Kontrollera Linuxserver efter intrång – 6 saker att granska

Behöver du kontrollera Linuxserver efter intrång eller misstänkt aktivitet? Efter de kritiska PHP-sårbarheterna rekommenderar CERT-SE att berörda system inte bara uppdateras utan även undersöks efter tecken på intrång.

Det betyder inte att en server automatiskt har blivit angripen bara för att den har använt en sårbar PHP-version.

Syftet är att leta efter sådant som avviker från det normala.

Har du ännu inte installerat säkerhetsuppdateringarna bör du först läsa Uppdatera PHP i Linux efter de kritiska säkerhetshålen.

1. Kontrollera systemloggarna

Loggarna är en naturlig utgångspunkt när du vill kontrollera Linuxserver efter intrång.

På moderna Linuxsystem kan du börja med:

sudo journalctl

För att begränsa resultatet till dagens händelser:

sudo journalctl --since today

Leta efter oväntade fel, omstarter, tjänster som startats vid konstiga tidpunkter eller aktivitet som du inte känner igen.

Enstaka felmeddelanden betyder däremot inte automatiskt att systemet är angripet.

2. Kontrollera tidigare inloggningar

Kommandot last visar tidigare inloggningar:

last

Leta efter användare, tidpunkter eller adresser som du inte känner igen.

Internetanslutna servrar utsätts ofta för automatiserade inloggningsförsök. Många misslyckade försök betyder därför inte nödvändigtvis att någon lyckats ta sig in.

Det intressanta är framför allt lyckade inloggningar som inte går att förklara.

3. Kontrollera användarkonton

Linux har normalt många systemkonton, så en lång lista i /etc/passwd är inte något konstigt.

Du kan visa kontona med:

cat /etc/passwd

Leta efter nya vanliga användarkonton som du inte själv har skapat.

Kontrollera även vilka användare som har administratörsrättigheter om något verkar misstänkt.

4. Kontrollera processerna

Visa aktiva processer med:

ps aux

Du kan även använda:

top

eller:

htop

om programmet finns installerat.

Leta efter processer med oväntade namn, märkliga sökvägar eller processer som körs under fel användare.

Hög processoranvändning kan vara en ledtråd men är långt ifrån det enda tecknet. Skadlig kod kan försöka hålla sig så diskret som möjligt.

5. Kontrollera nyligen ändrade filer

På en webbserver kan nya eller förändrade PHP-filer vara värda att undersöka.

Det gäller särskilt filer i kataloger där du normalt inte gör manuella ändringar.

Radera däremot inte automatiskt allt du inte känner igen. Webbapplikationer, uppdateringar och tillägg kan skapa legitima filer utan att du själv gör det manuellt.

Misstänker du ett verkligt intrång?
Undvik stora förändringar innan viktiga loggar och andra spår har sparats. De kan behövas för att förstå vad som faktiskt har hänt.

6. Kontrollera tjänster och nätverksanslutningar

Ett annat område att granska är vilka tjänster som körs.

Du kan exempelvis visa aktiva tjänster med:

systemctl --type=service --state=running

Om en tjänst du aldrig installerat plötsligt körs är det något som bör undersökas.

Även öppna portar och oväntade nätverksanslutningar kan vara värda att kontrollera.

Kontrollera också PHP-versionen

Om kontrollen görs med anledning av de aktuella PHP-sårbarheterna bör du säkerställa att rätt PHP-uppdatering faktiskt är installerad.

Använd Kontrollera PHP-version – 4 enkla sätt att se vilken version du använder om du är osäker.

Bakgrunden till säkerhetsproblemen finns i Kritiska säkerhetshål i PHP – uppdatera omedelbart.

Vad gör du om något faktiskt ser misstänkt ut?

Om du hittar okända administratörskonton, tydligt manipulerade filer, främmande processer eller andra konkreta tecken på obehörig åtkomst bör systemet behandlas som potentiellt komprometterat.

Då räcker det inte alltid att bara radera den fil eller process som ser misstänkt ut.

En angripare kan ha gjort flera förändringar som inte är uppenbara.

I allvarliga fall kan en ominstallation från en känd och säker källa vara ett bättre alternativ än att försöka rensa servern manuellt.

Lösenord, API-nycklar och andra autentiseringsuppgifter som kan ha funnits på systemet kan också behöva bytas.

WordPress eller webbhotell?

Använder servern WordPress kan du även läsa PHP i WordPress – 6 viktiga säkerhetskontroller.

Har du däremot ett vanligt webbhotell och inte administrerar Linuxservern själv är PHP på webbhotell – 5 viktiga kontroller efter säkerhetshålen mer relevant.

Officiella rekommendationer

CERT-SE rekommenderar att berörda system undersöks efter tecken på intrång.

PHP:s aktuella säkerhetsversioner och information om uppdatering finns på PHP:s officiella webbplats.

Kort sagt

När du ska kontrollera Linuxserver efter intrång bör du inte leta efter ett enda magiskt tecken.

Granska i stället flera delar av systemet: loggar, inloggningar, användare, processer, filer och tjänster.

Ju bättre du känner till hur servern normalt ser ut, desto lättare blir det att upptäcka något som avviker.