Menemukan bagaimana server yang diretas diretas

Saya baru saja menelusuri situs dan menemukan pertanyaan ini: Server saya telah diretas DARURAT . Pada dasarnya pertanyaan mengatakan: Server saya telah diretas. Apa yang harus saya lakukan?

The jawaban terbaik yang sangat baik tetapi mengangkat beberapa pertanyaan dalam pikiran saya. Salah satu langkah yang disarankan adalah:

Periksa sistem yang 'diserang' untuk memahami bagaimana serangan berhasil membahayakan keamanan Anda. Berusahalah untuk mengetahui dari mana serangan "berasal", sehingga Anda memahami masalah apa yang Anda miliki dan perlu atasi untuk membuat sistem Anda aman di masa depan.

Saya tidak melakukan pekerjaan sistem admin jadi saya tidak tahu bagaimana saya akan mulai melakukan ini. Apa yang akan menjadi langkah pertama? Saya tahu bahwa Anda bisa melihat file log server tetapi sebagai penyerang hal pertama yang akan saya lakukan adalah menghapus file log. Bagaimana Anda "memahami" bagaimana serangan itu berhasil?

Saya akan mulai dengan mengatakan ini, jika Anda TIDAK MEMILIKI LOG , maka ada peluang yang cukup bagus bahwa Anda TIDAK PERNAH akan mengerti di mana atau bagaimana serangan itu berhasil. Bahkan dengan file log yang lengkap dan tepat, bisa sangat sulit untuk memahami sepenuhnya, siapa, apa, di mana, kapan, mengapa dan bagaimana.

Jadi, mengetahui betapa pentingnya file log, Anda mulai memahami seberapa aman Anda harus menyimpannya. Itulah sebabnya perusahaan melakukan dan harus berinvestasi dalam Informasi Keamanan & Manajemen Acara atau singkatnya SIEM.

Singkatnya, mengkorelasikan semua file log Anda ke peristiwa tertentu (berdasarkan waktu atau lainnya) bisa menjadi tugas yang sangat menakutkan. Coba lihat syslog firewall Anda dalam mode debug jika Anda tidak percaya. Dan itu hanya dari satu alat! Proses SIEM menempatkan file-file log ini ke dalam serangkaian peristiwa logis yang membuat mencari tahu apa yang terjadi, jauh lebih mudah untuk dipahami.

Untuk mulai memiliki pemahaman yang lebih baik tentang caranya, akan sangat membantu untuk mempelajari metodologi penetrasi .

Sangat membantu untuk mengetahui bagaimana virus ditulis. Atau cara menulis rootkit .

Ini juga bisa sangat bermanfaat untuk membuat dan mempelajari honeypot .

Ini juga membantu untuk memiliki parser log dan menjadi mahir dengannya.

Sangat membantu untuk mengumpulkan garis dasar untuk jaringan dan sistem Anda. Apa lalu lintas "normal" dalam situasi Anda vs. lalu lintas "abnormal"?

CERT memiliki panduan yang sangat baik tentang apa yang harus dilakukan setelah komputer Anda diretas, terutama (yang secara langsung berkaitan dengan pertanyaan spesifik Anda) bagian tentang "Analisis intrusi":

• Cari modifikasi yang dilakukan pada perangkat lunak sistem dan file konfigurasi
• Cari modifikasi data
• Cari alat dan data yang ditinggalkan oleh pengganggu
• Tinjau file log
• Cari tanda-tanda sniffer jaringan
• Periksa sistem lain di jaringan Anda
• Periksa sistem yang terlibat atau terpengaruh di situs jarak jauh

Ada banyak pertanyaan serupa dengan pertanyaan Anda yang diajukan di SF:

1. Cara melakukan post-mortem peretasan server
2. Item Aneh di File Hosts dan Netstat
3. apakah ini upaya hack?
4. Bagaimana saya bisa belajar Linux dari sudut pandang peretasan atau keamanan

Ini bisa menjadi proses yang sangat rumit dan terlibat. Kebanyakan orang, termasuk saya, hanya akan menyewa seorang konsultan jika melibatkan lebih banyak dari apa yang bisa disatukan oleh peralatan SIEM saya.

