主機受攻擊後復原工作流程

主機受攻擊後復原工作流程

1.立即拔除網路線

既然發現被入侵了,那麼第一件事情就是拿掉網路功能!拿掉網路功能最簡單的作法自然就是拔掉網路線了! 事實上,拿掉網路線最主要的功能除了保護自己之外,還可以保護同網域的其他主機。怎麼說呢?舉個 2003 年 8 月發病的疾風病毒好了,他會感染同網域之內的其他主機喔!所以,拔除網路線之後,遠端的攻擊者立即就無法進入你的 Linux 主機,而且你還可以保護網域內的其他相關主機啊!

2.分析登錄檔資訊,搜尋可能的入侵途徑

被入侵之後,決不是只要重新安裝就好,還需要額外分析 『為什麼我的主機這一次會被入侵,對方是如何入侵的?』, 如果你能夠找出問題點,那麼不但你的 Linux 功力立刻增強了,主機也會越來越安全喔! 而如果你不知道如何找出被入侵的可能途徑,那麼重新安裝後,下次還是可能被以同樣的方法入侵啊! 粉麻煩的啦!好了,那該如何找出入侵的途徑呢?

分析登錄檔:

低級的 cracker 通常僅是利用工具軟體來入侵你的系統,所以我們可以藉由分析一些主要的登錄檔來找出對方的 IP 以及可能有問題的漏洞。可以分析 /var/log/messages、 /var/log/secure 還有利用 last 指令來找出上次登入者的資訊。

檢查主機開放的服務:

很多 Linux 使用者常常不曉得自己的系統上面開了多少的服務?我們說過,每個服務都有其漏洞或者是不應該啟用的增強型或者是測試型功能, 所以,找出你系統上面的服務,並且檢查一下每個服務是否有漏洞,或者是在設定上面有了缺失,然後一個一個的整理吧!

查詢 Internet 上面的安全通報: 

透過安全通報來瞭解一下最新的漏洞資訊,說不定你的問題就在上面!

3.重要資料備份

主機被入侵後,顯得問題相當的嚴重,為什麼呢?因為主機上面有相當重要的資料啊!如果主機上面沒有重要的資料, 那麼直接重新安裝就好了!所以,被入侵之後,檢查完了入侵途徑,再來就是要備份重要的資料了。 好了,問個問題,什麼是『重要資料』?who, ps, ls 等等指令是重要資料嗎?還是 httpd.conf 等設定檔是重要資料?又或者是 /etc/passwd, /etc/shadow 才是重要資料?

呵呵!基本上,重要的資料應該是『非 Linux 系統上面原有的資料』,例如 /etc/passwd, /etc/shadow, WWW 網頁的資料, /home 裡面的使用者重要檔案....等等,至於 /etc/*, /usr/, /var 等目錄下的資料,就不見得需要備份了。 

注意:不要備份一些 binary 執行檔,因為 Linux 系統安裝完畢後本來就有這些檔案,此外, 這些檔案也很有可能『已經被竄改過了』,那備份這些資料,反而造成下次系統還是不乾淨!

4.重新全新安裝

備份完了資料,再來就是重新安裝 Linux 系統了。而在這次的安裝中, 你最好選擇適合你自己的安裝軟體即可,不要全部軟體都給他安裝上去啊!挺危險的!

5.軟體的漏洞修補

記得啊,重新安裝完畢之後,請立即更新你的系統軟體,否則還是會被入侵的啦!在其他比較乾淨的環境下將 Internet 上面的漏洞修補軟體下載下來,然後燒錄起來,然後拿到自己的剛剛安裝完成的系統上面,mount CD 之後全部給他更新,更新之後,並且設定了相關的防火牆機制,同時進行下一步驟『 關閉或移除不需要的服務』後,我才將網路線插上主機的網路卡上! 因為不敢確定在安裝完畢後,連上 Internet 去更新軟體的這段時間,會不會又受到入侵攻擊....

6.關閉或移除不需要的服務

這個重要性不需要再講了吧?!啟用越少的服務,系統當然可以被入侵的可能性就比較低。

7.資料回復與恢復服務設定

剛剛備份的資料要趕緊的複製回來系統,同時將系統的服務再次的重新開放,請注意, 這些服務的設定最好能夠再次的確認一下,避免一些不恰當的設定參數在裡頭喔!

8.連上網路Internet

所有的工作都進行的差不多了,那麼才將剛剛拿掉的網路線接上來吧!恢復主機的運作了!

經過這一連串的動作後,你的主機應該會恢復到比較乾淨的環境,此時還不能掉以輕心, 最好還是參考防火牆的設定,並且多方面的參考 Internet 上面一些老手的經驗,好讓你的主機可以更安全一些!


參考資料

特色、摘要,Feature、Summary:

關鍵字、標籤,Keyword、Tag:

留言

這個網誌中的熱門文章

Ubuntu 常用指令、分類與簡介

iptables的觀念與使用

網路設定必要參數IP、netmask(遮罩)、Gateway(閘道)、DNS

了解、分析登錄檔 - log

Python 與SQLite 資料庫

Blogger文章排版範本

Pandas 模組

如何撰寫Shell Script

查詢指令或設定 -Linux 線上手冊 - man

下載網頁使用 requests 模組