Взломали Billur...

[Djalolatdin Rakhimov]

Сообщение от Сергей Каракишьян

Попытка восстановить данные ничего не дала.

А бэкапы?

[Сергей Каракишьян]

Плюс к этому:

1. Не написал раньше, потому что занят восстановлением работы сервисов.
2. Очень большая просьба, касающаяся всех злорадствующих: воздержитесь от грубых высказываний, пожалуйста. От такого никто не застрахован, и утверждать, что взломать могли только наш хостинг - это очень глупо, ибо других наших хостеров возможно ломануть ещё просто никто не попробовал.

[Erkin Kuchkarov]

Сергей Каракишьян позволите себе ответить на небольшие уточненяющие вопросы:
1. Firewall был настроен на маппинг необходимых портов и пропуск протоколов. Я правильно понял? То есть никакого анализа пакетов в нем не было?
2. Систем обнаружения атак и вторжения (IDS) точно не стояла так как "Сервер был взломан в 6 утра первого января. Разумеется, в такое время никто не сидел, и не мониторил сервера". Так?

Сообщение от Сергей Каракишьян

ибо других наших хостеров возможно ломануть ещё просто никто не попробовал.

Может и пробовали.

[Сергей Каракишьян]

Сообщение от Djalolatdin Rakhimov

А бэкапы?

Ну в данном случае, я имел в виду логи.

Есть бекапы сайтов, чьи хозяева настраивали в плеске бекап. (от копирования всего подряд мы отказались в связи с тем, что это жутко грузило сервер. И потом, что мешает настроить собственное расписание?)

[Сергей Каракишьян]

Сообщение от Erkin Kuchkarov

Сергей Каракишьян позволите себе ответить на небольшие уточненяющие вопросы:
1. Firewall был настроен на маппинг необходимых портов и пропуск протоколов. Я правильно понял? То есть никакого анализа пакетов в нем не было?
2. Систем обнаружения атак и вторжения (IDS) точно не стояла так как "Сервер был взломан в 6 утра первого января. Разумеется, в такое время никто не сидел, и не мониторил сервера". Так?

Может и пробовали.

1. Нет, разумеется так же отфилтровываются битые, и всякие неправильные пакеты.

2. не стояла. Раз уж пошёл такой разговор, может посоветуете что-то конкретное?

3. А может и пробовали. Не исключено. Может и остальные наши сервера тоже пробовали...

[kirill]

Сообщение от Сергей Каракишьян

Тут я смотрю понаписали кучу разного.
И так, попробую внести ясность:
Сервер на линуксе, и изначально был заказан уже настроенным, и полностью укомплектованным всем необходимым софтом. Что такое фаерволл мы прекрасно знаем, и он был настроен на то, чтобы пропускать только объявленные сервисы, среди которых был апач, почта (qmail), proftpd, DNS и сам Plesk. Всё остальное было либо вообще закрыто, либо доступно только дя определённых адресов.

После взлома с сервера были удалены все файлы, в именах которых встречался корень log. Разумеется, операционная система от такого погнала... Все логи вычищены напроч. Попытка восстановить данные ничего не дала. (пробовал около 5 разных утилит). К сожалению, определить точно, как был взломан сервер оказалось невозможным, так как логи выдрали с сервера с корнем...
Возможные способы взлома:
1 - чей то кривой скрипт + какойнибудь эксплойт (подобрать случайно пароль рута было нереально. 12 знаков из цифр и букв разного регистра...)
2 - Какая либо уязвимость в панели управления Plesk, в частности, возможно в системе авторизации SSO.

Сервер был взломан в 6 утра первого января. Разумеется, в такое время никто не сидел, и не мониторил сервера.

вот собственно так всё и произошло.

т.е. не получилось востановить логи, из-за этого система встала?

[Nestik]

А ядро какое было?

[Erkin Kuchkarov]

Сообщение от Сергей Каракишьян

1. Нет, разумеется так же отфилтровываются битые, и всякие неправильные пакеты.

2. не стояла. Раз уж пошёл такой разговор, может посоветуете что-то конкретное?

3. А может и пробовали. Не исключено. Может и остальные наши сервера тоже пробовали...

2. Не посоветую, иначе вопримут как рекламу. Однако тут (на форуме) много производителей всякой лабуды типа IDS (на вскидку - три штуки. Cisco, HP, IBM) (Sharifa - партнер всех трех производителей)

[Djalolatdin Rakhimov]

Сообщение от Сергей Каракишьян

Ну в данном случае, я имел в виду логи.

Есть бекапы сайтов, чьи хозяева настраивали в плеске бекап. (от копирования всего подряд мы отказались в связи с тем, что это жутко грузило сервер. И потом, что мешает настроить собственное расписание?)

Ну не каждый владелец сайта осознает важность резервного копирования. Кроме этого, может и неправильно настроить. ИМХО, лучше брать это на сторону хостера дефолтом.

[Ботир]

Оффтоп:

А против того хакера с Турки ничего не будете предпринять ? а может он вернется однажды чтоб повторить свою грязное делу