Hackad? De första stegen

Tecken på att någon annan har tagit sig in på din server: okända processer som använder mycket processorkraft, en användare eller SSH-nyckel som du inte känner igen, ändrade filer eller ett meddelande om att din server skickar spam eller attacker. Behåll lugnet och arbeta i den här ordningen.

1. Dokumentera läget

Ta en snapshot (se Snapshots: ett skyddsnät inför varje stor ändring). Då sparar du bevisen och kan senare ta reda på hur angriparen tog sig in. Börja inte med att städa.

2. Isolera servern

Stäng av servern med Stäng av i VPS-skärmen, eller ställ in brandväggen så att bara din IP-adress kommer åt SSH. Kommer du inte längre in, använd då konsolen.

3. Installera om

En hackad server går inte att rensa: du kan aldrig vara säker på att du har hittat allt. Installera om (se Installera om eller montera en ISO) och återställ dina data från en säkerhetskopia från före intrånget. Återställ inte program eller skript som gjorde intrånget möjligt.

4. Byt ut alla hemligheter

• Skapa nya SSH-nycklar om du misstänker att en privat nyckel har läckt, och ta bort de gamla från alla dina servrar.
• Byt lösenorden till databaser, appar och administrationsgränssnitt, och tokens i .env.
• Byt lösenorden till e-postkonton och tjänster vars uppgifter fanns på servern.

5. Täpp till hålet

Ta reda på hur det kunde hända: ett lösenord i stället för en nyckel, en öppen databas eller ett öppet administrationsgränssnitt, ett föråldrat tillägg, en port som Docker publicerade förbi din brandvägg. Gå igenom kapitel 3 och Docker och brandväggen: publicera portar säkert igen innan du öppnar servern på nytt.

6. Anmäl

Fanns det personuppgifter på servern, till exempel kunduppgifter eller e-postadresser? Då kan du behöva anmäla en personuppgiftsincident till IMY (Integritetsskyddsmyndigheten) inom 72 timmar, och ibland även informera de berörda. Läs mer på imy.se.