我懷疑我的一個或多個服務器受到黑客，病毒或其他機制的破壞：
這是該主題的經典文章。 最初來自serverfault。 sub>
最初是由於serverfault引起的。 感謝Robert Moir（RobM）
根據您在此處發布的內容很難給出具體建議，但我根據我很久以前寫的帖子仍然有一些通用建議。
首先，除了從入侵之前進行的備份還原系統之外，沒有“快速修復”的方法，這至少有兩個問題。
這個問題不斷遭到黑客入侵其Web服務器的受害者的反复詢問。答案很少改變，但是人們一直在問這個問題。我不知道為什麼。也許人們只是不喜歡他們在尋求幫助時所看到的答案，或者找不到他們信任的人來提供建議。或者，人們可能會閱讀該問題的答案，而過分地關注為什麼案例的特殊性和他們在網上找到的答案有5％的差異，而錯過了95％的問題，而他們的案例足夠接近相同的答案作為他們在網上閱讀的內容。
這使我進入了第一個重要的信息領域。我真的很感謝您是一個特別的獨特雪花。我也很欣賞您的網站，因為它反映了您和您的業務，或者至少反映了您代表雇主的辛勤工作。但是對於外面的某個人來說，無論是計算機安全人員正在查看問題以嘗試幫助您，甚至是攻擊者本人，您的問題很可能與他們遇到的其他所有案例至少具有95％的相同性曾經看過。
不要親自接受攻擊，也不要親自遵循此處或從他人那裡得到的建議。如果您只是在成為網站黑客的受害者後才讀這篇文章，那麼我真的很抱歉，我真的希望您能在這裡找到有用的東西，但這不是讓您的自我阻礙您所需要的方式的時候。
。您剛剛發現您的服務器被黑了。現在呢？
不要驚慌。絕對不要倉促行事，絕對不要試圖假裝從未發生過的事情，甚至根本沒有採取任何行動。
首先：了解災難已經發生。現在不是拒絕的時候。現在該是時候接受發生的事情了，對之現實，並採取措施來管理影響的後果。
其中一些步驟將會受到傷害，並且（除非您的網站持有我的詳細信息的副本），我真的不在乎您是否忽略所有或部分這些步驟，但這樣做最終會使情況變得更好。該藥可能聽起來很糟糕，但有時如果您真的想治愈該藥，就不得不忽略它。
阻止問題變得比現在更嚴重的是：
但是，讓您的客戶告訴您有關問題的信息可能使他們感到煩惱，如果您不告訴他們，他們將更加煩惱，並且只有在有人使用8000美元的商品收費後，他們才會自己發現他們從您的網站上竊取的信用卡詳細信息。
還記得我之前說的話嗎？壞事已經發生了。現在唯一的問題是您如何處理它。
充分理解問題所在：
為什麼不僅僅“修復”您已經利用的漏洞利用程序或rootkit檢測到並將系統重新聯機？
在這種情況下，問題是您不再擁有該系統的控制權。不再是您的計算機。
要確定對系統有控制權的唯一方法是重建系統。儘管找到並修復用於入侵系統的漏洞有很多價值，但是一旦入侵者獲得控制權，您就無法確定對系統做了哪些其他事情（事實上，對於招募黑客來說這並非聞所未聞系統放入殭屍網絡以修補他們自己使用的漏洞，以保護其他黑客“購買”他們的新計算機，以及安裝rootkit。
制定恢復計劃並為您帶來網站恢復在線並堅持下去：
沒有人希望脫機的時間比必須的更長。那是給定的。如果該網站是一種創收機制，那麼將其迅速恢復在線的壓力將非常巨大。即使您/公司的聲譽受到威脅，這仍然會給您帶來很大的壓力，需要迅速恢復。
但是，不要屈服於回頭路的誘惑。上網太快。相反，應盡可能快地行動，以了解造成問題的原因並在重新上網之前解決問題，否則您幾乎肯定會再次成為入侵的受害者，並記住，“一旦被黑客入侵，可被視為不幸；再次被黑，看起來像是粗心大意”（向Oscar Wilde道歉）。
降低以後的風險。
第一件事需要了解的是，安全性是您必須在設計，部署和維護面向Internet的系統的整個生命週期中應用的一個過程，而不是像廉價的油漆那樣以後可以在代碼上打幾層的東西。為了獲得適當的安全，需要從一開始就設計服務和應用程序，並將其作為項目的主要目標之一。我意識到這很無聊，並且您之前已經聽說過所有消息，並且我“只是沒有意識到讓您的Beta Web2.0（beta）服務成為Web上Beta狀態的壓力人”，但是事實是，這種情況一直持續被重複，因為它是第一次被說成是真的，並且還沒有成為謊言。
您無法消除風險。您甚至都不應該嘗試這樣做。但是，您應該做的是了解哪些安全風險對您很重要，並了解如何管理和減少風險的影響以及風險發生的可能性。
需要採取哪些步驟您可以採取降低攻擊成功的可能性的方法嗎？
例如：
您可以採取哪些步驟減少成功攻擊的後果？
如果您認為家庭洪水較低樓層的“風險”很高，但又不足以保證移動，則至少應將無可替代的家庭傳家寶搬到樓上。對吧？
