VPS nghi bị xâm nhập: cô lập và phục hồi an toàn

VPS có dấu hiệu bị xâm nhập cần được xử lý như sự cố, không chỉ gỡ một process lạ rồi đổi mật khẩu. Mục tiêu là hạn chế tác động, giữ thông tin điều tra và khôi phục từ môi trường tin cậy mà không đưa lại quyền truy cập của kẻ tấn công.

Nhận diện nhưng không vội kết luận

Không phải process không quen tên đều là malware. Ghi chứng cứ, timeline và thay đổi gần đây. Nếu dữ liệu đang bị mã hóa hoặc lan sang dịch vụ khác, ưu tiên hạn chế thiệt hại song song với giữ bằng chứng.

Bước 1: tổ chức xử lý và cô lập

CISA khuyến nghị cô lập hệ bị ảnh hưởng, phối hợp ứng phó và giữ bằng chứng có thể mất nhanh. Với VPS, liên hệ nhà cung cấp để xác nhận cách cô lập network mà còn truy cập console điều tra. Kiểm tra cả VPN, mạng nội bộ, storage chia sẻ và credential dùng chung.

Cô lập có thể làm dịch vụ gián đoạn; ghi rõ người quyết định và phạm vi. Nếu cô lập an toàn được, không reboot chỉ theo thói quen vì có thể mất dấu vết đang ở bộ nhớ. Trường hợp tác hại tiếp diễn và không cô lập kịp cần ưu tiên containment theo đánh giá của người xử lý.

Bước 2: giữ thông tin điều tra

• Ghi thời gian phát hiện, triệu chứng và người thao tác.
• Giữ log, cấu hình và artifact liên quan với quyền kiểm soát.
• Lưu bản snapshot/image phục vụ điều tra nếu khả thi và được phép.
• Không xóa file nghi vấn hoặc log trước khi đánh giá.
• Nhờ người có chuyên môn thu thập dữ liệu volatile khi cần.

Snapshot disk không tự chứa bộ nhớ RAM hoặc thay một quy trình điều tra đầy đủ. Lệnh trên máy đã bị chiếm quyền có thể cho thông tin không đáng tin; xem thêm log phía proxy, nhà cung cấp và hệ thống độc lập.

Bước 3: xác định secret và phạm vi ảnh hưởng

Kiểm kê SSH key, token deploy, database password, cloud/API credential và quyền backup mà VPS có thể đọc. Thu hồi hoặc xoay vòng từ thiết bị/môi trường sạch. Không nhập credential mới vào VPS chưa được tin cậy vì nó có thể bị lấy tiếp.

Kiểm tra các hệ dùng cùng credential, không chỉ host đầu tiên. Nếu dữ liệu có thể bị truy cập hoặc sao chép, khôi phục server không tự kết thúc vấn đề; chủ hệ thống cần đánh giá thông báo và nghĩa vụ liên quan theo tình huống thực tế.

Bước 4: phục hồi trên môi trường sạch

1. Xác định nguồn xâm nhập khả dĩ và biện pháp chặn.
2. Dựng VPS mới từ OS/image tin cậy và cập nhật phù hợp.
3. Cấp user, key và secret mới đã được kiểm soát.
4. Lấy bản dữ liệu trước sự cố đã kiểm tra, không restore tùy tiện toàn cấu hình cũ.
5. Kiểm tra dữ liệu, ứng dụng, job nền và network.
6. Mở traffic từng bước với monitoring và kế hoạch quay lại.

Backup có thể đã chứa payload hoặc cấu hình persistence trước ngày phát hiện. So nhiều mốc, kiểm tra chất lượng và tránh coi một file 'backup thành công' là sạch. Nếu database đã phát sinh giao dịch mới, cần quyết định dữ liệu chính cùng người phụ trách nghiệp vụ.

Sau khi dịch vụ hoạt động

Hoàn thiện timeline, kiểm tra quyền dư thừa, secret, cổng mở và bản vá. Tách quyền backup khỏi production, thử restore và cập nhật runbook. Mục tiêu là xử lý đường xâm nhập và khả năng tái diễn, không chỉ có một máy mới.

Khi thuê VPS, xác nhận console, khả năng cô lập và trách nhiệm các bên. Phạm vi hỗ trợ hạ tầng không mặc định bao gồm điều tra malware hay khôi phục toàn ứng dụng.