サーバーハックの事後分析を行う方法
IIS6、SQL Server 2005、MySQL 5およびPHP 4.3がインストールされたWindows Server 2003 SP2マシンを持っています。これは本番マシンではありませんが、ドメインを介して世界中に公開されています名前。マシンでリモートデスクトップが有効になっており、2つの管理アカウントがアクティブになっています。
今朝、私はマシンがログオフされていて、ログインテキストボックスに不明なユーザーの名前が残っていることを発見しました。さらに調査したところ、2つのWindowsユーザーが作成され、アンチウイルスがアンインストールされ、.exeファイルの一部がC：ドライブにドロップされたことがわかりました。
私が知りたいのは、これが二度と起こらないようにするためにどのような手順を踏むべきか、そして進入の道を決定するために焦点を当てるべき領域です。 netstat -aをチェックして、開いているポートを確認しましたが、そこには奇妙なものは何もありません。 MySQLのデータフォルダーで不明なファイルを見つけましたが、それがエントリーポイントであると考えていますが、確信が持てません。
サーバーハックの事後分析を実行して、今後これを回避できるようにする手順に本当に感謝します。
調査後のレビュー
調査の結果、何が起こったのかわかったと思います。最初に、マシンは2008年8月から2009年10月までの期間、オンラインになりませんでした。その期間中に、セキュリティの脆弱性が発見されました MS08-067脆弱性 。 「これはリモートでコードが実行される脆弱性です。攻撃者がこの脆弱性を悪用した場合、影響を受けるシステムをリモートで完全に制御する可能性があります。MicrosoftWindows 2000ベース、Windows XPベース、およびWindows Server 2003ベースのシステムでは、攻撃者が悪用する可能性があります。認証なしのRPCを介したこの脆弱性により、任意のコードが実行される可能性があります。」この脆弱性は、2008年10月にリリースされたKB958644セキュリティアップデートで修正されました。
当時はマシンがオフラインでこのアップデートを見逃していたため、09年10月にマシンがオンラインに戻った直後にこの脆弱性が悪用されたと思います。 バックドアプログラムとして説明されています であるbycnboy.exeプログラムへの参照が見つかりました。これにより、感染したシステムに大混乱が生じます。マシンがオンラインになった直後に、自動更新によりパッチがインストールされ、システムのリモートコントロール機能が無効になりました。バックドアが閉じられたので、攻撃者はマシン上に物理アカウントを作成し、何が起こっているのか気付くまでさらに1週間マシンを利用できたと思います。
悪意のあるコードである.exeと.dllを積極的に追跡し、セルフホスティングWebサイトとユーザーアカウントを削除した後、マシンは再び動作状態になりました。近い将来、システムを監視し、サーバーログを確認して、インシデントの再発が発生しているかどうかを判断します。
提供された情報と手順をありがとうございます。
死後を行うこと自体が黒人の芸術です。同じ2つの侵入は実際にはないため、毎回少し異なります。このことを念頭に置いて、私の推奨するプロセスの基本的な概要を以下に示します。
- マシンをネットワークから物理的に切断します。 （本当に。今すぐやってください。）
- オプションの手順：今後使用するために、ハードドライブのバイナリイメージコピーを作成します。
- すべてのログファイル、貴重なデータなどのコピーをリムーバブルハードドライブに作成します
- オプションで、見つけた「ハッカーツール」もコピーします
- 実際の事後分析を開始します。あなたの場合：
- 新規または不足しているユーザーアカウントをメモします。ホームフォルダーに「興味深い」コンテンツがあるかどうかを確認します。
- 新規または不足しているプログラム/バイナリ/データファイルを書き留めます。
- 最初にMySQLログを確認します-「異常」なものを探します
- 残りのサーバーログを確認します。作成中の新しいユーザー、ユーザーがログインしたアドレスなどを見つけられるかどうかを確認します。
- データの破損または盗難の証拠を探す
- 問題の原因を見つけたら、再発を防ぐ方法に注意してください。
- サーバーをきれいに拭きます：すべてをフォーマットして再インストールし、データを復元して、＃5のメモを元の穴に差し込みます。
法執行機関に関与する場合は、通常、ステップ2を実行します。手順3を実行すると、手順2で作成したイメージコピーを読み込まなくても、サーバーが再構築された後に情報を確認できます。
手順4の詳細は目標によって異なります。穴を塞ぐことは、貴重なデータを盗んだ人物を追跡することとは異なります。
ステップ6は私見で重要です。侵害されたホストを「修正」しない：それをワイプして、既知の良好な状態からやり直します。これにより、時限爆弾としてボックスに残された厄介なナゲットを見逃すことがなくなります。
これは決して完全な死後の概要ではありません。私は常にプロセスの改善を探しているので、これをコミュニティウィキとしてマークします-私は頻繁に使用しません:-)