Спасение серверов
Восстановление взломанного сервера
Скомпрометированному серверу доверять нельзя: ядро, исполняемые файлы и задания cron могут быть изменены. Профессиональное восстановление изолирует узел, сохраняет улики, находит первоначальный взлом, пересобирает систему начисто, возвращает проверенные данные и закрывает тот же вектор — именно в таком порядке и без упрощений.
Главное
- Немедленно отключить сервер от сети, чтобы остановить спам, атаки и распространение по сети.
- Снять снимок и образ дисков до любых попыток починки, пока цела улика.
- Определить путь проникновения по журналам, временным меткам файлов и анализу вредоносного ПО.
- Пересобрать операционную систему начисто: вычищать заражённую систему на месте никогда не достаточно.
- Возвращать только заведомо чистые данные и конфигурации, предварительно проверив их повторным сканированием.
- Сменить все учётные данные, ключи, токены API и клиентские пароли.
- Закрыть пересобранную систему от выявленного вектора и одновременно применить полный базовый набор мер.
- Выдать отчёт после инцидента с хронологией, причиной и шагами по предотвращению.
Частые вопросы
Можно просто удалить вредоносное ПО?
На узле с получением прав root — нет. Механизмы закрепления переживают удаление файлов, и единственное надёжное восстановление это пересборка.
Как понять, как именно они попали внутрь?
Сопоставление журналов, временные метки вредоносного ПО и сопоставление с уязвимостями обычно раскрывают вектор за несколько часов.
Уцелеют ли наши данные?
В большинстве случаев да: данные возвращаются из проверенных копий после повторного сканирования, а по базам данных делается построчная выборочная проверка.
Нужно ли сообщать клиентам?
Обязанности по раскрытию зависят от юрисдикции и от того, какие данные затронуты. Мы консультируем и всё документируем.
Как мы берём на себя спасение серверов
Вам не обязательно становиться экспертом в спасение серверов: Экстренные работы для взломанных, повреждённых и отказавших серверов: изоляция, диагностика, восстановление и усиление защиты. Именно для этого и существует наша услуга Удаление вредоносного ПО и Администрирование серверов — настройка, усиление защиты, мониторинг и живой человек на связи днём и ночью.