Sunucu Sertleştirme ve Olay Müdahalesi
Bir üretim sunucusunda arka kapı ve kripto madencisi tespiti, temizliği ve bir daha olmaması için kurulan kalıcı savunma katmanları.
Problem ve İhtiyaç
Üretimde çalışan bir sunucuya, kullanılan bir çatının bilinen bir açığı üzerinden sızıldı: sisteme arka kapı bırakılmış ve işlemci gücünü çalan bir kripto madencisi kurulmuştu. Böyle bir olayda iki ayrı iş var ve ikisi de aynı anda yapılmak zorunda: sistemi temizleyip ayakta tutmak ve olanın kaydını kaybetmeden toplamak.
Çözüm Mimarisi
Önce kanıt toplandı — hangi dosya ne zaman değişti, hangi süreç neyi çalıştırdı, giriş hangi yoldan oldu — ve kolluk kuvvetlerine verilebilecek ayrı bir kanıt paketi hâline getirildi. Ardından arka kapı ve madenci kaldırıldı. Temizlik yetmez, aynı yolun kapanması gerekiyordu: yazılabilir dizinler noexec ile bağlandı, yani saldırganın yükleyebildiği bir dosya artık çalıştırılamıyor; servisler yalnızca ihtiyaç duydukları yetkiyle çalışacak şekilde kilitlendi; auditd ile dosya ve süreç hareketleri kayda alındı; her gün kendiliğinden çalışan bir tarama kuruldu. Aynı sunucuda yedi site barındığı için her biri kendi php-fpm havuzunda izole edildi ve tanımsız alan adları nginx tarafında doğrudan kapatıldı.
Elde Edilen Sonuçlar
Sunucu temizlendi ve yeniden yayına alındı; arka kapı kalıntısı kalmadı. Kurulan katmanlar olaydan sonra kalıcı hâle geldi: günlük tarama kendi kendine çalışıyor, noexec ve servis kilitleri aynı saldırı yolunu baştan kapatıyor. Müdahale sırasında yazdığım tarayıcıyı herkesin kendi sunucusunda çalıştırabileceği, HTML rapor üreten genel bir sürüme dönüştürdüm.