...最後
我可能沒有遺漏別人認為重要的東西，但是上述步驟應該至少可以幫助您在不幸的情況下開始整理東西，使其成為黑客的受害者。
最重要的是：不要驚慌。三思而後行。做出決定後，請立即採取行動，如果有什麼要添加到我的步驟列表中，請在下面留下評論。
在Linux中使文件“不可刪除”是通過屬性完成的，特別是“ immutable”屬性。請參閱 lsattr查看屬性，請參見 chattr更改屬性。
但這僅能解決近端原因。 重要的事情是您的計算機受到敵對控制，劫機者為自己的things目標安裝了東西。特別是，他很可能安裝了 rootkit，以使條目保持打開狀態，而不管您是否嘗試進行清理操作。 Rootkit可能以從機器本身不可見的方式更改了內核和/或系統二進製文件，並阻止了它們的自行刪除。最重要的是，您的計算機無法保存；您無法可靠地再次使您的計算機乾淨，通過重新格式化磁盤並從頭開始安裝來保存。
免於以後的煩惱和麻煩。 從軌道上震撼系統。
就像我在對ServerFault的交叉帖子的回復中所說的那樣。這是一個很好的解釋。同樣，這當然取決於攻擊的類型。希望或不幸的是，此攻擊噪聲很大，您已將其識別為正在進行的攻擊。或者，可以肯定地說，是攻擊的早期階段，我要說的是這種操作順序是遵循的良好藍圖。
但是，有一種可能性，就是您了解的危害指標可能無法完全反映出感染的情況，並且斷開PC可能不會符合您的最大利益，除非您了解程度，我認為最好在開始從網絡中刪除任何受影響的系統/設備之前找出切入點以及您可能無法控制的系統。
問題的真相可能是那些行為者在您的系統中停留的時間比您想像的要長，過早地出手（即我終於注意到您坐在我的系統中）可能會使根除變得更加困難。
沒有真正簡單的答案，但RobM提供的起點已足夠。在所有壓力下，有多個正確答案也可能是錯誤答案。幾乎像不確定性原理一樣，您不知道答案是否正確才嘗試。
還應該查看（PDF）NIST計算機安全事件處理指南。
全部備份-這樣您就可以在沙盒類型的環境中進行取證。
然後-從0開始-從“無”開始。
新的操作系統-完全patched.Applications-備份中的最新數據文件...（如果可能，在受到損害之前）。如果不需要，則需要對內容和權限進行全面掃描。
然後徹底檢查黑客的入侵方式，並確保不會再發生這種情況。
當您發現什麼內容已經發生了-請採取措施確保其不再發生，並（在內部和/或外部）發布您發現的內容（您可以選擇省略對策）。
除非您從中學到-將會再次遭受同樣的命運。
該方法適用於確切的實際情況，但下面是可能的方法。
•我的第一步是什麼？當我到達現場時，應該斷開服務器的連接，保留“證據”，還有其他初始注意事項嗎？
答案：當然，您必須斷開服務器的連接通過網絡，但不應關閉/關閉服務器電源，因為您可能必須進行取證才能了解情況，事件的影響並且必須保留證據（如果關閉服務器電源，則可能會擦除內存中的數據）。
危機管理和溝通–如果您具有危機管理和DR / BCP策略，請遵循所述步驟。在這種情況下，這又可能會導致病毒傳播，因此您可能必須遵循您的流程。
•我如何才能使服務恢復在線狀態？
答案：如上所述，請按照您的危機管理/ DR / BCP指示進行操作。視情況而定。
例如，如果該病毒是定時炸彈或在服務器上採取了某些措施並受到勒索軟件攻擊而觸發的，則最好不要立即啟動災難恢復（這可能會觸發從您的災難恢復服務器傳播的另一種惡意軟件）。最好的方法是評估事件對網絡的影響，然後採取必要的措施恢復服務。
•如何防止同一件事再次發生？
答案：盡快確定事件的根本原因，以防止同一事件再次發生。如上述答案所示，在勒索軟件情況下，您可能必須確保該惡意軟件不會傳播到您的災難恢復/備份中。
如果事件是由於您的網絡中的漏洞而發生的（例如，防火牆端口被錯誤打開，並且攻擊通過此端口進行），則應立即採取措施關閉已知/已識別的漏洞，以避免事件發生再次。
•是否存在從該事件中學習的最佳實踐或方法？
答案：是的，每個事件都可以因此，請更新您的危機管理/ DR / BCP程序以反映對此類事件的了解。
始終建議您進行主動的監視/事件標識，以避免/及早發現例如，您可以部署SOC（安全運營中心）或SIEM（安全事件事件管理）工具。
•如果我想將事件響應計劃放在一起，我應該在哪裡？開始嗎？這應該是我的災難恢復或業務連續性計劃的一部分嗎？
答案：應該是您的BCP / DR計劃的一部分，並且通常包含在危機管理中（BCP計劃的一部分）。