Εν ολίγοις: Προτού στήσετε ξανά έναν παραβιασμένο διακομιστή, διασφαλίστε τα αποδεικτικά με τη σειρά της φθαρτότητάς τους: πρώτα διεργασίες, συνδέσεις και συνδεδεμένοι χρήστες, μετά logs και διαμόρφωση, έπειτα ένα πλήρες είδωλο του συστήματος και τα δεδομένα των υπηρεσιών που προηγούνται. Κάθε αντίγραφο λαμβάνει άθροισμα ελέγχου και φυλάσσεται εκτός του διακομιστή. Ο διακομιστής αποσυνδέεται γι' αυτό από το δίκτυο, αλλά δεν απενεργοποιείται.
Το αντανακλαστικό της άμεσης επανεγκατάστασης
Όποιος ανακαλύπτει μια εισβολή θέλει να την τερματίσει όσο το δυνατόν γρηγορότερα. Ένα φρέσκο σύστημα, καθαρά εγκατεστημένο, με νέους κωδικούς: αυτό δίνει αίσθηση ελέγχου. Τεχνικά, η ανακατασκευή είναι συχνά και ο σωστός δρόμος, ιδίως αν ο επιτιθέμενος είχε δικαιώματα root.
Το πρόβλημα είναι ο χρόνος. Με το παλιό σύστημα χάνονται όλες οι απαντήσεις στα ερωτήματα που θα έρθουν τις επόμενες ημέρες. Μέσω ποιας ευπάθειας μπήκε ο επιτιθέμενος; Από πότε βρισκόταν στο σύστημα; Είχε πρόσβαση σε δεδομένα πελατών; Επηρεάζεται και ο διακομιστής βάσης δεδομένων δίπλα; Χωρίς ίχνη μένουν μόνο εικασίες, και αυτές δεν βοηθούν ούτε στην προστασία δεδομένων ούτε στην ασφάλιση.
Μετά το PHP2Shell προστίθεται ένα ιδιαίτερο σημείο: δεν υπάρχουν δημοσιευμένοι, επιβεβαιωμένοι Indicators of Compromise. Το αν και πώς επηρεάστηκε ένας διακομιστής προκύπτει μόνο από τη συμπεριφορά, δηλαδή από ακριβώς τα ίχνη που σβήνει μια βιαστική ανακατασκευή. Ο εξειδικευμένος Τύπος συνιστά τη διατήρηση των logs του διακομιστή από τις 20/10/2026.
Διασφάλιση αποδεικτικών στον διακομιστή: η σειρά μετράει
Τα ίχνη έχουν διαφορετική φθαρτότητα. Ό,τι βρίσκεται στη μνήμη εξαφανίζεται με την επόμενη επανεκκίνηση. Τα logs επιβιώνουν περισσότερο, αλλά περιστρέφονται. Τα δεδομένα σε υπηρεσίες που προηγούνται χάνονται σύμφωνα με τις δικές τους προθεσμίες. Από αυτό προκύπτει η σειρά:
| Ίχνος | Φθαρτότητα | Πώς διασφαλίζεται |
|---|---|---|
| Διεργασίες, συνδέσεις δικτύου, συνδεδεμένοι χρήστες | εξαφανίζεται με την επανεκκίνηση | εγγραφή της εξόδου των εντολών συστήματος σε αρχεία |
| Μνήμη (RAM) | εξαφανίζεται με την επανεκκίνηση | μόνο με ειδικό εργαλείο, δουλειά για ειδικούς εγκληματολογίας |
Προσωρινά αρχεία στο /tmp ή στο /dev/shm |
συχνά διαγράφονται κατά την επανεκκίνηση | αντιγραφή χωρίς εκτέλεση |
| Logs διακομιστή ιστού, PHP, συστήματος | περιστρέφονται | πλήρης αντιγραφή, παύση της περιστροφής |
| Σύστημα αρχείων και βάση δεδομένων | σταθερά μέχρι την επανεγκατάσταση | snapshot ή είδωλο δίσκου, εξαγωγή βάσης δεδομένων |
| CDN, WAF, firewall, πάροχος φιλοξενίας | διατήρηση σύμφωνα με τις προθεσμίες του παρόχου | αίτημα εξαγωγής, γραπτή επιβεβαίωση |
Τη μνήμη τη διασφαλίζετε μόνο αν είναι διαθέσιμος κάποιος με κατάλληλο εργαλείο και εμπειρία. Σε συστήματα με ευαίσθητα δεδομένα ή προβλέψιμη δικαστική διαμάχη, αυτό πρέπει να το αναλάβει μια εγκληματολογική έρευνα IT.
