Se sospetto che il mio server sia compromesso, dovrei disconnetterlo immediatamente o no? Da alimentazione o rete?

Simile a ciò che @AviD ha detto: se è possibile determinare in qualche modo che questa app / host / rete compromessa è attivamente in corso con un altro attacco, potrebbe essere saggio tirare almeno il cavo di rete, giusto? Questo presuppone anche che tu non possa controllare l'attacco in qualche altro modo, o che le cose siano diventate estremamente fuori controllo.

Questo probabilmente preclude qualsiasi processo o infrastruttura, e richiede anche personale molto qualificato o poco ingegnoso.

Sai che è un'ora amatoriale quando estrae alimentazione, rete o dischi su una macchina compromessa.

La risposta dipende dal tuo livello di sofisticazione, dal livello di sofisticazione dell'attaccante e dai tuoi obiettivi.

Il post sul blog Mandiant, da uno dei principali fornitori di servizi di risposta agli incidenti e computer forense, è destinato a organizzazioni sofisticate che rispondono a un Advanced Persistent Threat (APT). Una delle loro preoccupazioni è che potresti addirittura non risolvere il problema se non riesci a osservare che gli hacker lavorano su vari sistemi sulla tua rete.

Ma la maggior parte degli incidenti di sicurezza sono attacchi meno sofisticati a macchine scarsamente amministrate. In questo caso, penso che tu stia meglio seguendo il consiglio nella risposta più votata alla domanda Server Fault " Il mio server è stato compromesso EMERGENZA ", il che suggerisce che disconnettere il server è in genere la prima risposta, anche se non devi agire in fretta.

Risposta utile su qui di Robert Moir - alcune ottime chat su Serverfault su questo.

Sì, se rilevi un attacco attivo attualmente in corso e il tuo meccanismo di rilevamento ti assicura che l'utente malintenzionato non ha ancora "imposto" il tuo sistema o raggiunto il suo obiettivo.

Si noti che questo potrebbe essere rilevante solo se si dispone di meccanismi di rilevamento forti e molto intelligenti, con correlazione in linea e notifiche attive.

L'analisi forense della RAM (ad esempio / dev / shm) può essere utile.

Ma preferisco scollegare il cavo di alimentazione (ma prova ad accedere e rsync / proc subito prima).

Le ragioni per andare al cavo di alimentazione sono:

1. Quando fai la scientifica in un sistema compromesso, stai "calpestando la scena del crimine"
2. Il root kit continua a funzionare, non è così difficile che il malintenzionato esegua qualcosa (ad es. cancellazioni di sistema) sull'evento Network Link Down .

Kyle Rankin ha dato un bel Introduzione alla scientifica: parla - ci raccomanda di tirare il cavo di alimentazione .

Dipende.

Il blog Mandiant si concentra sull'APT. Se questa è la tua preoccupazione principale, il loro consiglio potrebbe avere un valore.

Tuttavia ci sono anche molte organizzazioni in cui l'APT non è probabilmente la preoccupazione principale, e per quelle organizzazioni, potrebbe essere ragionevole disconnettere l'accesso alla rete a una macchina compromessa non appena si rileva un compromesso.

Ad esempio, in un'organizzazione che conosco bene, la sicurezza è, abbastanza ragionevolmente, una priorità relativamente bassa. Non c'è modo che facciano un'indagine forense su ogni macchina che è stata compromessa. Non potevano permetterselo; e probabilmente sarebbe anche troppo dirompente. Se sai che non farai un'indagine forense su ogni macchina compromessa, ci sono pochi motivi per ritardare la rimozione della spina. Allo stesso modo, non sono un obiettivo probabile per le APT; per la maggior parte, non hanno dati di valore sufficiente. La loro sfida principale è la penetrazione quotidiana "script-kiddy" di routine di macchine gestite dall'utente.

Sono totalmente d'accordo con nealmcb.

1. Se si è di fronte a un "APT" e si desidera effettuare accertamenti sul server compromesso, è possibile lasciare il server compromesso e analizzare il traffico di rete proveniente dal / sul proprio server. Questo ha bisogno di tempo per indagare e l'hacker continuerà a esplorare la tua infrastruttura IT ...

2. Il buon senso è disconnettere immediatamente il server per impedire l'uso non autorizzato della tua infrastruttura.

Il mio consiglio sarebbe di disconnettere il server a meno che non abbiate molto tempo per l'analisi forense.