• [^] # Re: sans vouloir faire le truc de mauvaise augure

    Posté par (site web personnel) . En réponse au message Probleme de spam à partir de mon serveur. Évalué à 5.

    et hop...

    ...le problème risque de revenir si l'on n'a pas compris ce qui a merdé.

    Quelle que soit la décision prise, il ne faut surtout pas la prendre à chaud. La priorité pour moi est de couper le service (il y a déjà suffisamment de spam sur le net, inutile d'en rajouter), mais surtout pas de réinstaller tout de suite, ni redémarrer la machine ( pour ne pas perdre le /tmp )

    À tête reposée :

    1. Identifier les sites

      • lister les sites installés sur le serveur (surtout ceux en php)
      • lister les sites qui n'ont pas été installés via les paquets officiels
      • lister tous les plugins intallés
    2. Archiver les logs.

    3. Faire des recherches à coup de find pour voir ce qui a été modifié récemment, dans les répertoires accessibles par tomcat; regarder aussi ce qui traîne dans /tmp, /var/tmp etc...

    4. Analyser, décortiquer, comprendre

    5. Corriger : est-ce qu'il manque des règles fail2ban, est-ce qu'il faut installer modsecurity etc.

    et seulement alors on peut réinstaller. La sécurité ne s'improvise pas, mais on ne l'apprend souvent qu'après coup...