Fil-qosor: Il-konnessjonijiet ħerġin ta' server tiċċekkjahom b'ss -tunap jew lsof -i, li jassenjaw kull konnessjoni lil proċess. Normali huma konnessjonijiet lejn id-database, is-server tal-posta, servers tal-aġġornamenti u interfaces magħrufa. Konnessjonijiet minn proċessi ta' PHP jew tas-server tal-web lejn destinazzjonijiet mhux magħrufa, ports mhux tas-soltu u konnessjonijiet permanenti mingħajr raġuni huma sinjali ta' twissija għal kontroll mill-bogħod jew tnixxija ta' data. Fit-tul jgħin filtru tal-ħruġ li jippermetti biss id-destinazzjonijiet meħtieġa.
Għaliex il-ħarsa 'l barra tgħid daqshekk
Meta jfittxu dħul, il-biċċa l-kbira jħarsu lejn fajls. Imma attakkant irid jagħmel xi ħaġa bl-aċċess tiegħu: jniżżel għodod, jirċievi kmandi, joħroġ data jew juża s-server għall-ispam jew għal attakki fuq oħrajn. Dan kollu jeħtieġ konnessjonijiet 'il barra.
Server tal-web jibni minn rajh ftit konnessjonijiet, u l-biċċa l-kbira minnhom jistgħu jiġu previsti: jistaqsi d-database, jgħaddi l-posta, isejjaħ interfaces tal-ħlas jew tal-ispedizzjoni u jġib aġġornamenti. Għalhekk konnessjonijiet barranin jaqbdu l-għajn hawnhekk b'mod partikolari. Skont ir-rapporti li għandna quddiemna, konnessjonijiet ħerġin jagħmlu parti mis-sinjali ġenerali ta' twissija wara dħul; Indicators of Compromise ikkonfermati speċifikament għal PHP2Shell ma hemmx. Sinjali oħra tiġbor Diġà kompromess?.
Elenka l-konnessjonijiet ħerġin u assenjahom lill-proċessi
Il-kmandi li ġejjin jaqraw biss. Esegwihom bħala root, inkella jonqsu d-dettalji tal-proċessi.
# Il-konnessjonijiet TCP kollha stabbiliti bil-proċess
ss -tnp state established
# TCP u UDP inklużi servizzi li jisimgħu
ss -tunap
# Konnessjonijiet għal kull programm u utent, mingħajr riżoluzzjoni ta' ismijiet
lsof -i -n -P | grep -v LISTEN
# Biss konnessjonijiet ta' proċessi tal-utenti tas-server tal-web
lsof -i -n -P -u www-data 2>/dev/null
Fl-output oqgħod attent għal tliet kolonni: il-proċess, l-indirizz tad-destinazzjoni bil-port u l-utent. Konnessjoni ta' php-fpm lejn id-database fuq il-port 3306 hija normali. Konnessjoni ta' programm b'isem mhux magħruf minn /tmp lejn indirizz barrani fuq port mhux tas-soltu mhijiex. Taħt liema utent jaħdem PHP jiddependi mid-distribuzzjoni u mill-panel.
Normali jew suspettużi? Klassifikazzjoni
| Osservazzjoni | Aktar normali | Aktar suspettuż |
|---|---|---|
| Destinazzjoni | database proprja, server tal-posta, APIs magħrufa, servers tal-aġġornamenti | indirizzi mhux magħrufa mingħajr rabta mal-applikazzjoni |
| Proċess | php-fpm, server tal-web, servizzi tal-posta u tal-aġġornamenti | programmi mhux magħrufa, proċessi minn /tmp jew /dev/shm |
| Port | 443, 3306, 5432, 587 | ports għoljin mhux tas-soltu, ports tipiċi tal-IRC |
| Tul | qasir, jaqbel ma' talbiet | miftuħa b'mod permanenti, anke bil-lejl mingħajr viżitaturi |
| Kwantità | baxxa u uniformi | quċċati f'daqqa fil-volum tad-data ħerġa |
| Traffiku tal-posta | ibgħat permezz tas-server tal-posta maħsub | ħafna konnessjonijiet diretti fuq il-port 25 |
Ħafna konnessjonijiet fuq il-port 25 jindikaw ibgħat ta' spam; dwar dan hemm artikolu proprju, Is-server jibgħat spam.
