侵入されたら、復旧より先に保全する

レン

侵入された！とりあえずサーバーを作り直して、バックアップから戻せばいいよね！？

プロクラ

待って。その前にやることがある。慌てて作り直すと、大事なものを2つ失うんだ。

失うもの1：どこから入られたかの手がかり

プロクラ

侵入経路が分からないまま同じ構成で作り直すと、同じ穴からまた入られる。「復旧したのに何度もやられる」というのは、これが原因のことが多いんだ。

失うもの2：いつから侵入されていたかの情報

プロクラ

これが分からないと、どのバックアップが安全か判断できない。侵入後のバックアップから戻したら、侵入者の仕掛けごと復元してしまうからね。

レン

バックアップに混ざってる可能性があるのか…

プロクラ

そう。しかも自動で世代が入れ替わる仕組みだと、安全な世代が消えていくこともある。疑わしいと思った時点で、まずバックアップの自動削除を止めるのも手だよ。

推奨する順番

• 1. 被害の拡大を止める：ネットワークから切り離す、またはファイアウォールで遮断する（電源はすぐ落とさない）
• 2. スナップショットを取る（この時点の状態をまるごと保全する）
• 3. ログ・プロセス一覧・通信状況・ユーザー一覧などを記録する
• 4. 認証情報をすべて変更する。サーバー上に置いていた鍵・APIキーは漏れた前提で無効化する
• 5. 侵入時期の見当をつけ、それより前のバックアップを選ぶ
• 6. できれば復旧ではなく、新しいサーバーへクリーンに再構築する

3で具体的に何を残すか

プロクラ

動いているサーバーの上でしか取れない情報がある。切り離したあと、電源を落とす前に記録しておこう。結果はファイルに書き出して、手元にも落としておくこと。

• 動いているプロセスの一覧（見覚えのない名前が無いか）
• 外部と繋がっている通信の一覧（どこへ繋ぎに行っているか）
• ユーザーの一覧と、最近のログイン履歴
• cron等の定期実行の設定（仕掛けが残されていることが多い）
• SSHの公開鍵ファイル（勝手に鍵を追加されていないか）
• 最近書き換えられたファイルの一覧

レン

電源をすぐ落としちゃダメなの？

プロクラ

落とすとメモリ上の情報が消えるからね。ただ、被害が進行中なら止めることを優先していい。判断に迷うなら、まず通信を遮断する。これなら被害を止めつつ、状態は保てるよ。

認証情報は「漏れた前提」で扱う

プロクラ

4は面倒だけど、いちばん飛ばしてはいけないところだよ。サーバーの中に置いてあったものは、全部見られたと考えるのが安全だ。

• SSHの鍵、サーバーのパスワード
• データベースの接続情報
• 外部サービスのAPIキー・トークン
• 設定ファイルや環境変数に書いていた認証情報
• 同じパスワードを他所でも使っていたなら、そちらも変更する

他人に被害を及ぼしている場合

プロクラ

自分のサーバーが踏み台にされて他所を攻撃している場合は、話が変わる。加害者側になってしまうので、遮断を最優先にしよう。契約している事業者から連絡が来ることもあるし、放置すると利用規約違反で停止されることもあるよ。

プロクラ

それと、預かっている個人情報が漏れた可能性がある場合は、対応が別に必要になる。規模や内容によって求められることが違うので、そこは専門の情報を確認してほしい。

ウィルスン

…ふん。慌てて全部消してしまう者が多いのでな。そうしてくれると、ワタシがどう入ったかは永久に分からないままだ。またすぐ入れる。落ち着いて記録を残す者は、正直に言えばやりにくい。

レン

止める、保全する、記録する、変える。作り直すのは最後なんだね。