Ce fac dacă serverul a fost compromis?

Prima acțiune

izolare la nivel de rețea, nu shutdown

Date personale afectate

notificare CNPDCP fără întârziere, în cel mult 72 de ore unde e posibil

Furnizor sub Legea 48/2023

notificare, actualizare și raport final către ASC

Sesizare penală

Centrul pentru combaterea crimelor cibernetice al INI, IGP

Semnele și prima oră

Semnele tipice: procese cu nume ciudate, conexiuni de ieșire către adrese necunoscute, cron-uri noi, chei în authorized_keys, fișiere modificate în directoarele web. În prima oră nu repornești și nu ștergi nimic: blochezi traficul, lași doar accesul tău și copiezi dovezile. Notează ora fiecărei acțiuni: cronologia intră în raportul final.

Dovezi, apoi rotirea secretelor

Salvezi pe un mediu extern rezultatul ps, ss, lsof, last, crontab-urile, jurnalele din /var/log și un snapshot al discului. Abia apoi rotești toate secretele, nu doar ce „pare” afectat: parolele bazei, cheile API, tokenurile de cloud, cheile SSH ale celor conectați, certificatele TLS de pe server. Un secret uitat e calea de întoarcere a atacatorului.

• copiază jurnalele înaintea oricărei curățări
• listează secretele care au trecut prin server, dintr-un inventar, nu din memorie
• revocă și re-emite, nu doar schimba parola
• verifică dacă backupurile de după compromitere conțin ușa din spate

Restaurare pe curat și închiderea căii de intrare

Un server compromis nu se curăță, se înlocuiește: nu poți dovedi că ai găsit tot. Construiești o mașină nouă, restaurezi dintr-un backup dinaintea intruziunii, aplici patch-urile și închizi vulnerabilitatea folosită: plugin vechi, parolă slabă, port deschis. Abia apoi muți traficul, iar serverul vechi rămâne izolat până la finalul investigației.

Pe cine notifici în Moldova și când

Dacă ești furnizor de servicii identificat conform Legii nr. 48/2023 și HG nr. 860/2024, notifici Agenția pentru Securitate Cibernetică incidentele cu impact semnificativ, în trei etape: notificare, actualizare cu evaluarea inițială și raport final; dacă incidentul e încă în desfășurare, depui un raport de progres, iar raportul final vine în termen de o lună de la finalizarea gestionării. La date personale afectate, Legea nr. 195/2024 cere notificarea CNPDCP fără întârziere nejustificată și, unde e posibil, în cel mult 72 de ore de la aflare, plus informarea persoanelor vizate la risc ridicat. Clienții din UE se notifică în termenul contractual, iar pentru fapta penală depui sesizare la Centrul pentru combaterea crimelor cibernetice al INI.

Comenzi și configurări

# Dovezile NU se scriu pe mașina compromisă: montează un volum extern în /mnt/dovezi
# sau, de pe stația de investigație, rulează fiecare comandă prin
#   ssh root@server 'ps auxwwf' > procese.txt
mkdir -p /mnt/dovezi && mount /dev/disk/by-label/DOVEZI /mnt/dovezi
mkdir -p /mnt/dovezi/$(hostname)-$(date +%F) && cd $_
ps auxwwf > procese.txt
ss -tunap > conexiuni.txt
lsof -nP > fisiere-deschise.txt
last -Fa > autentificari.txt
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done > cron.txt
journalctl --no-pager -o short-iso > journal.txt
cp -a /var/log ./var-log
find / -xdev -newermt "$(date -d '-7 days' +%F)" -type f 2>/dev/null > fisiere-modificate-7zile.txt
sha256sum * > SUME.sha256

# Un base chain cu policy drop intră în vigoare în momentul creării, deci NU adăuga
# regulile pe rând: încarcă tot setul dintr-un fișier, într-o singură tranzacție.
cat > /root/izolare.nft <<'EOF'
table inet izolare {
  chain input {
    type filter hook input priority -10; policy drop;
    ct state established,related accept
    ip saddr 203.0.113.10 tcp dport 22 accept
  }
  chain output {
    type filter hook output priority -10; policy drop;
    ct state established,related accept
    ip daddr 203.0.113.10 tcp sport 22 accept
  }
}
EOF
nft -f /root/izolare.nft
# plasă de siguranță: dacă te blochezi, regula dispare în 10 minute
( sleep 600; nft delete table inet izolare ) &

Exemple din practică

Greșeli frecvente

• Oprești serverul „ca să nu mai facă rău” și pierzi memoria, procesele și conexiunile care arătau totul.
• Ștergi fișierele suspecte, repornești serviciul și închizi incidentul fără să știi cum s-a intrat.
• Schimbi doar parola contului suspectat și lași cheile API neschimbate.
• Restaurezi din cel mai recent backup, care conține deja ușa din spate.
• Amâni notificarea clientului „până aflăm exact ce s-a întâmplat” și îi consumi cele 72 de ore.

Cum te ajută 4hosting

Întrebări conexe

• Trebuie să notific CNPDCP pentru orice compromitere a serverului?

  Nu. Obligația apare când au fost afectate date personale și încălcarea poate genera un risc pentru persoanele vizate; un server de teste nu se notifică. Documentează decizia: lipsa notificării trebuie justificată.

• Pot plăti răscumpărarea la ransomware ca să recuperez datele?

  Plata nu garantează cheia, finanțează următorul atac și poate ridica probleme legale. Alternativa reală e backupul extern testat; dacă nu îl ai, contactează Poliția și Agenția pentru Securitate Cibernetică înainte de orice discuție cu atacatorii.

• Ce conține un raport post-incident?

  Cronologia, calea de intrare, ce a fost accesat, ce secrete s-au rotit, cum s-a restaurat serviciul și ce împiedică repetarea. E documentul cerut de client și baza raportului final.