Server violato? I primi passi

Segnali che qualcun altro è entrato nel Suo server: processi sconosciuti che usano molta CPU, un utente o una chiave SSH che non conosce, file modificati, oppure una segnalazione che il Suo server invia spam o attacchi. Mantenga la calma e proceda in questo ordine.

1. Documenti la situazione

Crei uno snapshot (vedere Snapshot: una rete di sicurezza per ogni modifica importante). In questo modo conserva le prove e potrà scoprire in seguito come l'aggressore è entrato. Non inizi subito a fare pulizia.

2. Isoli il server

Spenga il server con Spegni nella schermata del VPS, oppure configuri il firewall in modo che solo il Suo indirizzo IP possa ancora accedere via SSH. Se non riesce più ad accedere, utilizzi la console.

3. Reinstalli

Un server violato non si ripulisce: non può mai essere certo di aver trovato tutto. Reinstalli (vedere Reinstallare o collegare una ISO) e ripristini i Suoi dati da un backup di prima dell'intrusione. Non ripristini programmi o script che hanno reso possibile l'intrusione.

4. Sostituisca tutti i segreti

• Crei nuove chiavi SSH se ritiene che una chiave privata sia trapelata, e rimuova quelle vecchie da tutti i Suoi server.
• Sostituisca le password di database, app e pannelli di amministrazione, e i token in .env.
• Sostituisca le password delle caselle di posta e dei servizi i cui dati si trovavano sul server.

5. Chiuda la falla

Scopra come è potuto succedere: una password al posto di una chiave, un database o un pannello di amministrazione esposto, un plugin obsoleto, una porta che Docker ha pubblicato aggirando il Suo firewall. Ripercorra il capitolo 3 e Docker e il firewall: pubblicare le porte in modo sicuro prima di rendere di nuovo accessibile il server.

6. Notificare

Sul server c'erano dati personali, come dati dei clienti o indirizzi e-mail? Allora potrebbe essere tenuto a notificare la violazione dei dati entro 72 ore al Garante per la protezione dei dati personali, e talvolta anche a informare gli interessati. Consulti garanteprivacy.it.