Dan, tampaknya, jika Anda ingin sepenuhnya memahami bagaimana sistem Anda diretas, Anda harus menghabiskan waktu bertahun - tahun untuk mempelajarinya dan melepaskan wanita.

Jawaban untuk itu sedikit saja bisa sejuta mil lebar dan tinggi, dan membongkar apa yang terjadi pada server yang diretas bisa menjadi bentuk seni sebanyak yang lainnya, jadi sekali lagi saya akan memberikan poin awal dan contoh daripada set yang pasti langkah-langkah untuk diikuti.

Satu hal yang perlu diingat adalah bahwa sekali Anda menghadapi intrusi Anda dapat mengaudit kode Anda, administrasi / konfigurasi sistem Anda dan prosedur dengan pengetahuan bahwa pasti ada kelemahan di sana. Itu membantu mendorong motivasi lebih dari sekadar mencari kelemahan teoretis yang mungkin ada atau tidak ada. Cukup sering orang menaruh barang secara online sementara mengetahui kode bisa diaudit sedikit lebih keras, kalau saja kita punya waktu; atau sistem terkunci sedikit lebih kuat, kalau saja itu tidak terlalu merepotkan; atau prosedur menjadi sedikit lebih ketat, kalau saja itu tidak mengganggu bos untuk mengingat kata sandi yang panjang. Kita semua tahu di mana titik lemah kita yang paling mungkin, jadi mulailah dari itu.

Dalam dunia yang ideal Anda akan memiliki log yang disimpan di server syslog yang berbeda (semoga tidak dikompromikan) , tidak hanya dari server tetapi dari firewall, router, dll yang juga mencatat lalu lintas. Ada juga alat-alat seperti Nessus yang tersedia yang dapat menganalisis sistem dan mencari kelemahan.

Untuk perangkat lunak / kerangka kerja dari pihak ketiga, seringkali ada panduan praktik terbaik yang dapat Anda gunakan untuk mengaudit penyebaran Anda, atau Anda mungkin lebih memperhatikan berita keamanan dan jadwal perbaikan dan mengungkap beberapa lubang yang mungkin telah digunakan.

Terakhir, sebagian besar intrusi meninggalkan spoor ... jika Anda punya waktu dan kesabaran untuk menemukannya. "Drive by" skrip intrusi kiddie atau pembobolan in menggunakan alat peretasan cenderung berfokus pada kelemahan umum dan dapat meninggalkan pola yang mengarahkan Anda ke arah yang benar. Hal yang paling sulit untuk dianalisis adalah intrusi yang diarahkan secara manual (misalnya seseorang tidak ingin meretas situs web "", tetapi sebaliknya ingin meretas situs web "Anda" secara khusus), dan ini tentu saja adalah hal yang paling penting untuk dipahami.

Untuk seseorang yang benar-benar tidak tahu harus mulai dari mana (atau bahkan untuk orang berpengalaman yang memiliki tugas lain) langkah pertama adalah mungkin mempekerjakan seseorang dengan pengalaman baik dari langkah-langkah di atas. Keuntungan lain dari pendekatan itu adalah bahwa mereka akan melihat pengaturan Anda tanpa ada dugaan sebelumnya atau kepentingan pribadi dalam jawaban.

"Aku tahu kamu bisa mencari di file log server tetapi sebagai penyerang, hal pertama yang akan kulakukan adalah menghapus file log."

Bergantung pada jenis kompromi, penyerang mungkin tidak memiliki hak yang cukup tinggi pada server yang dikompromikan untuk dapat menghapus log. Ini juga merupakan praktik terbaik untuk membuat log server disimpan offbox di server lain, untuk mencegah gangguan (diekspor secara otomatis pada interval tertentu).

Di luar log Server yang disusupi, masih ada log jaringan (Firewall, Router, dll) serta log otentikasi dari layanan direktori, jika ada satu (Active Directory, RADIUS, dll.)

Jadi melihat log masih merupakan salah satu hal terbaik yang bisa dilakukan.

Saat berurusan dengan kotak yang dikompromikan, memilah-milah log selalu menjadi salah satu cara utama saya untuk menyatukan apa yang terjadi.

-Ya