowania osób, których dane dotyczą. Więcej informacji na stronie uodo.gov.pl.