Accessi sconosciuti
Compaiono utenti, chiavi SSH o sessioni che nessuno riconosce.
Emergenza server compromesso
Accessi anomali sul server? Interveniamo per contenere e analizzare l’incidente
Processi sconosciuti, account estranei, traffico insolito o modifiche non autorizzate possono indicare una compromissione. La priorità è limitare l’incidente senza distruggere le informazioni utili all’analisi.
- Contenimento degli accessi e dei servizi coinvolti
- Analisi di processi, utenti, log e configurazioni
- Individuazione di file e meccanismi persistenti
- Ripristino e rafforzamento dell’infrastruttura
Processi anomali
CPU, memoria o rete vengono utilizzate da programmi inattesi.
File modificati
Configurazioni, script o applicazioni risultano alterati senza autorizzazione.
Prime azioni
Cosa fare quando sospetti che un server sia compromesso
L’obiettivo iniziale è limitare la propagazione dell’incidente, proteggere gli altri sistemi e preservare le informazioni disponibili.
Limita le comunicazioni
Quando possibile, restringi temporaneamente accessi e collegamenti non indispensabili.
Preserva lo stato del sistema
Log, processi, connessioni e file possono contenere informazioni importanti.
Proteggi le credenziali
Password e chiavi devono essere ruotate da sistemi considerati affidabili, non dal server sospetto.
Raccogli la cronologia
Annota quando è stato notato il problema e quali attività lo hanno preceduto.
Errori da evitare
Interventi improvvisati possono cancellare le tracce dell’incidente
La priorità non è semplicemente far ripartire il servizio: occorre evitare che l’attaccante mantenga un accesso persistente.
Riavviare immediatamente
Può eliminare processi, connessioni e informazioni presenti soltanto in memoria.
Cancellare file sospetti
La rimozione non documentata può impedire di ricostruire la modalità di accesso.
Ripristinare senza analisi
La vulnerabilità o le credenziali compromesse possono rimanere attive.
Ignorare i sistemi collegati
Chiavi, password e token possono consentire l’accesso ad altri server o servizi.
Analisi dell’incidente
Cosa verifichiamo sul server compromesso
Il perimetro dipende dal sistema operativo, dal ruolo del server, dai servizi installati e dai dati ancora disponibili.
Processi e servizi
Cerchiamo processi inattesi, servizi aggiunti e programmi avviati automaticamente.
Utenti e privilegi
Verifichiamo account, gruppi, autorizzazioni e modifiche ai privilegi amministrativi.
Log di sistema e applicativi
Accessi, autenticazioni, errori e richieste possono aiutare a ricostruire l’incidente.
Connessioni di rete
Controlliamo porte, connessioni attive e comunicazioni verso destinazioni anomale.
Meccanismi di persistenza
L’attaccante può aver predisposto più modalità per rientrare
Rimuovere un singolo processo non garantisce che il server sia pulito: occorre verificare avvii automatici, account e configurazioni modificate.
Chiavi SSH
Chiavi non autorizzate possono essere aggiunte agli account esistenti.
Attività pianificate
Cron job e timer possono riavviare processi o script malevoli.
Servizi di sistema
Unità e script possono essere configurati per l’avvio automatico.
Applicazioni modificate
Siti, pannelli e software possono contenere backdoor o codice alterato.
Possibili punti di ingresso
La compromissione può partire da servizi e credenziali differenti
Per ridurre il rischio di recidiva occorre individuare la vulnerabilità o l’accesso utilizzato durante l’incidente.
Servizio vulnerabile
Software obsoleto o configurato in modo non sicuro può esporre il sistema.
Credenziali compromesse
Password, chiavi SSH o token possono essere stati sottratti o riutilizzati.
Applicazione web
Un sito o un pannello può aver consentito l’esecuzione di codice sul server.
Postazione amministrativa
Un computer compromesso può aver esposto credenziali e chiavi di accesso.
Contenimento
Limitare l’incidente e proteggere gli altri sistemi
Le misure vengono scelte in base ai servizi erogati, alla presenza di dati sensibili e ai collegamenti con altri ambienti.
Restrizione del traffico
Porte e comunicazioni possono essere temporaneamente limitate.
Revoca degli accessi
Account, chiavi e token sospetti vengono disabilitati.
Arresto dei servizi coinvolti
I componenti compromessi possono essere isolati dal resto dell’ambiente.
Verifica dei sistemi collegati
Server e servizi raggiungibili devono essere controllati per segnali correlati.
Ripristino dell’infrastruttura
Pulire il server esistente o ricostruire un ambiente affidabile
In alcuni casi è possibile correggere il sistema esistente; in altri è più sicuro ricostruire il server da una base attendibile.
Valutazione dell’affidabilità
Analizziamo il livello della compromissione e la possibilità di bonificare il sistema.
Ricostruzione del server
Quando necessario, prepariamo un ambiente nuovo con software e configurazioni verificate.
Recupero dei dati
File e database vengono selezionati e controllati prima della migrazione.
Test dei servizi
Applicazioni, accessi e comunicazioni vengono verificati prima della riapertura.
Credenziali esposte
Un server compromesso può esporre anche altri ambienti
Password, chiavi private, token e configurazioni presenti sul server possono consentire l’accesso a servizi esterni.
Chiavi SSH
Le chiavi utilizzate per raggiungere altri server devono essere sostituite.
Credenziali database
Utenti e password possono essere presenti nei file di configurazione.
Servizi cloud
Token API e credenziali possono consentire operazioni su piattaforme esterne.
Email e notifiche
Account SMTP e servizi di invio devono essere verificati.
Dopo il ripristino
Ridurre l’esposizione e rendere visibili le anomalie future
Nessun server può essere dichiarato inattaccabile, ma configurazioni, aggiornamenti e controlli adeguati possono ridurre i rischi.
Aggiornamenti periodici
Sistema operativo, servizi e applicazioni devono essere mantenuti.
Privilegi limitati
Utenti e servizi devono utilizzare solo le autorizzazioni necessarie.
Monitoraggio
Servizi, risorse, accessi e comportamenti anomali possono essere controllati.
Backup separati
Le copie devono essere conservate fuori dal server e sottoposte a controllo.
Come interveniamo
Dal contenimento al ripristino dei servizi
L’ordine delle attività viene adattato al ruolo del server, alla gravità dell’incidente e agli accessi disponibili.
Contenimento e raccolta
Limitiamo l’esposizione e preserviamo log, processi e informazioni disponibili.
Analisi e bonifica
Individuiamo accessi, persistenze ed elementi malevoli e correggiamo il punto di ingresso.
Ripristino e verifica
Ricostruiamo o ripristiniamo i servizi e controlliamo l’ambiente prima della riapertura.
Richiedi un intervento urgente
Il server mostra segnali di compromissione?
Indicaci sistema operativo, ruolo del server, segnali rilevati, servizi coinvolti e momento in cui è iniziato il problema.