Luku 9 · 9.5
Murrettu? Ensimmäiset askeleet
Merkkejä siitä, että palvelimellasi on joku muu: tuntemattomia prosesseja, jotka kuormittavat suoritinta paljon, käyttäjä tai SSH-avain, jota et tunnista, muutettuja tiedostoja tai ilmoitus siitä, että palvelimesi lähettää roskapostia tai hyökkäyksiä. Pysy rauhallisena ja etene tässä järjestyksessä.
1. Tallenna tilanne
Ota tilannevedos (katso Snapshotit: turvaverkko jokaiseen suureen muutokseen). Näin säilytät todisteet ja voit myöhemmin selvittää, miten hyökkääjä pääsi sisään. Älä aloita siivoamisesta.
2. Eristä palvelin
Sammuta palvelin VPS-näkymän Sammutus-toiminnolla tai määritä palomuuri niin, että vain oma IP-osoitteesi pääsee enää SSH:hon. Jos et enää pääse sisään, käytä konsolia.
3. Asenna uudelleen
Murrettua palvelinta ei puhdisteta: et voi koskaan olla varma, että löysit kaiken. Asenna uudelleen (katso Asenna uudelleen tai liitä ISO-levy) ja palauta tietosi varmuuskopiosta, joka on otettu ennen murtoa. Älä palauta ohjelmia tai skriptejä, jotka mahdollistivat murron.
4. Vaihda kaikki salaisuudet
- Luo uudet SSH-avaimet, jos epäilet yksityisen avaimen vuotaneen, ja poista vanhat kaikilta palvelimiltasi.
- Vaihda tietokantojen, sovellusten ja hallintanäkymien salasanat sekä tunnukset tiedostossa
.env. - Vaihda niiden sähköpostilaatikoiden ja palvelujen salasanat, joiden tiedot olivat palvelimella.
5. Tuki aukko
Selvitä, miten murto oli mahdollinen: salasana avaimen sijaan, avoin tietokanta tai hallintanäkymä, vanhentunut lisäosa tai portti, jonka Docker julkaisi palomuurisi ohi. Käy luku 3 ja Docker ja palomuuri: porttien turvallinen julkaiseminen uudelleen läpi ennen kuin avaat palvelimen taas.
6. Ilmoita
Oliko palvelimella henkilötietoja, kuten asiakastietoja tai sähköpostiosoitteita? Silloin sinun on mahdollisesti ilmoitettava tietoturvaloukkauksesta Tietosuojavaltuutetun toimistolle 72 tunnin kuluessa ja joskus myös kerrottava asiasta niille, joita se koskee. Katso lisätietoja osoitteesta tietosuoja.fi.