Si sospecho que mi servidor está en peligro, ¿debería desconectarlo de inmediato o no? ¿Desde el poder o la red?

Similar a lo que dijo @AviD: si puede determinar de alguna manera que esta aplicación / host / red comprometida está activamente en progreso con otro ataque, podría ser conveniente al menos tirar del cable de red, ¿verdad? Esto también supone que no puedes controlar el ataque de alguna otra manera, o que las cosas se han salido de control.

Esto probablemente excluye cualquier proceso o infraestructura, y también requiere personal poco cualificado o no intelectual.

Usted sabe que es hora de los aficionados cuando extraen la alimentación, la red o los discos de una máquina comprometida.

La respuesta depende de tu nivel de sofisticación, el nivel de sofisticación del atacante y tus objetivos.

La publicación del blog Mandiant, de uno de los principales proveedores de servicios de respuesta a incidentes y análisis forense informáticos, está dirigida a organizaciones sofisticadas que responden a una Amenaza Persistente Avanzada (APT). Una de sus preocupaciones es que es posible que ni siquiera resuelvas el problema si no puedes observar cómo funcionan los atacantes en varios sistemas de tu red.

Pero la mayoría de los incidentes de seguridad son ataques menos sofisticados en máquinas mal administradas. En este caso, creo que es mejor seguir los consejos en la respuesta altamente calificada a la pregunta de Error del servidor " Se ha pirateado mi servidor de EMERGENCIA ", lo que sugiere que la desconexión del servidor suele ser la primera respuesta, aunque no debe actuar con prontitud.

Respuesta útil a través de aquí por Robert Moir: un chat muy bueno en Serverfault sobre esto.

Sí, si detecta un ataque activo actualmente en curso , y su mecanismo de detección le asegura que el atacante aún no ha "mejorado" su sistema, o alcanzado su objetivo.

Tenga en cuenta que esto solo puede ser relevante si tiene implementados mecanismos de detección sólidos e inteligentes, con correlación en línea y notificaciones activas.

Los análisis forenses de RAM (por ejemplo, / dev / shm) pueden ser útiles.

Pero prefiero desconectar el cable de alimentación (pero intente iniciar sesión y rsync / proc justo antes).

Los motivos para elegir el cable de alimentación son:

1. Cuando haces análisis forenses en un sistema pirateado, estás "caminando por toda la escena del crimen"
2. El kit raíz sigue ejecutándose, no es tan difícil para el malicioso ejecutar algo (por ejemplo, el borrado del sistema) en el evento Enlace de red desactivado .

Kyle Rankin dio una agradable charla de Intro to Forensics : allí recomienda desconectar el cable de alimentación .

Depende.

El blog de Mandiant se centra en la APT. Si esa es tu principal preocupación, su consejo puede tener mérito.

Sin embargo, también hay muchas organizaciones en las que la APT probablemente no sea la principal preocupación, y para esas organizaciones, puede ser razonable desconectar el acceso de red a una máquina comprometida tan pronto como detecte un compromiso.

Por ejemplo, en una organización que conozco bien, la seguridad es, relativamente razonablemente, una prioridad relativamente baja. No hay manera de que vayan a hacer una investigación forense en cada máquina que ha sido comprometida. No podían permitírselo; y probablemente sería demasiado perturbador, también. Si sabe que no va a hacer una investigación forense en todas las máquinas comprometidas, hay pocas razones para retrasar la extracción del enchufe. Del mismo modo, no son un objetivo probable para las APT; En su mayor parte, no tienen datos de valor suficiente. Su principal desafío es la penetración cotidiana de "script-kiddy" en las máquinas administradas por usuarios.

Estoy totalmente de acuerdo con nealmcb.

1. Si se enfrenta a un "APT" y desea investigar sobre el servidor comprometido, puede dejar el servidor comprometido y analizar el tráfico de red que va desde / hacia su servidor. Esto necesita tiempo para investigar y el hacker continuará explorando su infraestructura de TI ...

2. El sentido común es desconectar el servidor inmediatamente para evitar el uso no autorizado de su infraestructura.

Mi consejo sería desconectar el servidor a menos que tengas mucho tiempo para hacer análisis forense.