Häkitud? Esimesed sammud

Märgid, et keegi teine on su serveris: tundmatud protsessid, mis kasutavad palju protsessorit, kasutaja või SSH-võti, mida sa ei tunne, muudetud failid või teade, et su server saadab rämpsposti või rünnakuid. Jää rahulikuks ja tegutse selles järjekorras.

1. Salvesta olukord

Tee hetktõmmis (vt Hetktõmmised: turvavõrk iga suure muudatuse jaoks). Nii säilitad tõendid ja saad hiljem välja selgitada, kuidas ründaja sisse pääses. Ära hakka kõigepealt koristama.

2. Isoleeri server

Lülita server VPS-i ekraanil nupuga Väljalülitamine välja või sea tulemüür nii, et SSH-le pääseb ligi ainult sinu IP-aadress. Kui sa enam sisse ei pääse, kasuta konsooli.

3. Paigalda uuesti

Häkitud serverit ei saa puhtaks teha: sa ei tea kunagi kindlalt, kas leidsid kõik üles. Paigalda uuesti (vt Uuesti paigaldamine või ISO ühendamine) ja taasta oma andmed varukoopiast, mis on tehtud enne sissetungi. Ära taasta programme ega skripte, mis sissetungi võimalikuks tegid.

4. Vaheta kõik saladused

• Loo uued SSH-võtmed, kui arvad, et privaatvõti on lekkinud, ja eemalda vanad kõigist oma serveritest.
• Vaheta andmebaaside, rakenduste ja haldusliideste paroolid ning tokenid failis .env.
• Vaheta nende postkastide ja teenuste paroolid, mille andmed olid serveris.

5. Sulge turvaauk

Selgita välja, kuidas see juhtus: parool võtme asemel, avatud andmebaas või haldusliides, aegunud plugin, port, mille Docker sinu tulemüürist mööda avaldas. Käi 3. peatükk ja Docker ja tulemüür: pordid turvaliselt avalikuks uuesti läbi, enne kui serveri jälle avad.

6. Teavitamine

Kas serveris oli isikuandmeid, näiteks klientide andmeid või e-posti aadresse? Siis võid olla kohustatud andmelekkest 72 tunni jooksul Andmekaitse Inspektsiooni teavitama ja mõnikord ka asjaosalisi informeerima. Vaata aki.ee.