Hacket? De første skridt

Tegn på, at en anden er på din server: ukendte processer, der bruger meget processorkraft, en bruger eller SSH-nøgle, du ikke kender, ændrede filer eller en besked om, at din server sender spam eller angreb. Bevar roen, og arbejd i denne rækkefølge.

1. Fastlæg situationen

Tag et snapshot (se Snapshots: et sikkerhedsnet til hver stor ændring). Så gemmer du beviserne og kan senere finde ud af, hvordan angriberen kom ind. Begynd ikke med at rydde op.

2. Isoler serveren

Sluk serveren med Luk ned i VPS-skærmen, eller indstil firewallen, så kun din IP-adresse stadig kan nå SSH. Kan du ikke længere komme ind, så brug konsollen.

3. Geninstaller

En hacket server gør du ikke ren: du kan aldrig være sikker på, at du har fundet alt. Geninstaller (se Geninstaller eller tilknyt en ISO), og gendan dine data fra en backup fra før indbruddet. Gendan ikke programmer eller scripts, der gjorde indbruddet muligt.

4. Skift alle hemmeligheder

• Lav nye SSH-nøgler, hvis du tror, at en privat nøgle er lækket, og fjern de gamle fra alle dine servere.
• Skift adgangskoderne til databaser, apps og administrationsskærme samt tokens i .env.
• Skift adgangskoderne til mailbokse og tjenester, hvis data lå på serveren.

5. Luk hullet

Find ud af, hvordan det kunne ske: en adgangskode i stedet for en nøgle, en åben database eller administrationsskærm, et forældet plugin, en port, som Docker åbnede uden om din firewall. Gennemgå kapitel 3 og Docker og firewallen: udgiv porte sikkert igen, før du åbner serveren igen.

6. Anmeld

Lå der personoplysninger på serveren, f.eks. kundedata eller e-mailadresser? Så skal du muligvis anmelde et datalæk til Datatilsynet inden for 72 timer og nogle gange også informere de berørte. Se datatilsynet.dk.