AWS 向我发送了滥用报告 - 显然我的一台服务器被黑了 - 下一步是什么？

Question

我收到了来自 AWS 的滥用报告，其中包含以下信息： * Log Extract: <<< Undernet IRC Chat Network 上的可疑连接从您控制的网络块 ( 204.236.128.0/17 ) 连接。

日志拍摄于 2010.Oct.17 11:47:04 PM PDT

tomcat！~bacchus@204.236.250.XXX（坦帕）

[注意 - 上面的地址确实是我的服务器] 如何检测接管我服务器的内容？

Answer 1

如果您的机器已被入侵，而您没有为这种情况做好计划，那么您实际上无能为力。仅反映、忏悔、重启、重新格式化、重新安装和恢复您的数据。然后应用所有供应商补丁，使您的系统达到当前规范并强化您的系统。然后学习如何有效地使用基于主机的 IDS，以便您能够更轻松地从任何未来的攻击中恢复。然后仔细审查您部署的自定义代码/脚本，并尝试使它们更安全。那么也许您可以考虑重新打开服务。