Napadený server? První kroky

Známky toho, že je na Vašem serveru někdo cizí: neznámé procesy, které výrazně vytěžují procesor, uživatel nebo klíč SSH, který neznáte, změněné soubory nebo upozornění, že Váš server rozesílá spam či útoky. Zachovejte klid a postupujte v tomto pořadí.

1. Zachyťte aktuální stav

Pořiďte snímek (viz Snapshoty: záchranná síť pro každou velkou změnu). Uchováte tak důkazy a později můžete zjistit, jak se útočník dostal dovnitř. Nezačínejte hned s úklidem.

2. Izolujte server

Vypněte server tlačítkem Vypnout na obrazovce VPS, nebo nastavte firewall tak, aby se k SSH dostala už jen Vaše IP adresa. Pokud se nemůžete přihlásit, použijte konzoli.

3. Přeinstalujte server

Napadený server se vyčistit nedá: nikdy nebudete mít jistotu, že jste našli všechno. Přeinstalujte jej (viz Přeinstalace nebo připojení ISO) a obnovte svá data ze zálohy pořízené před průnikem. Neobnovujte programy ani skripty, které průnik umožnily.

4. Vyměňte všechna tajemství

• Pokud se domníváte, že mohl uniknout soukromý klíč, vytvořte nové klíče SSH a staré odstraňte ze všech svých serverů.
• Změňte hesla k databázím, aplikacím a administračním rozhraním a také tokeny v .env.
• Změňte hesla k e-mailovým schránkám a službám, jejichž údaje byly na serveru uložené.

5. Odstraňte příčinu

Zjistěte, jak k průniku došlo: heslo místo klíče, otevřená databáze nebo administrační rozhraní, zastaralý plugin, port, který Docker zveřejnil mimo Váš firewall. Než server znovu zpřístupníte, projděte znovu kapitolu 3 a Docker a firewall: jak bezpečně publikovat porty.

6. Nahlášení

Byly na serveru osobní údaje, například údaje zákazníků nebo e-mailové adresy? Pak možná musíte únik dat do 72 hodin nahlásit Úřadu pro ochranu osobních údajů (ÚOOÚ) a někdy také informovat dotčené osoby. Více informací najdete na uoou.gov.cz.