Kui midagi läheb valesti

Moodul 10: Turvaliseks jäämine · Lugemisaeg: 11 minutit

Õpieesmärk: Pärast seda õppetundi tunned ära häkitud serveri märgid, teed esimesed sammud ilma tõendeid või varukoopiaid hävitamata, valid puhastamise ja uuesti paigaldamise vahel ning tead, millal pead andmelekkest teatama.

Põhimõisted: intsident, märgid, isoleerimine, hetktõmmis tõendina, intsidendi logiraamat, uuesti paigaldamine, võtmete ja paroolide vahetamine, puhas varukoopia, andmelekkest teatamise kohustus (72 tundi), Andmekaitse Inspektsioon, hädaabiplaan

Intsidendi äratundmine

Sissemurdmine annab endast harva ise märku. Enamasti märkad midagi, mis on "imelik". Märgid, mida tõsiselt võtta:

• Suur koormus ilma põhjuseta: protsessor on pidevalt 100% peal, näiteks krüptokaevandaja tõttu. Vaata käsuga top või htop, mis protsess see on ja millise kasutaja all see töötab.
• Tundmatud protsessid või teenused: kummalise nimega programm, sageli kaustas /tmp, /dev/shm või /var/tmp, või systemd-teenus või taimer, mida sa ise ei loonud.
• Väljuv liiklus, mis ei klapi: teenusepakkuja teatab, et su server saadab rämpsposti või ründab teisi servereid, või paneeli võrgugraafikutel on näha tippe.
• Uued kasutajad või võtmed: rida failis ~/.ssh/authorized_keys, mida sa ei tunne, kasutaja failis /etc/passwd, kelle UID on 0, uus rida failis /etc/sudoers.d/.
• Muudetud failid: tundmatud PHP-failid su veebisaidil, muudetud crontab.
• Logid, mis on kadunud või tühjad: ründajad armastavad oma jälgi kustutada.

Mõned käsud, millega kiiresti ringi vaadata:

anna@web1:~$ top -o %CPU
anna@web1:~$ sudo ss -tunap | grep ESTAB
anna@web1:~$ sudo last -n 20
anna@web1:~$ awk -F: '$3 == 0 {print $1}' /etc/passwd
anna@web1:~$ sudo find /etc/systemd/system /etc/cron* -newer /etc/hostname -type f
anna@web1:~$ for u in /root /home/*; do sudo cat $u/.ssh/authorized_keys 2>/dev/null; done

last näitab, kes ja millal sisse logis, awk-rida näitab kõiki kontosid, mille UID on 0 (see peaks olema ainult root), ja find-rida otsib unit'e ja cron-faile, mis on uuemad kui paigaldamise ajal loodud fail.

Tähelepanu: päriselt häkitud serveris võivad ka need käsud olla võltsitud. Need aitavad sul midagi kahtlustada, mitte tõestada, et kõik on puhas.

Esimesed sammud: rahu, isoleerimine, dokumenteerimine

Esimestel minutitel on kõige tähtsam mitte paanikas asju ära visata. Tegutse selles järjekorras.

1. Alusta logiraamatut. Kirjuta paberile või sülearvutisse (mitte serverisse), mida näed, millal ja mida teed. Seda on sul hiljem vaja põhjuse leidmiseks, teatamiseks, politseile avalduse tegemiseks või kindlustuse jaoks. Seda soovitab ka Hollandi NCSC.

2. Isoleeri server. Takista tal edasist kahju tegemast (rämpspost, rünnakud, andmete välja saatmine), ilma et peaksid teda välja lülitama:

• sulge teenusepakkuja tulemüüris (kui see on olemas) kõik peale SSH oma aadressilt; või
• tee sama serveris endas, konsooli kaudu;
• kui teisiti ei saa: lülita server paneelist välja. Siis kaotad aga mälu sisu.

3. Tee hetktõmmis. Hetktõmmis paneelis salvestab olukorra sellisena, nagu see praegu on. See on sinu tõend ja allikas, mille abil hiljem välja selgitada, kuidas ründaja sisse pääses, ka siis, kui paigaldad serveri pärast uuesti.

4. Pane varukoopiad kindlasse kohta. Kontrolli, kas väljaspool serverit olevad varukoopiad on veel terved, ja hoolitse, et häkitud server neile enam ligi ei pääse (näiteks tühista serveri juurdepääsuvõti varukoopiate hoidlale). Ründajad üritavad ka varukoopiaid kustutada või krüpteerida.

Puhastada või uuesti paigaldada?

Ahvatlev vastus on: eemalda kahtlane fail, peata krüptokaevandaja, valmis. Kuid sa ei tea, mida ründaja veel tegi: teine tagauks, muudetud programm, lisavõti, taimer, mis kõik tagasi paneb. Serverit, kus kellelgi on olnud root, ei saa enam usaldada.

Haldurite ja ka Hollandi NCSC soovitus on seetõttu: paigalda mõjutatud süsteemid uuesti ja taasta andmed varukoopiast, mis ise ei ole nakatunud. Konkreetselt:

1. Uus paigaldus (uuesti paigaldamine paneelis või uus server).
2. Kohe selle kursuse põhitõed: uuendused, tavakasutaja sudoga, SSH uute võtmetega, tulemüür (moodulid 2 kuni 5).
3. Paigalda rakendused uuesti ametlikest allikatest, eelistatult oma compose-failide või märkmete abil (õppetund 10.4).
4. Taasta andmed (andmebaas, üleslaaditud failid) intsidendieelsest varukoopiast. Ära taasta koodi ega seadistust pimesi: need võivad sisaldada tagaust. Vaata ka taastatud andmeid kriitiliselt; ründaja võis olla sees kauem, kui arvad.
5. Sulge auk, mille kaudu ründaja sisse pääses. Muidu juhtub see uuesti. Sammu 3 hetktõmmis aitab seda välja selgitada.

