Capítulo 9 · 9.5
¿Han hackeado su servidor? Los primeros pasos
Señales de que otra persona está en su servidor: procesos desconocidos que consumen mucho procesador, un usuario o una clave SSH que no reconoce, archivos modificados o un aviso de que su servidor envía spam o ataques. Mantenga la calma y siga este orden.
1. Deje constancia de la situación
Cree una instantánea (consulte Snapshots: una red de seguridad para cada cambio importante). Así conserva las pruebas y podrá averiguar más adelante cómo entró el atacante. No empiece limpiando.
2. Aísle el servidor
Apague el servidor con Apagar en la pantalla del VPS, o configure el cortafuegos para que solo su dirección IP pueda acceder por SSH. Si ya no puede entrar, utilice la consola.
3. Reinstale
Un servidor hackeado no se limpia: nunca puede estar seguro de haberlo encontrado todo. Reinstale (consulte Reinstalar o montar una ISO) y restaure sus datos a partir de una copia de seguridad anterior a la intrusión. No restaure programas ni scripts que hicieron posible la intrusión.
4. Cambie todos los secretos
- Cree nuevas claves SSH si cree que se ha filtrado una clave privada, y elimine las antiguas de todos sus servidores.
- Cambie las contraseñas de las bases de datos, las aplicaciones y los paneles de administración, así como los tokens de
.env. - Cambie las contraseñas de los buzones y de los servicios cuyos datos estaban en el servidor.
5. Cierre la brecha
Averigüe cómo pudo ocurrir: una contraseña en lugar de una clave, una base de datos o un panel de administración abiertos, un plugin desactualizado, un puerto que Docker publicó saltándose su cortafuegos. Repase de nuevo el capítulo 3 y Docker y el cortafuegos: publicar puertos de forma segura antes de volver a abrir el servidor.
6. Notifique
¿Había datos personales en el servidor, como datos de clientes o direcciones de correo electrónico? En ese caso, es posible que deba notificar la fuga de datos a la AEPD (Agencia Española de Protección de Datos) en un plazo de 72 horas y, en ocasiones, informar también a las personas afectadas. Consulte aepd.es.