Wpis z mikrobloga

#sysadmin #devops #security #linux
Dzisiaj miałem ciekawy przypadek w robocie, z działu security zrobili incydent ze na serverze (vm-ka) jest trojan. Odchaczyłem wszystkie linki z vmware aby sie to gówno nie rozprzestrzeniało i powiadomiłem wyżej ale nie powiedzieli co sie dalej robic. Okazało sie że kogos nowego przyjeli i wkleił treść jakiegos raportu z ich biuletynu do incydentu....
Tak z ciekawości co jeszcze sie robi w takich przypadkach? Pauzuje vm-ke? Procedura czyszczenia całego hypervisora?
Bo chyba w przypadku fizyka analogicznie odłączenie kabli i pewnie wipe dysków i instalacja od 0 i restore z backupa. Coś jeszcze?! Memory dump i do redhata?!
  • 9
@open-alpha: Dobrze jest ustalić czas i wektor ataku. Pozwoli to na określenie co jeszcze w Twojej infrastrukturze jest zagrożone i jak możesz to zagrożenie ograniczać w przyszłości. Nadto wypada ustalić do czego atakujący miał dostęp. Zupełnie inna sytuacja będzie jeżeli ten trojan to plugin w wordpressie a zupełnie inna jak to będzie moduł w jądrze. No i odtwarzając usługi pamiętaj by z backupów nie pobierać niczego wykonywalnego - jedynie dane aplikacji.
Dobrze jest ustalić czas i wektor ataku.


@maniac777: na odłączonej vmce z sieci przez console (przez ten pogląd tty) patrzec po logach i robić screeny rozumiem?

No i odtwarzając usługi pamiętaj by z backupów nie pobierać niczego wykonywalnego - jedynie dane aplikacji.


@maniac777: w sumie racja
klienta na takiego co wie o co chodzi bo ten został zatrudniony po znajomości.


@ocenzurowany_na_fejsie: z jednej strony fakt, klient tez mało płaci ale przynajmniej nie ma takiego #!$%@? i wszystkiego na już, no i nie ma młodego dynamicznego zespołu który zgadza sie na wszystko. Coś za coś...
na odłączonej vmce z sieci przez console (przez ten pogląd tty) patrzec po logach i robić screeny rozumiem?


@open-alpha: Tak żeby było efektywnie. Możesz i tak jak zaproponowałeś chociaż ja bym raczej szedł albo w stronę zamontowania jej dysków w innym, przygotowanym tylko do tego celu, systemie albo odizolowania systemu od reszty infrastruktury za pomocą firewalla tak by on nie mógł się z niczym połączyć, ale bym ja mógł się połączyć