Recuperación de un sitio hackeado

De MoodleDocs

Moodle 2.x


Vea https://docs.moodle.org/24/en/Hacked_site_recovery

Pasos iniciales

  • Contacte a su provedor de alojamiento (hosting), si es que tiene alguno.
  • Immediatamente ponga el sitio en Modo de mantenimiento o, mejor aún, desconéctelo de internet completamente hasta que esté seguro de haberlo arreglado completamente. Usted necesita deshabilitar la conexión en la que su atacante tiene a su servidor.
    • Usted puede configurar un cortafuegos (firewall) para bloquear conexiones al servidor desde todas las IPs y solamente permitir su dirección IP. Tenga cuidado al hacer esto, porque si su IP cambiara, Usted quedaría desconectado del servidor permanentemente. Para estos casos, es mejor permitir el rango de IPs en donde está su propia IP.
    • Si Usted mismo tiene su servidor y tiene acceso físico al servidor, una forma más simple es conseguir un ruteador (router) pequeño y enchufar allí al servidor. NO lo conecte al resto de la red ni al Internet. Ahora Usted tendrá libertad de accesar al servidor directamente o por medio de otra computadora enchufada al mismo ruteador.
  • Busque todos los respaldos antiguos (copias de seguridad) de archivos y bases de datos disponibles.
  • Respalde los archivos PHP, bases de datos y archivos de datos (Sin sobre-escribir los respaldos antiguos).
  • Haga una lista de todo el software de PHP y programas/paquetes instalados en el mismo servidor.
  • Tome nota de cúal es su versión principal de Moodle y la fecha de la última actualización, y haga una lista de todos los módulos extra y modificaciones personalizadas que tuviera.
  • Revise las ramificaciones legales de una posible exposición de los datos personales de sus usuarios Es posible que por ley (según su país) tenga que notificar a los usuarios y por lo menos, decirles que deberán cambiar sus contraseñas en cualquier cuenta con cualquier otro servicio en la que usaran la misma contraseña que tenían en este sitio Moodle.
  • Finalmente, si no está familiarizado con la línea de comando, o con servidores en general, lo mejor es que se consiga a alguien que si lo esté para que le ayude. Usted es responsable de la información de sus usuarios que Usted almacena, por lo que debe de asegurarse de que la recuperación se realice adecuadamente..


Remember, everything on the system should be considered untrusted until you know to what extent the hacker was able to intrude (Does he have root server permissions or just access to modify certain files?) Do some forensic research into how the person (or program) got in and what they did before just restoring a backup or running anti-virus software. For all you know, the backup could have been modified to contain a backdoor program that allows the attacker back in later. You want to close the vulnerability the attacker used so it doesn't happen again.

Evaluación del daño

  • Find out when exactly was the site hacked.
    • Check the modification dates on files. You're looking for any application files that were modified around the time of the initial intrusion. These files are suspect.
    • Check your server logs for any suspicious activity around that date or few hours before, such as strange page parameters, failed login attempts, command history (especially as root), unknown user accounts, etc.
    • Be sure to take into account updates you've downloaded, as that will change the times for modified system files and/or Moodle.
  • Look for any modified or uploaded files on your web server - look for oldest file that does not belong in Moodle.

Recuperación

  • Restare el último respaldo que tenga de fecha justo antes del incidente.
  • Descargue la última versión estable y haga una Actualización_de_moodle de su sitio.
  • Cambie sus contraseñas.
  • Dependindo de la extensión del ataque, puede necesitar hacer un formateo completo y reinstalar el Sisema Operativo.
  • Asegúrese de implementar cualquier parche que haya encontrado durante su investigación y revise dos veces la seguridad existente en su servidor para ver si no puede mejorarse.
    • Esto también significa que Usted debería revisar cualquier complemento personalización que le haya hecho a sus sitio Moodle. ¿Está seguro de habe procesado adecuadamente todas las entradas de texto del usuario? ¿Y qué pasa con los permisos de los directorios del servidor web y de la base de datos?

Control del SPAM

  • La presenca de spam en perfiles o publicaciones en foros no necesariamente significa que si sitio fue realmente hackeado.
  • Use la herramienta Limpiador de spam que se encuentra en (Configuraciones > Administración del sitio > Reportes > Limpiador de spam) regularmente para encontrar y eliminar el spam.

Prevención

  • Always keep your site up-to-date and use the latest stable version. Git is an easy way to do this.
  • Regularmente corra el Reporte_Vista_general_de_Seguridad que se encuentra en (Configuraciones > Administración del sitio > Reportes > Vista general de seguridad).
  • Understand how to properly set permissions and file ownership to maximise security. If this is a mystery, you mustn't ignore it - read about it or ask in the forums!
  • Make sure you have a properly configured firewall/packet filter on your server.
  • When making customizations to Moodle or other web applications on your server, be sure to review your code and make sure it doesn't add any new vulnerabilities.
  • You might also consider running a anti-rootkit program such as rkhunter that will help you see if rootkits or other strange happenings are occurring on your server. RootkitRevealer is a comparable Windows program.
  • SELinux or AppArmor are very good at mitigating several forms of attacks on the server itself. Windows has something similar called EMET.

Vea también

Enlaces externos

  • [1]: rkhunter official site
  • [2]: Windows Sysinternals site, where you will find RootkitRevealer among other useful programs.
  • [3]: SELinux wikipedia article. Check the References and See Also section.
  • [4]: A great article on Microsoft Technet detailing some very important security concepts. A good read no matter what OS you use.
  • [5]: Part 2 of the Microsoft Technet article above.
  • [6]: A thread from ServerFault which has yet more good information on recovery from an intrusion. Robert Moir's comment provide lots of good information.
  • [7]: An article on cert.org which details the steps one should take after a server compromise. It was written in 2000, so program specific information may be out-dated.

Discusiones en el foro "Using Moodle":