Bonjour,
Je n'ai pas eu personnellement affaire à ce genre de cas, néanmoins certains de mes enseignement pourrons t'être utile.
Pour caricaturer, Il faut voir le management de la sécurité comme un mauvais filme d'espionnage. Il faut toujours avoir un coup sur son adversaire.
Dans tout cas, ton système à été compromis il faut que tu évalue les informations suivante : - le cout de la compromission du serveur (qu'il soit financier ou d'image) ; - le cout des mesures de protections à mettre en place.
De plus, Il reste potentiellement sur ton infra des failles non encore exploité. Il faudrait réaliser un audit de l'infra pour mieux la sécurité, voir installé un système de détection d'intrusion ou un honeypot.
Cordialement Alexis Lameire
Le 28 juillet 2014 10:14, Fernando Lagrange fernando+frsag@demo-tic.org a écrit :
Bonjour,
Je suis un peu vert: un serveur que j'administre a été compromis ! :-X J'ai été alerté car une page web de phishing a été mise en place, à cause d'une application que je n'avais pas mise à jour.
En y regardant de plus près, j'ai trouvé aussi une page pour envoyer du SPAM. De fait: il y avait plus de 200 pourriels en cours d'envoi sur le serveur d'à côté. Là, j'ai été trop rapide et tout effacé, maintenant je me dis que j'y aurais bien jeté un œil à ces pourriels… :-/
Mes recherches sur le net arrivent surtout sur comment se prémunir (mettre en place la sécurité), je n'ai pas trouvé grand-chose sur « l'après ». L'après non-technique, j'entends.
Du coup, comment vous faites:
- pour vérifier que tout va bien techniquement ?
et surtout: 2. est-ce qu'il faut suivre des démarches pour se prémunir au cas où une plainte tomberait dans X temps ?
Personnellement, après avoir coupé les accès aux pages concernées:
- a. J'ai regardé l'arborescence des htdocs dans l'historique des sauvegardes (et retrouvé depuis quand c'est arrivé)
b. vérifié les courriels metche de surveillance de l'arborescence /etc (pas vu de modifs de ce côté-là) c. j'ai installé rkhunter (on n'est jamais trop prudent, mais est-ce utile à postériori ?) d. j'ai mis à jour (et je suis en négociation avec ma hiérarchie pour garder les serveurs à jour, mais c'est pas simple) e. Je continue à éplucher les logs de la période, j'hésite à installer logwatch f. je vais baisser les alertes munin sur le nombre de courriels par seconde (mais j'imagine que ça va me faire des faux-positifs et une bonne attaque passera inaperçue) h. je vais faire monter la réinstallation de ce serveur vers le haut de la pile des choses à faire ;)
- Je suis en train d'envoyer un message à FRSAG. ;)
Plus sérieusement, je me demande s'il ne faut pas que je déclare quelque chose quelque part ? (Je sais pas trop si je pourrai fournir des infos précises d'ici 2, 5 ou 10 ans…)
Et vous, si ça vous est arrivé, avez-vous fait quelque chose ? Que s'est-il passé ensuite ? (J'accepte les messages en privé si vous pensez que c'est trop sensible en public, n'hésitez-pas à me renvoyer sur des discussions similaires.)
@+
Fernando Lagrange Demo-TIC - Outils En Ligne http://www.demo-tic.org Jabber/XMPP: fernando@im.apinc.org _______________________________________________ Liste de diffusion du FRsAG http://www.frsag.org/