Дедик для хакера

Докучаев Дмитрий aka Forb

Хакер, номер #083, стр. 083-056-3

Предположим, что ты затроянил какого-то ламера через проксик, стоящий на твоем дедике, и жертва запалила твой IP-адрес (не совсем твой, конечно, а адрес выделенного сервера). Пострадавший жалуется в датацентр, объяснив всю суть проблемы и приложив логи своего файрвола. После этого служба безопасности отписывает тебе письмо с претензией. Здесь, как я уже говорил, все зависит от правил компании, но если тебя сразу не отключили, то есть шанс выйти сухим из воды. Я бы поступил следующим образом: вначале отписал службе безопасности о том, что на машине был поставлен анонимный проксик через дыру в системе и какой-то хакер сидел через него. Для остроты ощущений можно приложить какие-нибудь псевдо-логи и IP-адреса нарушителей. Если ты зарегистрирован не под русским e-mail'ом, то есть шанс, что тебе поверят и оправдают. В любом случае не теряй надежды, даже если жалоба очень весомая. Всегда можно найти компромисс или наврать с три короба, после чего админы либо забудут про инцидент, либо дадут время самостоятельно решить проблему.

Бывает, что жалоба очень серьезная и оправдать себя тебе будет невозможно. Скажем, если был взломан какой-нибудь крупный проект, либо если дело касается спама. В этом случае тебе нужно убедить администрацию не отключать сервер 1-2 дня для изучения проблемы, а за это время сделать backup всего софта и удалить все системные журналы (можно вообще удалить всю информацию с HDD специальными утилитами).

Один мой приятель каждый месяц меняет машину на хостинге, регистрируясь заново под новым мылом. Как показывает практика, за месяц «свечения» машины в сети маловероятны жалобы, по крайней мере, их не так много, чтобы дать повод security взять сервер под наблюдение.

[скрытая угроза]

Вполне может быть, что на твой сервер решили пожаловаться не датацентру, а, например ФБР или Интерполу. В данном случае спецслужбы обратятся к хостеру и выберут специальную стратегию. Скажем, никто не оповестит тебя о нарушении, а весь трафик будет поставлен на прослушивание. Определить подобное сложно, но можно попробовать это сделать. Во-первых, попробуй воспользоваться методиками обнаружения пассивного и активного снифинга (я об этом писал в Х 07/2005) - поставь пару софтинок, например arpwatch. Далее можно установить какую-нибудь локальную IDS, чтобы не допустить замену системных файлов. И, наконец, если ты заметил внезапное отключение машины без причины на несколько часов (или даже минут) есть повод задуматься. Возможно, твой сервер выдвигали из стойки, а жесткий диск снимался для изучения. Если ты вляпался во что-то серьезное, рекомендую залечь на дно и вообще не заходить на сервер.