Ivvaluta destinazzjoni mhux magħrufa
Indirizz barrani fil-lista għadu mhux prova. Qabel tiddeċiedi, iċċara fejn twassal il-konnessjoni u min bniha. Anke dawn il-passi ma jbiddlu xejn:
- Iddetermina l-proċess: Ħu l-PID minn
ssu iċċekkja b'ls -l /proc/PID/exeu l-linja tal-kmand liema programm jinsab wara. - Fittex id-destinazzjoni: B'
dig -x <IP>iddetermina l-isem u b'whois <IP>l-operatur tan-netwerk. - Qabbel mal-applikazzjoni: Staqsi lill-iżviluppatur jew lill-fornitur tas-servizz jekk l-applikazzjoni tiegħek tuża dan is-servizz.
- Iċċekkja l-istorja: Protokolli tal-firewall u tan-netwerk juru sa minn meta teżisti l-konnessjoni u kemm data ħarġet.
- Salva r-riżultati: Aħżen l-outputs bil-ħin qabel ma twaqqaf jew timblokka xi ħaġa.
Kun lest għal riżultati ambigwi. Ħafna servizzi leġittimi jaħdmu għand fornituri kbar tal-cloud u tas-CDN, li l-indirizzi tagħhom ma jippermettux konklużjoni dwar il-klijent. Bil-maqlub, anke l-attakkanti jużaw servers tal-cloud mikrija. Operatur tan-netwerk magħruf għalhekk la huwa żgur u lanqas prova; deċiżiv huwa jekk il-proċess u l-iskop jaqblux mal-applikazzjoni tiegħek.
Ritratt tal-mument b'ss juri biss dak li bħalissa huwa miftuħ. Konnessjonijiet qosra li jinbnew kull minuta tarahom biss fil-protokolli. Għalhekk protokolli tal-firewall jew tal-flussi ta' spiss huma iktar importanti għall-mistoqsija dwar tnixxija ta' data milli l-ħarsa lejn is-server innifsu.
Jekk data seta' ħareġ mis-server tiegħek u data personali hija affettwata, jista' jkun hemm obbligu ta' notifika skont il-GDPR, ġeneralment fi żmien 72 siegħa. Iċċarah kmieni mal-uffiċjal tal-protezzjoni tad-data tiegħek; sfond hemm taħt Obbligu ta' notifika tal-GDPR f'72 siegħa. Din mhijiex konsulenza legali.
Tinsix DNS u containers
Mhux kull tnixxija ta' data teħtieġ konnessjoni viżibbli lejn indirizz barrani. Riżoluzzjonijiet ta' ismijiet permezz ta' DNS imorru għar-resolver taċ-ċentru tad-data tiegħek u kważi ma jaqbdux l-għajn fil-lista ta' ss. L-attakkanti jistgħu jippakkjaw data f'subdomains twal li jidhru każwali u hekk joħorġu data permezz ta' talbiet DNS. Indikazzjonijiet għal dan jipprovdu l-protokolli tar-resolver: numru mhux tas-soltu ta' talbiet lejn l-istess dominju barrani, ismijiet twal ħafna jew talbiet f'ħinijiet meta ħadd ma juża l-websajt.
Jekk l-applikazzjonijiet tiegħek jaħdmu f'containers, l-host spiss jara l-konnessjonijiet tal-containers biss bħala traffiku tan-netwerk tal-containers. Imbagħad iċċekkja f'kull container individwalment, sa fejn l-għodod huma disponibbli hemm, jew evalwa l-konnessjonijiet fil-livell tal-host u tal-firewall.
