Eine IP-Adresse kann in DNS so eingerichtet werden, dass sie von jedem, der die Kontrolle über diese IP-Adresse hat, in einen beliebigen Hostnamen aufgelöst wird.

Wenn ich beispielsweise die Kontrolle über den Netblock 203.0.113.128 habe / 28, dann kann ich 203.0.113.130 einrichten, um die Auflösung in Presidential-Desktop.oval-office.whitehouse.gov umzukehren. Ich brauche dazu keine Kontrolle über whitehouse.gov , obwohl dies in einigen Situationen hilfreich sein kann (insbesondere bei jeder Software, die überprüft, ob die Auflösung in umgekehrter und vorwärts gerichteter Auflösung mit em übereinstimmt) >). Das würde nicht bedeuten, dass sich der Präsident der Vereinigten Staaten bei Ihrem VPS angemeldet hat.

Wenn jemand Zugriff auf Ihr System hat, kann er die Resolver-Konfiguration ändern, sodass er jeden Namen in eine beliebige IP-Adresse auflösen kann Adresse oder eine beliebige IP-Adresse für einen beliebigen Namen. (Wenn sie über diese Zugriffsebene verfügen, können sie auch alle möglichen anderen Schäden an Ihrem System anrichten.)

Es sei denn und bis Sie überprüfen, ob die IP-Adresse, mit der Sie sich angemeldet haben, tatsächlich registriert ist Das FBI macht sich keine Sorgen, dass der Hostname unter fbi.gov steht. Diese Namenszuordnung kann sehr gut gefälscht sein. Sorgen Sie sich stattdessen, dass eine erfolgreiche Anmeldung in Ihrem Konto stattgefunden hat, die Sie nicht erklären können, und zwar von einer IP-Adresse, die Sie nicht kennen.

Chancen Wenn das FBI die Daten auf Ihrem VPS haben wollte, würde es einen etwas weniger offensichtlichen Ansatz verwenden, um sie zu erhalten.

Sie sollten sich Sorgen machen, aber nicht Informationen zum Hostnamen fbi.gov.

Lesen Sie Wie gehe ich mit einem kompromittierten Server um? bei Serverfehler und Wie geht das? Sie erklären Management und Benutzern die Notwendigkeit, sie aus dem Orbit zu entfernen? hier zu Informationssicherheit. Wirklich, mach es. Mach es jetzt; Verschieben Sie es nicht.

Ich denke, Sie MÜSSEN besorgt sein, wenn jemand unbefugten Zugriff auf Ihren Server hat. Wie andere bereits erwähnt haben, gibt es nicht viel Arbeit, um den Namen des Reverse-DNS-Hosts zu fälschen. Vielleicht möchten sie, dass Sie glauben, dass es für eine Regierungsbehörde in Ordnung ist, Zugriff auf Ihren Server zu haben, damit Sie den Vorfall nicht mehr untersuchen.

Sie sollten alle Ihre Serverprotokolle für eine spätere Analyse sichern und Ihren Server vorzugsweise neu erstellen um alle Risiken auszuschließen, die ein kompromittierter Server verursachen könnte. Danach sollten Sie (mit Hilfe eines Experten) den Server mit bewährten Sicherheitsmethoden und Vorsichtsmaßnahmen einrichten.

Sollten Sie sich also Sorgen machen, wenn es das FBI war, oder ist es in Ordnung, wenn es nur ein gelegentlicher Hacker war? In den Protokollen hat sich jemand erfolgreich bei einem Host angemeldet, den Sie steuern. Es sollte davon ausgegangen werden, dass es kompromittiert ist, unabhängig davon, wer es war. Verschrotten Sie es und erstellen Sie es neu.

Beachten Sie auch, dass jeder Benutzer, der die Kontrolle über einen bestimmten IP-Block hat, einen umgekehrten DNS-Eintrag erstellen kann. Es muss nicht in etwas aufgelöst werden, das sie kontrollieren, dh wenn ich einen IP-Block kontrolliere, kann ich einen umgekehrten Eintrag für jeden erstellen, den ich wähle. Reverse- und Forward-Einträge müssen nicht übereinstimmen und werden häufig von verschiedenen Personen verwaltet.

Töte es mit Feuer. Wie gestern.

Die FBI-DITU oder eine andere Cyber-Einheit aus einer Alphabetsuppe, die Army CYBERCOM enthält, ist NICHT damit beschäftigt, einfach über fbi.gov auf Ihr System zuzugreifen Spielen Sie einen Witz über Sie - kein ernsthafter Ermittler / TF tut etwas so Offensichtliches.

Sie müssen sich Sorgen machen, wie jemand mit einem überdurchschnittlichen Skiddie-Wissen Zugang zu Ihrem VPS erhalten hat und haben das getan.

Zurück zum ersten Punkt: Zerstöre es.

Nehmen Sie es aus menschlicher Sicht.

Es ist nicht vom FBI. Das FBI weiß besser als das, sich von fbi.gov einzuloggen.

ABER der Hauptpunkt ist , dass jeder, der sich so unbefugt bei Ihrem System anmeldet, untersucht werden sollte. Meine Empfehlung wäre, Ihr System an einen anderen Ort zu verlegen und es durch ein System nur für forensische Analysen zu ersetzen. Wirf einen Honigtopf hinein, um den Hacker abzulenken, damit du seine Bewegungen aufzeichnen kannst.

