Ver el código de «Recuperación de un sitio hackeado»

{{Seguridad}}
{{Moodle 2.x}}

==Pasos iniciales==

* Contacte a su provedor de alojamiento (''hosting''), si es que tiene alguno.
* Immediatamente ponga el sitio en [[Modo de mantenimiento]] o, mejor aún, desconéctelo de internet completamente hasta que esté seguro de haberlo arreglado completamente. Usted necesita deshabilitar la conexión en la que su atacante tiene a su servidor.
** Usted puede configurar un cortafuegos (''firewall'') para bloquear conexiones al servidor desde todas las IPs y solamente permitir su dirección IP. Tenga cuidado al hacer esto, porque si su IP cambiara, Usted quedaría desconectado del servidor permanentemente. Para estos casos, es mejor permitir el rango de IPs en donde está su propia IP.
** Si Usted mismo tiene su servidor y tiene acceso físico al servidor, una forma más simple es conseguir un ruteador (''router'') pequeño y enchufar allí al servidor. NO lo conecte al resto de la red ni al Internet. Ahora Usted tendrá libertad de acceder al servidor directamente o por medio de otra computadora enchufada al mismo ruteador.
* Busque todos los respaldos antiguos (copias de seguridad) de archivos y bases de datos disponibles.
* Respalde los archivos PHP, bases de datos y archivos de datos (Sin sobre-escribir los respaldos antiguos).
* Haga una lista de todo el ''software'' de PHP y programas/paquetes instalados en el mismo servidor.
* Tome nota de cúal es su versión principal de Moodle y la fecha de la última actualización, y haga una lista de todos los módulos extra y modificaciones personalizadas que tuviera.
* Revise las ramificaciones legales de una posible exposición de los datos personales de sus usuarios Es posible que por ley (según su país) tenga que notificar a los usuarios y por lo menos, decirles que deberán cambiar sus contraseñas en cualquier cuenta con cualquier otro servicio en la que usaran la misma contraseña que tenían en este sitio Moodle.
* Finalmente, si no está familiarizado con la línea de comando, o con servidores en general, lo mejor es que se consiga a alguien que si lo esté para que le ayude. Usted es responsable de la información de sus usuarios que Usted almacena, por lo que debe de asegurarse de que la recuperación se realice adecuadamente..


Recuerde, debe considerar TODO en el sistema como no-confiable hasta que Usted conozca hasta donde pudo introducirse el hacker (¿tiene permisos de root en el servidor o solamente acceso para modificar ciertos archivos?) Haga una investigación forense acerca de cómo fue que la persona (o el programa) pudo entrar y lo que hizo antes de restaurar un respaldo o correr algún programa anti-virus. Sin Usted saberlo, el respaldo pudo haber sido modificado para contener una puerta de acceso trasero que le permita al atacante regresar más tarde. Usted quiere cerrar la vulnerabilidad que usó el atacante para que no vuelva a suceder.

==Evaluación del daño==

* Encuentre exactamente cuando fue hackeado el sitio.
** Revise las fechas de modificación de los archivos. Usted estará buscando archivos de aplicaciones que fueron modificados alrededor de la fecha d la intrusión inicial. Estos archivos son sospechosos.
** Revise las bitácoras de su servidor buscando cualquier actividad sospechosa cerca de la fecha o unas horas antes, tales como parámetros de página extraños, intentos fallidos de ingreso, historia de comandos (instrucciones, especialmente como root), cuentas de usuarios desconocidos, etc.
** Asegúrese de considerar las actualizaciones que Usted hubiera descargado, ya que esto cambiará las fechas de los archivos del sistema modificados y/o de Moodle.
* Busque archivos subidos o modificados en su servidor web - busque los archivos más antiguos que no pertenezcan a Moodle.

==Recuperación==
* Restaure el último respaldo que tenga de fecha justo antes del incidente.
* [http://download.moodle.org/ Descargue la última versión estable] y haga una  [[Actualización_de_moodle]] de su sitio.
* Cambie sus contraseñas.
* Dependiendo de la extensión del ataque, puede necesitar hacer un formateo completo del disco duro y reinstalar el Sistema Operativo.
* Asegúrese de implementar cualquier parche que haya encontrado durante su investigación y revise dos veces la seguridad existente en su servidor para ver si no puede mejorarse.
** Esto también significa que Usted debería revisar cualquier complemento o personalización que le haya hecho a su sitio Moodle. ¿Está seguro de haber procesado adecuadamente todas las entradas de texto del usuario? ¿Y qué pasa con los permisos de los directorios del servidor web y de la base de datos?

