Come capire se il tuo server è stato hackerato

Quando un sito web rallenta improvvisamente, le fatture di consumo delle risorse mostrano picchi anomali o i file di configurazione risultano modificati senza un'autorizzazione tracciabile, è necessario verificare l'eventuale compromissione del sistema.

In breve: Per determinare se un server è stato compromesso occorre ricercare combinazioni di indicatori di compromissione (IoC): sessioni di autenticazione anomale, utenze di sistema non riconosciute, processi non identificati in esecuzione, file applicativi alterati, picchi impropri di traffico in uscita, segnalazioni da IP reputation feed o nuovi task schedulati. Sebbene un singolo evento possa dipendere da una causa fisiologica, la presenza di più indicatori simultanei suggerisce un'intrusione. In caso di incidente, occorre isolare l'infrastruttura di rete, preservare le evidenze forensi, ruotare credenziali e chiavi da un dispositivo sicuro e ripristinare il sistema da un backup integro.

Quali sono gli indicatori di compromissione (IoC) principali su un server?

Una compromissione dell'infrastruttura raramente si manifesta in modo esplicito. Nella maggior parte dei casi lascia tracce indirette nei log di sistema e nella distribuzione delle risorse.

Gli indicatori principali includono:

• Autenticazioni non autorizzate: Accessi registrati da indirizzi IP o geolocalizzazioni non coerenti con il normale profilo operativo degli amministratori.
• Utenze di sistema non riconosciute: Creazione di account utente non autorizzati, impiegati dall'attaccante per garantire la persistenza degli accessi.
• Processi anomali in esecuzione: Processi che saturano le risorse hardware per attività di cryptomining, invio di spam o scansione di rete (port scanning).
• Alterazione dei file applicativi: Pagine web contenenti script malevoli, reindirizzamenti automatici verso domini esterni o injection di link spam.
• Task schedulati non autorizzati: Modifiche alle tabelle di Cron create per ripristinare il malware a seguito di eventuali riavvii del sistema o pulizie manuali.
• Picchi di traffico outbound: Volumi di traffico in uscita anomali, sintomo di esfiltrazione dati, attacchi DDoS o invio massivo di email di spam.
• Segnalazioni da provider e blacklist: Notifiche di abuso inviate dal provider cloud, dai gestori delle blacklist email o dai sistemi di protezione dei browser.

L'analisi diagnostica richiede l'individuazione di pattern ricorrenti tra più log e parametri di sistema.

Perché un server compromesso presenta rallentamenti prima di un blocco totale?

Nelle fasi iniziali di un'intrusione, l'impatto principale si riflette sulle prestazioni dell'infrastruttura. L'interfaccia di amministrazione va in timeout, i tempi di risposta delle pagine aumentano e il consumo di risorse rimane costantemente elevato.

Gli attaccanti mirano frequentemente all'espropriazione della potenza di calcolo della macchina (CPU, RAM e larghezza di banda).

I software di cryptomining saturano le frequenze della CPU, gli script per l'invio di spam occupano la larghezza di banda di rete, mentre i bot installati eseguono scansioni su larga scala verso altri target internet.

Tuttavia, la degradazione delle prestazioni può derivare anche da fattori non malevoli, quali picchi di traffico legittimo, leak di memoria o esaurimento dello spazio su disco. Per distinguere un problema applicativo da un'intrusione di sicurezza, occorre incrociare i dati con le metodologie descritte nelle nostre guide su perché il mio sito non si carica e perché il mio server è lento.

Metodologia d'indagine e contenimento dell'incidente

Durante l'analisi di una potenziale compromissione è essenziale agire con metodo ed evitare interventi affrettati che potrebbero compromettere le evidenze forensi o alterare i file di log.

1. Isolamento della macchina: Limitare l'esposizione di rete del server mediante regole di firewalling o disattivando l'interfaccia pubblica per impedire ulteriori comunicazioni outbound malevole.
2. Audit delle sessioni e degli utenti: Verificare le ultime sessioni di autenticazione e l'elenco degli utenti di sistema presenti in /etc/passwd.
3. Analisi dei processi e dei task schedulati: Verificare l'albero dei processi attivi e le tabelle Cron dell'intero sistema.
4. Verifica dell'integrità del file system: Ispezionare la data di modifica dei file applicativi e la corrispondenza con le versioni di release note.
5. Rotazione delle credenziali: Cambiare tutte le password, le chiavi SSH, i segnali di autenticazione e le API key dal client sicuro dell'amministratore, non dal server compromesso.

T tentare la pulizia manuale dei file malevoli su un sistema compromesso presenta elevati margini di rischio, in quanto gli attaccanti potrebbero aver installato backdoor persistence ad altri livelli del sistema operativo. La procedura consigliata prevede la ricostruzione dell'istanza a partire da una configurazione pulita e il ripristino di un backup integro. Per una corretta strategia di pianificazione, consulta la nostra guida su come eseguire e testare il backup del server.

Successivamente al ripristino, è necessario bonificare i vettori d'attacco impiegati per l'intrusione (es. software non aggiornato, configurazioni deboli o porte inutilmente esposte). La gestione delle regole di filtraggio del traffico è trattata nella nostra guida su come configurare un firewall sul tuo server.

FAQ

Una singola autenticazione anomala indica necessariamente un'avvenuta intrusione? Non sempre, ma richiede una verifica immediata. Occorre controllare se l'autenticazione ha avuto esito positivo, quali privilegi possedeva l'account e se sono stati modificati file o impostazioni di sistema nelle ore successive.

La sola modifica delle password risolve una compromissione del server? No. Se l'attaccante ha ottenuto privilegi elevati, potrebbe aver configurato utenti secondari, chiavi SSH autorizzate, task schedulati o backdoor a livello di kernel che prescindono dalla password dell'account principale.

È opportuno formattare immediatamente l'infrastruttura compromessa? Non prima di aver isolato l'istanza e preservato i file di log o gli snapshot del sistema necessari per l'analisi forense e per l'individuazione della vulnerabilità originaria.

L'adozione di un firewall garantisce la protezione totale da attacchi informatici? No. Il firewall filtra il traffico di rete sulle porte specificate, ma non impedisce attacchi veicolati tramite vulnerabilità ad alto livello applicativo (es. SQL Injection, Remote Code Execution su CMS) o credenziali compromesse.

La soluzione intermedia

Server Manager semplifica l'analisi delle infrastrutture mantenendo una mappatura trasparente dei servizi, dei domini, dei certificati e delle utenze attive sulla macchina.

Questo livello di astrazione consente di individuare tempestivamente eventuali modifiche anomale, come la presenza di servizi non censiti, modifiche non autorizzate alle configurazioni o l'esposizione impropria di porte di rete.

L'adozione di un sistema di tracciamento centralizzato riduce i tempi di individuazione degli incidenti, consentendo di distinguere gli errori di deployment o di configurazione dalle effettive intrusioni informatiche.

Il ripristino della stabilità e dell'affidabilità di un'infrastruttura si considera concluso quando la causa radice della vulnerabilità è stata identificata ed eliminata, l'ambiente è stato ricostruito a partire da un backup verificato, le credenziali sono state ruotate e i log di sistema confermano l'assenza di comunicazioni o processi non autorizzati.