Καταγραφή των εφήμερων δεδομένων σε λίγα λεπτά
Οι παρακάτω εντολές δεν αλλάζουν τίποτα στο σύστημα. Γράφουν την τρέχουσα κατάσταση σε αρχεία, τα οποία στη συνέχεια διασφαλίζονται εκτός του διακομιστή. Δημιουργήστε τον φάκελο προορισμού κατά το δυνατόν σε συνδεδεμένο, ξεχωριστό δίσκο:
ZIEL=/mnt/sicherung/fall-$(date -u +%Y%m%dT%H%MZ)
mkdir -p "$ZIEL"
date -u > "$ZIEL/zeitpunkt-utc.txt"
ps auxwwf > "$ZIEL/prozesse.txt"
ss -tunap > "$ZIEL/verbindungen.txt"
who -a > "$ZIEL/angemeldet.txt"
last -F > "$ZIEL/anmeldungen.txt"
ip addr > "$ZIEL/netz.txt"; ip route >> "$ZIEL/netz.txt"
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done > "$ZIEL/cronjobs.txt"
sha256sum "$ZIEL"/* > "$ZIEL.sha256"
Πώς θα διασφαλίσετε στη συνέχεια πλήρως τα logs και πώς θα τα αξιολογήσετε, περιγράφει ο οδηγός Αξιολόγηση των logs του διακομιστή ιστού μετά από επίθεση. Σε εικονικούς διακομιστές, ένα snapshot μέσω της διαχείρισης του παρόχου είναι ο ευκολότερος δρόμος προς ένα πλήρες είδωλο. Καταγράφει το σύστημα χωρίς να χρειαστεί να ξεκινήσετε επιπλέον εργαλεία στον παραβιασμένο διακομιστή.
Ώστε το αντίγραφο να έχει αξία αργότερα
Ένα αντίγραφο ασφαλείας αξίζει όσο και η απόδειξή του. Τρεις κανόνες το κάνουν αξιόπιστο:
- Αθροίσματα ελέγχου: Κάθε αρχείο που διασφαλίζεται λαμβάνει άθροισμα ελέγχου SHA-256. Έτσι μπορεί να αποδειχθεί αργότερα ότι το αντίγραφο είναι αναλλοίωτο.
- Πρωτόκολλο: Ποιος διασφάλισε τι, πότε, με ποια εντολή και πού; Κάθε παράδοση σε τρίτους καταγράφεται. Οι ειδικοί το ονομάζουν αλυσίδα απόδειξης.
- Χωριστή φύλαξη: Τα αντίγραφα ανήκουν σε σύστημα στο οποίο ο επιτιθέμενος δεν είχε πρόσβαση και χρησιμοποιούνται στη συνέχεια μόνο για ανάγνωση.
Στη συνέχεια εργάζεστε μόνο με αντίγραφα. Κάθε ανάλυση στο πρωτότυπο αλλάζει χρονοσημάνσεις και μπορεί να επικαλύψει ίχνη. Μην εκτελείτε ποτέ ύποπτα αρχεία και μην τα ανοίγετε μέσω του περιηγητή.
Ζητήστε νωρίς τα logs από το CDN, το WAF και τον πάροχο φιλοξενίας. Αυτά τα δεδομένα βρίσκονται εκτός του διακομιστή σας και είναι δύσκολο για έναν επιτιθέμενο να τα παραποιήσει, διατηρούνται όμως συχνά μόνο για σύντομο διάστημα.
Τι καταστρέφει την εικόνα των αποδείξεων
Πολλά ίχνη δεν χάνονται εξαιτίας του επιτιθέμενου, αλλά εξαιτίας καλοπροαίρετων πρώτων βοηθειών. Αυτά τα βήματα πρέπει να αποφεύγονται πριν από τη διασφάλιση:
- Επανεκκίνηση ή τερματισμός: Διεργασίες, συνδέσεις και μνήμη έχουν στη συνέχεια χαθεί.
- Antivirus με αυτόματη διαγραφή: Αφαιρεί αρχεία προτού τα διασφαλίσει κάποιος και αλλάζει χρονοσημάνσεις.
- Εκκαθάριση logs ή φακέλων temp: Ακόμη κι αν ο χώρος στενεύει, πρώτα αντιγράψτε, μετά διαγράψτε.
- Εγκατάσταση νέων εργαλείων από το διαδίκτυο στον διακομιστή: Κάθε εγκατάσταση γράφει στο σύστημα αρχείων και μπορεί να καλύψει ίχνη.