==Control del SPAM==
* La presencia de spam en perfiles o publicaciones en foros no necesariamente significa que su sitio fue realmente hackeado.
* Use la herramienta para [[Minimizar_el_spam_en_Moodle]] que se encuentra en (''Configuraciones > Administración del sitio > Reportes > Limpiador de spam'') regularmente, para encontrar y eliminar el spam.

==Prevención==

* '''Siempre tenga su sitio actualizado y use la [http://download.moodle.org/ versión estable más reciente].''' [[Git para Administradores]] indica cómo lograr esto fácilmente.
* Regularmente corra el [[Reporte_Vista_general_de_Seguridad]] que se encuentra en (''Configuraciones > Administración del sitio > Reportes > Vista general de seguridad'').
* Entienda cómo configurar adecuadamente los permisos y la propiedad de archivos para maximiza la seguridad. Si esto es un misterio para Usted, no por ello debe ignorarlo -¡lea la documentación al respecto o pregunte en los foros!
* Asegúrese de tener un cortafuegos/filtro de paquetes (''firewall/packet filter'') en su servidor.
* Cuando realice personalizaciones a Moodle o a otras aplicaciones web en su servidor, asegúrese de revisar su código y asegúrese de no añadir ninguna nueva vulnerabilidad.
* Tal vez debería considerar correr un programa contra ''rootkit'', tal como rkhunter, que le ayudará a ver si están presentándose rootkits o algunas otras cosas raras en su servidor. RootkitRevealer es un programa comparable para Windows.
* SELinux o AppArmor sonmuy buenos para mitifgar varias formas de ataques en el servidor mismo. Windows tiene algo similar llamado EMET.

== Vea también ==

* [https://docs.moodle.org/24/en/Security_FAQ Security FAQ]
* [https://docs.moodle.org/24/en/Reducing_spam_in_Moodle Reducing spam in Moodle]

== Enlaces externos ==

* [http://rkhunter.sourceforge.net/]: rkhunter official site
* [http://technet.microsoft.com/en-us/sysinternals/bb795534]: Windows Sysinternals site, where you will find RootkitRevealer among other useful programs.
* [https://secure.wikimedia.org/wikipedia/en/wiki/SELinux]: SELinux wikipedia article. Check the References and See Also section.
* [http://technet.microsoft.com/es-mx/library/cc512587%28en-us%29.aspx]: A great article on Microsoft Technet detailing some very important security concepts. A good read no matter what OS you use.
* [http://technet.microsoft.com/en-us/library/cc512595.aspx]: Part 2 of the Microsoft Technet article above.
* [http://serverfault.com/questions/218005/my-servers-been-hacked-emergency]: A thread from ServerFault which has yet more good information on recovery from an intrusion. Robert Moir's comment provide lots of good information.
* [http://www.cert.org/tech_tips/win-UNIX-system_compromise.html]: An article on cert.org which details the steps one should take after a server compromise. It was written in 2000, so program specific information may be out-dated.

Discusiones en el foro "Using Moodle":

*[http://moodle.org/mod/forum/discuss.php?d=116214 Blank page appears when trying to edit or update a course.]
*[http://moodle.org/mod/forum/discuss.php?d=111710 How to diagnose a Hacked Moodle Site?]
*[http://moodle.org/mod/forum/discuss.php?d=115416 Security issue: source files hacked ("hackcheckstr")]
*[http://moodle.org/mod/forum/discuss.php?d=111268 Have I been hacked? Strange happenings...]
*[http://moodle.org/mod/forum/discuss.php?d=111480 Our site was hacked, delete the Moodle files, Fortunately we still have the database.]
* [http://moodle.org/mod/forum/discuss.php?d=124063 Trojan:JS Type Obfuscation Exploits]

[[de:Wiederherstellung einer komprimittierten Moodle-Installation]]
[[en:Hacked site recovery]]