Piratage : les premières étapes

Signes qu'une autre personne a accès à votre serveur : des processus inconnus qui consomment beaucoup de processeur, un utilisateur ou une clé SSH que vous ne connaissez pas, des fichiers modifiés, ou un avertissement indiquant que votre serveur envoie du spam ou mène des attaques. Restez calme et procédez dans cet ordre.

1. Conservez l'état actuel

Créez un snapshot (voir Snapshots : un filet de sécurité pour chaque modification importante). Vous conservez ainsi les preuves et pourrez déterminer plus tard comment l'attaquant s'est introduit. Ne commencez pas par faire le ménage.

2. Isolez le serveur

Éteignez le serveur avec Arrêt dans l'écran VPS, ou configurez le pare-feu pour que seule votre adresse IP puisse encore accéder à SSH. Si vous ne parvenez plus à vous connecter, utilisez la console.

3. Réinstallez

On ne nettoie pas un serveur piraté : vous ne pouvez jamais être certain d'avoir tout trouvé. Réinstallez (voir Réinstaller ou monter une ISO) et restaurez vos données à partir d'une sauvegarde datant d'avant l'intrusion. Ne restaurez pas les programmes ou scripts qui ont rendu l'intrusion possible.

4. Remplacez tous les secrets

• Créez de nouvelles clés SSH si vous pensez qu'une clé privée a fuité, et retirez les anciennes de tous vos serveurs.
• Remplacez les mots de passe des bases de données, des applications et des interfaces d'administration, ainsi que les jetons dans .env.
• Remplacez les mots de passe des boîtes mail et des services dont les identifiants se trouvaient sur le serveur.

5. Corrigez la faille

Déterminez comment cela a pu se produire : un mot de passe au lieu d'une clé, une base de données ou une interface d'administration accessible, un plugin obsolète, un port que Docker a publié en contournant votre pare-feu. Reprenez le chapitre 3 et Docker et le pare-feu : publier des ports en toute sécurité avant de rouvrir le serveur.

6. Signalez l'incident

Des données personnelles, comme des données clients ou des adresses e-mail, se trouvaient-elles sur le serveur ? Vous devez alors peut-être notifier une fuite de données dans les 72 heures à la CNIL (Commission nationale de l'informatique et des libertés), et parfois aussi informer les personnes concernées. Consultez cnil.fr.