13
侵害されたサーバーに対処するにはどうすればよいですか？
これは、標準的な質問 Serverのセキュリティについて-イベントを侵害への対応（ハッキング） 参照します： LAMPサーバーを保護するためのヒント ルート侵害後に再インストールしますか？ Canonicalバージョン 1つ以上のサーバーがハッカー、ウイルス、またはその他のメカニズムによって侵害されていると思われます。 私の最初のステップは何ですか？サイトに到着したら、サーバーを切断し、「証拠」を保存する必要がありますか、他の最初の考慮事項はありますか？ サービスをオンラインに戻すにはどうすればよいですか？ 同じことをすぐに再発しないようにするにはどうすればよいですか？ このインシデントから学習するためのベストプラクティスまたは方法論はありますか？ インシデントレスポンスプランをまとめたい場合、どこから始めますか？これは災害復旧または事業継続計画の一部ですか？ 元のバージョン 2011.01.02-私たちのサーバーが何らかの形で侵害され、プロバイダーに対するDOS攻撃が発生したため、私は日曜日の午後9時30分に仕事に取り掛かり ます。インターネットへのサーバーアクセスがシャットダウンされたため、5〜600を超えるクライアントサイトが現在ダウンしています。現在、これはFTPハック、またはコードのどこかの弱点である可能性があります。そこに着くまでわからない。 これをすばやく追跡するにはどうすればよいですか？サーバーをできるだけ早くバックアップしないと、私たちは多くの訴訟に巻き込まれます。どんな助けも大歓迎です。Open SUSE 11.0を実行しています。 2011.01.03-ご協力ありがとうございました。幸いなことに、このサーバーの責任者は私だけではなく、最も近い人でした。この問題を解決することはできましたが、他の多くの状況には当てはまらない場合があります。私たちがやったことを詳しく説明します。 サーバーをネットから取り外しました。インドネシアの別のサーバーでサービス拒否攻撃を実行（実行しようとしています）し、有罪者もそこに拠点を置いていました。 サーバー上に500を超えるサイトがあることを考慮して、最初にサーバー上のどこから来たかを特定しようとしました。ただし、SSHアクセスを引き続き使用して、攻撃が開始されたときに編集または作成されたすべてのファイルを検索するコマンドを実行しました。幸いなことに、問題のあるファイルは冬の休暇中に作成されたため、その時点ではサーバー上に他の多くのファイルは作成されていませんでした。 その後、ZenCart Webサイト内のアップロードされた画像フォルダー内にある問題のあるファイルを特定することができました。 短いタバコの休憩の後、ファイルの場所のため、不十分に保護されたファイルアップロード機能を介してアップロードされたに違いないと結論付けました。いくつかのグーグル検索の後、レコード会社の写真のために、ZenCart管理パネル内でファイルをアップロードできるセキュリティ脆弱性があることがわかりました。（実際に使用したこともないセクション）、このフォームを投稿するとファイルがアップロードされただけで、ファイルの拡張子はチェックされず、ユーザーがログインしているかどうかもチェックされませんでした。 これは、攻撃用のPHPファイルを含む、任意のファイルをアップロードできることを意味しました。感染したサイトでZenCartを使用して脆弱性を保護し、問題のあるファイルを削除しました。 仕事は終わり、私は午前2時に家にいました 道徳 -常にZenCartまたはその他のCMSシステムのセキュリティパッチを適用してください。セキュリティ更新プログラムがリリースされると、世界中の人々がこの脆弱性を認識します。-常にバックアップを行い、バックアップをバックアップします。-これらのような時間にそこにいる誰かを雇用または手配します。Server Faultのパニック投稿に依存することを防ぐため。