Comment détecter les atteintes à la sécurité sur vos fichiers journaux Web hébergés - dummies

La grande question concerne toujours la sécurité. Comment pouvez-vous repérer les failles de sécurité hébergées sur le Web pour protéger votre site et garantir qu'il ne sera pas piraté? La réponse courte est la suivante: Vous ne pouvez pas.

Tout est piraté avec suffisamment de temps, de cervelle sournoise et de ressources. Cependant, il y a des choses que vous pouvez faire pour vous protéger un peu. Mais d'abord, voici quelques choses que vous pouvez faire pour trouver la source de vos problèmes si vous êtes piraté.

La première chose à faire est de vérifier vos fichiers journaux FTP. Dans cPanel, ceux-ci se trouvent dans / home / youraccount / access-logs /.

Si vous avez été piraté, il est fort probable que certains de vos fichiers aient été modifiés. Utilisez FTP pour regarder les cachets de date sur vos dossiers pour voir quand les derniers ont été changés et ainsi découvrir quand l'attaque s'est produite.

Téléchargez ensuite les journaux sur votre ordinateur via FTP, comme Notepad ++, et ouvrez-les.

Le journal FTP devrait avoir des lignes de données ressemblant un peu à ceci:

Ven Nov 16 11: 11: 33 2012 0 97. 182. 220. 213 248 / home / daytutor / public_html /. htaccess un jour ou un jour ftp 1 * c

L'information dans cette ligne de données se décompose comme ceci:

• Fri Nov 16 11: 11: 33 2012 est la date et l'heure, évidemment.

• 0 est le nombre de secondes entières que le transfert a pris. Ce transfert a pris moins d'une seconde.

• 97. 182. 220. 213 est l'adresse IP de l'ordinateur qui a effectué le transfert.

• 248 est la taille du fichier transféré (en octets).

• / home / daytutor / public_html /. htaccess est le fichier transféré et le chemin d'accès complet à celui-ci.

• a est le type de transfert. Il peut être soit un pour ASCII ou b pour binaire.

• _ [soulignement] représente l'action entreprise. Le _ ne signifie aucune action, C signifie comprimé, U signifie non compressé, et T signifie Tar'ed.

  À l'origine, Tar signifiait Tape ARchive et était un système développé pour convertir des données en un seul flux afin de les enregistrer sur des bandes de sauvegarde. La technologie est encore utilisée aujourd'hui, mais elle est principalement utilisée pour collecter des fichiers dans un seul fichier d'archive et les stocker sur n'importe quel support. Un fichier tar a généralement l'extension de fichier. tar et est décompressé.

  Vous pouvez utiliser un logiciel de compression supplémentaire pour compresser. Fichiers tar, auquel cas l'extension de fichier est modifiée pour indiquer quel logiciel de compression a été utilisé. Par exemple, a. Le fichier tar compressé à l'aide du programme gzip aura l'extension. le goudron. gz.

• o est la direction du transfert. Le o est pour sortant, i pour entrant, et d pour supprimé.

• r représente le type d'utilisateur. r est pour un utilisateur réel et un pour un utilisateur anonyme. Note: "Réel" ne signifie pas humain; cela signifie que la connexion a utilisé une combinaison nom d'utilisateur / mot de passe.

• daytutor est le nom d'utilisateur utilisé pour se connecter.

• ftp est le service utilisé (ce sera normalement FTP).

• 1 est la méthode d'authentification. Le 1 est une méthode d'authentification valide telle que définie par RFC931. Un 0 signifie qu'aucune authentification n'a été utilisée.

• * indique l'ID utilisateur de l'utilisateur qui a effectué le transfert (si cet utilisateur était connecté au serveur à ce moment-là). Le * signifie que l'utilisateur n'était pas connecté.

• c est le statut d'achèvement. Un c signifie que le transfert était terminé. Un i signifie que c'était incomplet.

Dans l'exemple, vous pouvez voir que c'était un fichier appelé. htaccess qui a été transféré en utilisant FTP par daytutor utilisateur le 16 novembre 2012, à 11h11.

Cependant, la grande question est qui a fait le transfert. Tout ce que vous savez, c'est que la personne utilisait le pseudonyme daytutor et avait l'adresse IP 97. 182. 220. 213.

La première chose que vous devriez faire est d'aller sur whatsmyip, qui vous indiquera votre adresse IP afin que vous puissiez comparez les deux. Si l'adresse IP dans le fichier n'est pas la même que la vôtre, cela peut signaler une faille de sécurité.

Si l'adresse IP ne vous appartient pas, est-ce que quelqu'un d'autre a un accès FTP à votre serveur? Utilisez-vous un système de sauvegarde sur un autre serveur utilisant FTP pour vous connecter à celui-ci?

Accédez à votre moteur de recherche préféré et entrez l'adresse IP. Cela vous donnera une liste de sites qui peuvent vous montrer l'emplacement géographique de l'appareil qui utilise cette adresse IP. Si l'adresse IP est pour un serveur, elle doit également indiquer le nom d'hôte du serveur.

Vous pouvez également accéder à un site tel que // network-tools. com et entrez l'adresse IP là. Si l'adresse IP est connectée à un serveur, vous pouvez obtenir plus d'informations sur le serveur à partir de Network Tools.

Ensuite, accédez aux paramètres du pare-feu de votre serveur et refusez l'accès à l'adresse IP de votre serveur. Cela n'arrêtera pas certains hackers car ils peuvent simplement changer d'adresse IP, mais au moins, il arrête à nouveau les attaques provenant directement de cette adresse IP.