Hacket? De første stegene

Tegn på at noen andre er inne på serveren din: ukjente prosesser som bruker mye prosessorkraft, en bruker eller SSH-nøkkel du ikke kjenner, endrede filer, eller en melding om at serveren din sender spam eller angrep. Hold deg rolig og gå frem i denne rekkefølgen.

1. Ta vare på tilstanden

Ta et snapshot (se Snapshots: et sikkerhetsnett før hver store endring). Slik tar du vare på bevisene, og du kan senere finne ut hvordan angriperen kom seg inn. Ikke begynn med å rydde opp.

2. Isoler serveren

Slå av serveren med Slå av i VPS-skjermen, eller sett opp brannmuren slik at bare din IP-adresse kommer til SSH. Kommer du ikke inn lenger, bruker du konsollen.

3. Installer på nytt

En hacket server kan du ikke rense: du vet aldri sikkert om du har funnet alt. Installer på nytt (se Installer på nytt eller koble til en ISO) og legg tilbake dataene dine fra en sikkerhetskopi fra før innbruddet. Ikke legg tilbake programmer eller skript som gjorde innbruddet mulig.

4. Bytt alle hemmeligheter

• Lag nye SSH-nøkler hvis du tror en privat nøkkel har lekket, og fjern de gamle fra alle serverne dine.
• Bytt passordene til databaser, apper og administrasjonspaneler, og tokenene i .env.
• Bytt passordene til e-postkontoer og tjenester der innloggingsdataene lå på serveren.

5. Tett hullet

Finn ut hvordan det kunne skje: et passord i stedet for en nøkkel, en åpen database eller et åpent administrasjonspanel, en utdatert plugin, en port som Docker publiserte forbi brannmuren din. Gå gjennom kapittel 3 og Docker og brannmuren: publiser porter på en trygg måte på nytt før du åpner serveren igjen.

6. Meld fra

Lå det personopplysninger på serveren, som kundedata eller e-postadresser? Da må du muligens melde et brudd på personopplysningssikkerheten til Datatilsynet innen 72 timer, og noen ganger også informere de berørte. Se datatilsynet.no.