Sie haben zwei Möglichkeiten:

1. Es ist ein Hacker, der Zugriff auf Ihre Anmeldeinformationen hat, um sich bei Ihrem VPS anzumelden.
2. Das FBI hat Zugriff auf alle Hosting-Server und Sie Sie müssen eine Antwort von Ihrem Hosting-Unternehmen erhalten, aber ich glaube nicht.
ol>

Analysieren Sie Ihre Sicherungsdateien und prüfen Sie, ob Ihre Konfiguration sicher ist, ob der Root-Benutzer eine Verbindung herstellen kann oder nicht Sie haben einen bestimmten Benutzer für den SSH-Zugriff erstellt oder nicht usw.

Ändern Sie Ihr SSH-Kennwort und überprüfen und verfolgen Sie jede Woche, ob eine Aktivität auf Ihrem VPS verdächtig ist.

Normalerweise versucht ein Hacker, seine Identität zu verbergen. Sie verwenden normalerweise keine IP-Adresse für ihre Angriffe, die sich in ihre wahre Identität auflösen. Fbi.gov ist also eine Fälschung.

Andererseits ist bekannt, dass Geheimdienste "versehentlich" die Tatsache auslaufen lassen, dass sie jemanden beobachten, um die Person oder Organisation in Panik zu versetzen , Fehler machen oder einfach aus dem Land fliehen.

Schauen Sie aus dem Fenster. Gibt es einen verdächtig harmlos aussehenden Van, der vor Ihrem Gebäude geparkt ist? Irgendwelche Typen, die wie Agent Smith aus der Matrix aussehen?

Wahrscheinlich nicht.

Angenommen, Ihr System ist kompromittiert. Der Hacker hat vielleicht noch nichts Besonderes, aber es gibt einen Markt für Server, die für illegitime Zwecke verwendet werden können. Es könnte in ungefähr einer Stunde Kinderpornos geben (wenn Sie es noch nicht geschafft haben).

Ich wäre mehr besorgt über die Integrität Ihres Systems als über die Anmeldung des FBI. Beim DNS-Spoofing oder beim Definieren von fbi.gov-Umkehrungen ist es für den Angreifer leider viel einfacher, seine "echte" Adresse mit einem "fbi.gov" in die Adressfelder von / var / log / wtmp und / var / log / lastlog . Die Struktur der Felder dieser Dateien ist seit Jahrzehnten dokumentiert.

Ich würde mir mehr Sorgen darüber machen, dass Sie gehackt werden. Um mit Ihren Protokollen zu spielen, um fbi.gov und echte FBI-Adressen zu pflanzen, ist ein Root-Zugriff für die oben genannten Dateien erforderlich.

Es ist wahrscheinlich, dass Ihr VPS ernsthaft kompromittiert wurde. Entsorgen Sie es und installieren Sie alles erneut.

Wie die Leute gesagt haben ... nuke it. Dies ist auch ein guter Grund, warum Sie regelmäßig Daten, die nicht auf einem System gespeichert sind, durch eine Neuinstallation an einem anderen Speicherort sichern sollten.

Stellen Sie zweitens nach der Neuinstallation sicher, dass alle Konten über ein Kennwort verfügen hat ein sehr sicheres Passwort. Verwenden Sie so etwas wie keepass, um eine lange zufällige Zeichenfolge für andere als die für Ihren Hauptbenutzer verwendeten Kennwörter zu generieren. Ich verwende Passwörter mit mehr als 16 zufälligen Zeichen, selbst auf Computern, auf die von außerhalb meiner Firewall nicht zugegriffen werden kann, und meine Bastion-Hosts sind jetzt 24+, da man sich niemals direkt als root anmelden sollte (dies beinhaltet nicht die Verwendung autorisierter SSH-Schlüssel) und auch nicht verwenden sollte su. Wenn Sie für etwas anderes als einen dringenden Notfall etwas tun müssen, machen Sie etwas falsch.

Was schließlich SSH-Schlüssel betrifft ... alle Schlüssel, die ich im wilden Westen des Internets selbst verwende, verwende ich nie weniger als 2048-Bit-Schlüssel und verwenden meistens 4096-Bit oder höher.

All dies schützt Sie nicht vor jemandem, der über einen Prozess wie sendmail Root-Zugriff durch die Hintertür erhält (wie ich es vor Jahren getan habe, als ich es tat) war verantwortlich für UN * X bei CompuServe), änderte dann ein Passwort, um dann in die Haustür zu kommen, und es schützt Sie auch nicht vor Malware, die Sie auf dem Computer ausgeführt haben, um Dinge zu öffnen, aber es wird gehen Eine großartige Möglichkeit, Ihr System zu härten.

Oh ... und diese ganze Sache mit Reverse-DNS-Spoofing ... das ist ein Grund, warum die von Befehlen wie last verwendeten Datendateien häufig die IP-Adresse enthalten und warum Alle Protokolle für Dienste sollten auch die IP-Adresse protokollieren. Ein last -i zeigt die IP-Adresse selbst an und nicht das umgekehrte DNS. Andere Befehle haben ähnliche Flags.

Ich wäre besorgt, wenn das echte FBI so inkompetent wäre, einen solchen Fehler zu machen. Echte Hacker würden davon ausgehen, dass Sie neu aufgebaut werden, wenn sie ihre Anwesenheit bekannt geben. Es sind Kinder oder schlampige Möchtegern, die herumspielen.