Sunucuma yetkisiz erişim oldu mu? Kontrol listesi (Linux ve Windows)

Sunucu beklenmedik şekilde yavaşladı, bilmediğiniz bir kullanıcı ya da süreç gördünüz, ya da bir uyarı aldınız. Panik yapmadan sırayla bakın. Önce bir şeyi bilin: internete açık her sunucuya sürekli yetkisiz giriş denenir (kendi sunucularımızda da yapılan denemeler günlerde yüzlerceyi bulur); asıl soru, birinin girip girmediğidir.

Önce delil: hiçbir şeyi silmeyin

Şüphe varsa müdahaleden önce panelden bir anlık görüntü alın ve günlükleri kopyalayın. Kontrolleri sunucuya SSH ile ya da VNC Konsol ile girip yapın.

Linux

1. Başarılı girişler kimlerdi?

last -a | head -20
who

Tanımadığınız IP adreslerinden ya da alışılmadık saatte yapılmış girişleri arayın. Sunucuya yalnızca siz giriyorsanız, listedeki her adres sizin olmalı.

2. Başarısız denemeler (gürültü bunlardır):

sudo lastb | head
sudo journalctl -u ssh --since "2 days ago" | grep -i accepted

Başarısız denemeler (lastb) botlardır, kaygı verici değildir. Accepted satırları ise başarılı girişlerdir ve incelenmelidir. Debian'da sudo grep Accepted /var/log/auth.log kullanın.

3. Yeni kullanıcı ya da yetki var mı?

awk -F: '$3>=1000 && $3<65000 {print $1}' /etc/passwd
getent group sudo
sudo cat /root/.ssh/authorized_keys

Tanımadığınız kullanıcılar ve her kullanıcının ~/.ssh/authorized_keys dosyasında bilmediğiniz anahtarlar saldırganın kalıcılık bırakma yoludur.

4. Zamanlanmış görev ve servis:

sudo crontab -l; ls /etc/cron.d /etc/cron.daily
systemctl list-units --type=service --state=running

5. Şüpheli süreç ve dinleyen portlar:

ps aux --sort=-%cpu | head
sudo ss -tulpn

Sürekli yüksek işlemci kullanan adı tuhaf bir süreç (kripto madencisi) ya da bilmediğiniz bir portta dinleyen program işarettir: zararlı yazılım temizliği.

Windows

• Başarılı ve başarısız girişler: Olay Görüntüleyici > Windows Günlükleri > Güvenlik. Olay 4624 başarılı giriş, 4625 başarısız girişi gösterir. PowerShell: Get-WinEvent -FilterHashtable @{LogName='Security';Id=4624} -MaxEvents 20 | Format-List TimeCreated,Message. Tür 10 uzak masaüstü girişidir.
• Kullanıcılar: net user ve net localgroup Administrators ile tanımadığınız hesap var mı bakın.
• Zamanlanmış görevler: Get-ScheduledTask | Where-Object State -ne 'Disabled' ile bilmediğiniz görevleri arayın.
• Açık bağlantılar: netstat -ano çıktısında bilmediğiniz dış adreslere kurulu bağlantılar var mı?

Bir şey bulduysanız

1. Tüm parolaları değiştirin: sunucu, veritabanı, panel hesabınız. Parola sıfırlama.
2. Tanımadığınız SSH anahtarlarını, kullanıcıları ve zamanlanmış görevleri kaldırın.
3. Sunucunun ne kadar ele geçirildiğinden emin olamıyorsanız en güvenli yol temiz yeniden kurulumdur; verilerinizi (yalnızca verileri, programları değil) alıp yeniden kurun. Temizlendiğinden emin olamadığınız bir sistemi kullanmaya devam etmeyin.
4. Gerekeni önleyin: SSH anahtarı, güvenlik duvarı, güncellemeler: brute force koruması.

Hiçbir şey bulamadıysanız ve yine de emin değilseniz destek talebi açıp bulduklarınızı yazın. Sunucu paketleri: VDS Sunucular.

Sık sorulanlar

lastb çok uzun, normal mi?

Evet. İnternete açık SSH sunucuları sürekli parola denemesi alır. Önemli olan başarısız denemelerin sayısı değil, last çıktısında tanımadığınız başarılı giriş olup olmadığıdır.

Saldırgan günlükleri silmiş olabilir mi?

Evet; günlüklerin temiz olması tam güvence değildir. Davranış işaretlerine (yeni kullanıcılar, anahtarlar, açık portlar, yüksek işlemci) de bakın. Şüpheniz sürüyorsa temiz kurulum en sağlam yoldur.

Hesabıma yetkisiz giriş şüphesi var (sunucu değil, müşteri paneli).

Müşteri panelinde parolanızı değiştirin ve iki adımlı doğrulamayı açın: iki adımlı doğrulama.

İlgili makaleler

• Sunucuma saldırı yapılıyor mu? Nasıl anlarım?
• Sunucuma virüs/zararlı yazılım bulaştı mı? Nasıl temizlerim?
• Bilinmeyen girişleri (brute force) nasıl engellerim?

Sorununuz çözülmediyse destek talebi açın. Hangi adımı denediğinizi ve ekranda ne gördüğünüzü yazarsanız çözüm çok daha hızlı olur.