# Konnessjonijiet ġewwa container (jekk ss huwa inkluż fl-image)
docker exec <container> ss -tnp 2>/dev/null
# Fuq l-host: konnessjonijiet segwiti mill-kernel, jekk conntrack huwa installat
sudo conntrack -L 2>/dev/null | head -50
Illimita t-traffiku ħerġin b'mod permanenti
L-aktar prevenzjoni effettiva hija filtrazzjoni tal-ħruġ: is-server jista' jilħaq biss id-destinazzjonijiet li verament jeħtieġ, kull ħaġa oħra tiġi mblukkata u rreġistrata. Għall-attakkanti dan jagħmilha ferm aktar diffiċli li jniżżlu għodod jew jiġbdu data, anke jekk jistgħu jesegwixxu kodiċi.
It-triq tibda b'lista tad-destinazzjonijiet meħtieġa, li tiddeduċiha mill-konnessjonijiet miġbura hawn fuq. Imbagħad issegwi fażi li fiha konnessjonijiet imblukkati biss jiġu rreġistrati, qabel ma l-blokk jinxtegħel tassew. Servizzi tal-ħlas, servers tal-aġġornamenti u interfaces b'indirizzi li jinbidlu jeħtieġu attenzjoni partikolari. Kif tinbena firewall għal servers tal-web b'mod ġenerali jiddeskrivih Firewall għal servers tal-web: iftaħ biss il-ports meħtieġa.
Kif tgħin PHP SOS b'mod konkret?
- Niċċekkjaw il-konnessjonijiet: Nassenjaw il-konnessjonijiet attivi kollha lil proċessi u skopijiet u nivvalutaw destinazzjonijiet mhux magħrufa.
- Nistmaw it-tnixxija ta' data: Nevalwaw protokolli tal-firewall u tan-netwerk u niċċaraw jekk u meta ġiet trasferita data.
- Nillimitaw il-ħruġ: Magħkom nfasslu lista ta' destinazzjonijiet permessi u nissettjaw il-filtrazzjoni tal-ħruġ pass pass.
- Nissorveljaw fit-tul: Bis-Security Monitoring nirrapportaw konnessjonijiet ġodda jew mhux tas-soltu.
Mistoqsijiet frekwenti
Liema konnessjonijiet ħerġin huma normali għal server tal-web?
Tipiċi huma konnessjonijiet lejn id-database, is-server tal-posta, servizzi tal-ħlas u tal-ispedizzjoni, servers tal-aġġornamenti u interfaces magħrufa tal-applikazzjoni. Kull ħaġa li ma tistax tiġi assenjata għal xi wieħed minn dawn l-iskopijiet jixraqilha ħarsa eżatta.
Kif nara liema proċess bena konnessjoni?
B'ss -tunap jew lsof -i -n -P bħala root. It-tnejn juru għal kull konnessjoni l-ID tal-proċess u l-isem tal-programm. Hekk tagħraf jekk il-konnessjoni tiġix minn PHP, mis-server tal-web jew minn programm barrani.
Konnessjoni mhux magħrufa tfisser li d-data ħarġet?
Mhux neċessarjament. Imma hija indikazzjoni li trid tiġi ċċarata. Jekk u liema data ġiet trasferita ta' spiss tista' tinwieġeb biss b'protokolli tal-firewall jew tan-netwerk. Jekk data personali hija affettwata, jistgħu jeżistu obbligi ta' notifika.
Server tal-web għandu jitħalla jagħmel konnessjonijiet ħerġin?
Biss lejn id-destinazzjonijiet li jeħtieġ. Filtrazzjoni tal-ħruġ li timblokka kull ħaġa oħra tagħmel it-tniżżil ta' għodod u t-tnixxija ta' data ferm aktar diffiċli għall-attakkanti. Imma trid tiġi ttestjata bir-reqqa.