Что делать в первый час после взлома или DDoS

Паника — главный союзник взломщика. Держите этот план под рукой: он работает и для шифровальщика, и для дефейса сайта, и для DDoS.

Первые 10 минут

1. Отключите пострадавший сервер от сети, но не выключайте: память и логи — улики.
2. Смените пароли администраторов с чистой машины.
3. Зафиксируйте время, симптомы и скриншоты — пригодится для разбора.
4. Позвоните своему инженеру или нам: +375 29 680-04-17.

Чего не делать

• Не удаляйте «подозрительные файлы» — вместе с ними уйдут следы.
• Не восстанавливайте из бэкапа поверх, пока не закрыта дыра: заразят снова.
• Не платите вымогателям с рабочих машин и не тяните время.

Бэкап, из которого ни разу не восстанавливались, в день взлома не считается.

Если это DDoS

Сайт лежит, сервер жив, в логах — flood с тысяч IP. Включайте защиту на уровне выше сервера: фильтрацию у провайдера или CDN с поглощением. Своими силами «переждать» получается редко — канал забьётся раньше.

Что дальше

После остановки атаки: находим вектор (устаревшее ПО, слабый пароль, открытый порт), закрываем, меняем все ключи и пароли, проверяем бэкапы и ставим мониторинг. Потом — разбор: как не допустить снова.