这是关于服务器安全的规范问题- 响应违规事件（黑客攻击）
另请参见：
规范版本
我怀疑我的一台或多台服务器受到了黑客、病毒或其他机制的危害：
原版
2011.01.02 - 我在周日晚上 9.30 上班的路上，因为我们的服务器不知何故遭到入侵，导致对我们的供应商的 DOS攻击。访问 Internet 的服务器已关闭，这意味着我们的 5-600 多个客户站点现已关闭。现在这可能是 FTP 黑客攻击，或者某处代码中的一些弱点。我不确定，直到我到达那里。
我怎样才能快速追踪到这个？如果我不尽快备份服务器，我们将面临大量诉讼。任何帮助表示赞赏。我们正在运行 Open SUSE 11.0。
2011.01.03 - 感谢大家的帮助。幸运的是，我不是唯一负责这个服务器的人，只是最近的人。我们设法解决了这个问题，尽管它可能不适用于不同情况下的许多其他问题。我会详细说明我们做了什么。
我们从网络上拔掉了服务器。它正在印度尼西亚的另一台服务器上执行（试图执行）拒绝服务攻击，而犯罪方也在那里。
我们首先试图确定这是来自服务器上的哪个位置，考虑到我们服务器上有 500 多个站点，我们预计会在一段时间内兼职。然而，在 SSH 访问仍然存在的情况下，我们运行了一个命令来查找在攻击开始时编辑或创建的所有文件。幸运的是，有问题的文件是在寒假期间创建的，这意味着当时在服务器上创建的其他文件并不多。
然后，我们能够识别ZenCart网站内上传的图像文件夹内的违规文件。
在短暂的休息之后，我们得出结论，由于文件位置的原因，它一定是通过文件上传工具上传的，但该工具没有得到足够的保护。经过一番谷歌搜索，我们发现 ZenCart 管理面板中存在一个安全漏洞，允许上传文件以获取唱片公司的图片。（它从未真正使用过的部分），发布此表单只是上传了任何文件，它没有检查文件的扩展名，甚至没有检查用户是否已登录。
这意味着可以上传任何文件，包括用于攻击的 PHP 文件。我们在受感染站点上使用 ZenCart 保护漏洞，并删除了有问题的文件。
工作完成了，我在凌晨 2 点回家
道德 - 始终为 ZenCart 或任何其他 CMS 系统应用安全补丁。当安全更新发布时，全世界都意识到了这个漏洞。- 总是做备份，备份你的备份。- 雇用或安排在这种时候会在那里的人。防止任何人依赖服务器故障上的恐慌帖子。
我过去曾与我部门的其他人讨论过文档，特别是详细程度和要求。在他们看来，文档是当 X 件事情出错时 Y 件事情要做的简单清单。
我不同意。我认为这假定 IT 中的所有问题都可以很容易地归结为简单的恢复程序清单。我认为它完全忽略了情况的复杂性，而且由于部门中的其他人并不总是对这个问题有深入的了解（这就是我写文档的原因——所以他们有一些东西可以参考) 文件应包括一些基本的背景材料，例如：
但是，我对此持反对意见，因此需要将我的文档重新编写为“按顺序应用的步骤 ABC 将解决问题 X”的表格。 我经常听到有人感叹它需要放在一页纸上。 尝试通过单页文档以这种方式向某人解释 Squid ACL 的配置，包括故障排除。这只是作为恢复清单“等待写入”的六份文件之一。
我提倡的方法真的过火了吗？或者他们是对的，我应该管好我的生意，给他们写一个简单的清单？我担心的是，无论您编写的程序检查表有多好，它确实无法解决需要系统管理员仔细考虑的问题。如果您正在花费时间执行最终无法解决问题的恢复程序清单（因为由于文档的重点狭窄，还有不属于文档的一部分的其他因素），以及文档是为了避免重新阅读手册页、维基和网站，那我为什么要走过场？是我太担心了，还是这是一个真正的问题？
编辑：
该部门目前没有服务台职位。文档的受众将是其他管理员或部门负责人。