- Σύνδεση με προνομιακά διαπιστευτήρια χωρίς ανάγκη: Αν στον διακομιστή εκτελείται ακόμη κακόβουλος κώδικας, οι κωδικοί που πληκτρολογούνται μπορούν να αναγνωστούν.
Ιδίως οι ασφαλιστές ρωτούν αργότερα τι διασφαλίστηκε και πότε. Υποδείξεις για τυπικές υποχρεώσεις θα βρείτε στο Ασφάλιση κυβερνοκινδύνων: τι μετράει σε περίπτωση ζημιάς.
Στάθμιση: πόσος χρόνος υπάρχει για τη διασφάλιση;
Δεν επιτρέπει κάθε περιστατικό μακρά διασφάλιση. Αν εκείνη τη στιγμή διαρρέουν δεδομένα ή δέχονται επίθεση οι επισκέπτες, προηγείται ο περιορισμός. Η αποσύνδεση από το δίκτυο με το σύστημα σε λειτουργία συνδυάζει και τα δύο: ο επιτιθέμενος χάνει την πρόσβαση, τα ίχνη διατηρούνται. Για τους περισσότερους διακομιστές ιστού αρκεί στη συνέχεια ένα διαχειρίσιμο χρονικό διάστημα για τα εφήμερα δεδομένα και το snapshot.
Πάρτε την απόφαση συνειδητά και καταγράψτε την: ποιος αποφάσισε πότε θα γίνει η επανεγκατάσταση και τι διασφαλίστηκε πριν; Αυτή η σημείωση αποτελεί αργότερα μέρος της χρονολογικής καταγραφής του περιστατικού. Το αν η ανακατασκευή ή ο καθαρισμός είναι ο σωστός δρόμος εξετάζει το άρθρο Επανεγκατάσταση ή καθαρισμός του διακομιστή;.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Διασφαλίζουμε εφήμερα δεδομένα, logs και ειδώλα συστήματος με τη σωστή σειρά, με αθροίσματα ελέγχου και πρωτόκολλο.
- Ζητάμε τα δεδομένα των υπηρεσιών που προηγούνται, πριν λήξουν οι προθεσμίες διατήρησής τους.
- Αν χρειάζεται, αναλαμβάνουμε με εξειδικευμένους συνεργάτες την εγκληματολογική διασφάλιση και αξιολόγηση.
- Μόνο μετά στήνουμε ξανά τον διακομιστή, κλείνουμε την είσοδο και τεκμηριώνουμε το περιστατικό μέχρι να ολοκληρωθεί.
Συχνές ερωτήσεις
Γιατί να διασφαλίσω αποδεικτικά πριν στήσω ξανά τον διακομιστή;
Επειδή μόνο τα ίχνη δείχνουν πώς μπήκε ο επιτιθέμενος, πόσο καιρό βρισκόταν στο σύστημα και σε ποια δεδομένα μπορούσε να φτάσει. Αυτές τις απαντήσεις τις χρειάζεστε για την προστασία δεδομένων, την ασφάλιση και το ερώτημα αν επηρεάζονται και άλλα συστήματα. Μετά την ανακατασκευή έχουν χαθεί.
Τι είναι το πιο επείγον στη διασφάλιση;
Τα εφήμερα δεδομένα, όπως οι διεργασίες που εκτελούνται, οι συνδέσεις δικτύου και οι συνδεδεμένοι χρήστες, εξαφανίζονται με τον τερματισμό λειτουργίας. Καταγράφονται πρώτα. Ακολουθούν τα logs, ένα είδωλο του συστήματος και τα δεδομένα από υπηρεσίες που προηγούνται.
Αρκεί ένα κανονικό αντίγραφο ασφαλείας ως διασφάλιση αποδεικτικών;
Συνήθως όχι. Πολλά αντίγραφα ασφαλείας δεν περιέχουν logs, αρχεία συστήματος ούτε μεταδεδομένα όπως χρονοσημάνσεις και ιδιοκτήτες. Για τη διασφάλιση αποδεικτικών χρειάζεστε πλήρες, αναλλοίωτο αντίγραφο με άθροισμα ελέγχου, ιδανικά snapshot ή είδωλο δίσκου.
Επιτρέπεται να αποσυνδέσω τον διακομιστή από το δίκτυο πριν από τη διασφάλιση;
Ναι, αν εξακολουθεί να λειτουργεί. Η αποσύνδεση από το δίκτυο σταματά τη διαρροή δεδομένων και τον απομακρυσμένο έλεγχο, χωρίς να καταστρέφει εφήμερα ίχνη. Μια επανεκκίνηση ή ένας τερματισμός, αντίθετα, σβήνει τη μνήμη και τις διεργασίες που εκτελούνται.