Vaheta välja kõik, mis võis lekkida

Eelda, et kõik, mis serveris oli, on ründaja käes:

• SSH-võtmed: eemalda serveris olnud avalikud võtmed kõikjalt, loo uued võtmepaarid, kui serveris oli privaatvõtmeid.
• Andmebaaside, halduspaneelide ja rakenduse kasutajate paroolid.
• API-võtmed ja tokenid (e-post, maksed, pilvesalvestus, varukoopiate hoidla) .env-failidest ja seadistusest: tühista need teenuse juures ja asenda.
• Sertifikaadid: sinu sertifikaadi privaatvõti oli serveris. Lase sertifikaat tühistada ja taotle uus (Let's Encryptiga käib see kiiresti, õppetund 7.3).

Teatamine: isikuandmete kaitse üldmäärus (GDPR) ja teised

Kui serveris oli isikuandmeid (kliendiandmed, kontod, e-posti aadressid), on võimalik, et tegu on andmelekkega. Isikuandmete kaitse üldmäärus (GDPR, artikkel 33) ütleb, et vastutav töötleja teatab andmelekkest järelevalveasutusele põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast sellest teada saamist. Eestis on selleks Andmekaitse Inspektsioon (AKI). Mõned punktid järelevalveasutuse selgitustest:

• teatama ei pea, kui leke tõenäoliselt ei too asjaomastele isikutele kaasa ohtu; kui kahtled, siis teata;
• kui sul pole veel kogu teavet, teata ikkagi 72 tunni jooksul ja täienda hiljem;
• inimesi, kelle andmed lekkisid, teavitad siis, kui neile on suur oht;
• iga andmeleke kannad oma registrisse, ka siis, kui sa ei pea teatama.

Kui haldad serverit kliendi jaoks, oled tavaliselt volitatud töötleja: siis pead põhjendamatu viivituseta teavitama klienti (vastutavat töötlejat), et tema saaks teatada. See õppetund ei ole õigusnõu; kahtluse korral vaata Andmekaitse Inspektsiooni veebilehte.

Lisaks: teata oma serverist toimunud kuritarvitusest teenusepakkujale (tihti on ta seda juba märganud) ja tõsise rünnaku korral esita avaldus Politsei- ja Piirivalveametile. Kui su organisatsioon kuulub küberturvalisuse seaduse (NIS2 ülevõtmiseks muudetud) alla, kehtivad eraldi, lühemad teatamistähtajad.

Valmistumine: hädaabiplaan

Intsident juhtub alati halval ajal. See, mis on eelnevalt korraldatud, säästab tunde:

• Tea, kuidas pääsed teenusepakkuja konsooli ja hetktõmmise nupu juurde, ning hoia paneeli sisselogimisandmeid (kaheastmelise kinnitusega) kusagil väljaspool serverit.
• Tea, kus su varukoopiad asuvad, kuidas neid taastada ja et need töötavad (õppetund 8.2).
• Pea nimekirja kõigist serveris olevatest saladustest, et teaksid, mida tuleb vahetada.
• Pea kontaktide nimekirja: sinu teenusepakkuja, kes veel peab serverist teadma (klient, kolleeg) ja kontaktandmed andmelekkest teatamiseks.

Praktikas

WebOké VPS-i vaates leiad konsooli, hetktõmmised, varukoopiad ja uuesti paigaldamise nupu; teistel teenusepakkujatel on neil enam-vähem samad nimed (console või VNC, snapshot, rescue, reinstall). See kursus on iseabi: keegi ei jälgi sinu serverit ega korista intsidenti sinu eest ära. Just seetõttu on nii tähtis hädaabiplaan, mida saad ise ellu viia.

Kokkuvõte

• Märgid: seletamatu koormus, tundmatud protsessid, teenused või võtmed, kummaline väljuv liiklus, muudetud või kadunud failid ja logid.
• Esimesed sammud: pea logiraamatut, isoleeri server, tee hetktõmmis tõendiks, pane varukoopiad kindlasse kohta.
• Serverit, kus kellelgi oli root, ei puhasta, vaid paigaldad uuesti; andmed taastad puhtast varukoopiast ja sulged augu.
• Vaheta välja kõik võtmed, paroolid, tokenid ja sertifikaadid, mis serveris olid.
• Puudutas isikuandmeid? Andmelekkest teatad võimaluse korral 72 tunni jooksul Andmekaitse Inspektsioonile ja iga lekke kannad registrisse.

Test (quiz)

Ülesanne

Ülesanne O10.3: Sinu hädaabiplaan ühel lehel. Kirjuta oma serveri jaoks hädaabiplaan, mis mahub ühele A4-le: kuidas pääsed paneeli, konsooli ja hetktõmmiste juurde; kus on su varukoopiad ja kuidas neid taastada; millised saladused on serveris; keda pead teavitama (ja kas pead andmelekkest teatama); ning millised on esimesed viis sammu, kui kahtlustad sissemurdmist. Hoia plaani väljaspool serverit.

Loe edasi

• Pole enam ligipääsu oma VPS-ile: mis nüüd?
• VPS-i hetktõmmised ja varukoopiad
• Oma ISO ühendamine või VPS-i uuesti paigaldamine
• Hollandi NCSC, Gehackt, wat nu? (hollandikeelne allikas): https://www.ncsc.nl/incidenten-en-herstellen/gehackt-wat-nu
• Andmekaitse Inspektsioon (AKI), rikkumisest teavitamine Andmekaitse Inspektsioonile: https://www.aki.ee/