VPS >> home folder deleted by someone ?

[tritra0815]

Hallo zusammen,

gibt es eine Möglichkeit herauszufinden ob irgendjemand bei meinem VPS( root user bzw. tri user ) den /home folder gelöscht hat.

Gestern um 22:00 war alles noch verfügbar ( 30 GB, garrysmod ) im tri ordner, 5 min später war er komplett weg und ich musste ihn wieder erstellen und die Daten garrysmod herunterladen.

Gibt es eine History von Befehlen die vom root user bzw. tri user gemacht wurden ? Vielleicht kennt jemand mein root bzw. tri password. Das habe ich mal vorsichtshalber schon geändert.

BR
Mathias

 

[MadMax_87]

history als befehl unter dem user abfeuern
oder per z.B cat /root/.bash_history

 

[tritra0815]

history als befehl unter dem user abfeuern
oder per z.B cat /root/.bash_history

Ok danke, unter root habe ich eine Übersicht bekommen. Nichts aufälliges dabei. Wenn ich das gleiche mit gmodserver als user versuche kommt keine Übersicht. Kann es sein, dass durch einen Serverfehler die /home/gmodserver gelöscht wurde ? Oder geht sowas gar nicht ?

 

[MadMax_87]

die meisten "Linuxe" legen /home" auf eine eigenen Partition aka festplatte...wenns die wegegrätscht hat...was bei nem VPS aber "eigentlich" nicht passieren sollte....

 

[PHuV]

history als befehl unter dem user abfeuern
oder per z.B cat /root/.bash_history

Bringt aber nur was, wenn es direkt unter root User ausgeführt wurde. Sobald es per Script, sudo von einem anderen Benutzer oder per ssh remote gemacht wurde, keine Chance.

 

[Der Lord]

zudem kann die history auch einfach mit Absicht von Hand geleert worden sein - hat also nur begrenzt Aussagekraft.

ich würde mir vor allem die System-Logs mal näher ansehen (messages, auth, etc).

ansonsten bleibt die übliche Frage: Server gut genug abgesichert? (fail2ban, root-login via ssh deaktiviert, generell ssh login nicht password-only, usw) und regelmäßig Updates gefahren? Welches OS kommt mit welchem Patchstand zum Einsatz?

Kann es sein, dass durch einen Serverfehler die /home/gmodserver gelöscht wurde ?

ausschließen kann man's nicht. Aber wenn dann raucht eher eine ganze Platte ab und das hättest du definitiv deutlicher gemerkt.

 

[MadMax_87]

das ist korrekt
Man könnte noch in /var/log/secure schauen ob da was da ist (einlog-versuche, befehle etc.)
Aber es gibt halt auch immer die möglichkeit sowas "nach der Tat" zu löschen, wenn man eh schon zugriff hat

 

[tritra0815]

zudem kann die history auch einfach mit Absicht von Hand geleert worden sein - hat also nur begrenzt Aussagekraft.

ich würde mir vor allem die System-Logs mal näher ansehen (messages, auth, etc).

ansonsten bleibt die übliche Frage: Server gut genug abgesichert? (fail2ban, root-login via ssh deaktiviert, generell ssh login nicht password-only, usw) und regelmäßig Updates gefahren? Welches OS kommt mit welchem Patchstand zum Einsatz?


ausschließen kann man's nicht. Aber wenn dann raucht eher eine ganze Platte ab und das hättest du definitiv deutlicher gemerkt.

fail2ban ja
root-login via ssh deaktiviert nein
generell ssh login nicht password-only, usw) und regelmäßig Updates nein

Ich werde das mal auf den letzten Stand bringen

 

[MadMax_87]

fail2ban ja
root-login via ssh deaktiviert nein
generell ssh login nicht password-only, usw) und regelmäßig Updates nein

fail2ban eingerichtet, aber keine updates, root per ssh und passwort?
...da kannst das auto auch abschließen und den schlüssel stecken lassen....

 

[Der Lord]

root-login via ssh deaktiviert nein
generell ssh login nicht password-only, usw) und regelmäßig Updates nein

ich sag mal: ungünstig.

damit erhärtet sich der Verdacht, dass du ggf. nicht mehr der einzige Besitzer des Servers bist und sollte das wirklich zutreffen, weiß man auch nicht was evtl. schon alles angestellt wurde. In so einem Fall empfehle ich den Server komplett neu aufzusetzen - und zwar vernünftig mit den angesprochenen Schutzmaßnahmen, die ohnehin dringend notwendig sind. Anderenfalls kommt es früher oder später definitiv zu einem Hack (passiert heutzutage auch alles voll automatisiert).

Lesestoff:
https://www.thomas-krenn.com/de/wiki/Absicherung_eines_Debian_Servers
https://www.linuxandubuntu.com/home/10-steps-to-secure-linux-server
https://duckduckgo.com/?q=how+to+secure+linux+server