Guía de Seguridad del Administrador de Linux - Enfrentandose a los ataques

Enfrentarse con un ataque depende de diferentes factores, ¿el ataque está en progreso? ¿Has descubierto que el plan de tu empresa se está enviando por el servidor de correo a una dirección de hotmail? ¿Te han llamado para localizar un servidor o un cluster muertos? ¿Cuáles son tus prioridades? ¿Restaurar el servicio? ¿Asegurar que los datos confidenciales están a salvo? ¿Perseguir al/los atacante(s)? Varias cosas a tener en cuenta:

• La respuesta del administrador dependerá del entorno en que está. El atacante puede haber comprometido las cuentas administrativas, de forma que enviar correo puede no funcionar.
• La mayoría de los sitios no quiere dar publicidad de sus ataques (ya sean exitosos o no), debido al avergonzamiento potencial y a problemas relativos a las relaciones públicas.
• La mayoría de los ataques rápidos, ataques de negación de servicio y similares, están falseados. Llegar hasta el atacante es muy difícil y consume muchos recursos.
• Incluso si todo va bien, existe una posibilidad de que las fuerzas de la ley confisquen tu equipo como prueba, y se queden con él, no es algo que se deba tomar a la ligera.
• ¿Sabes cómo entró el atacante? (p. ej. si NFR lo registró) Si es así, quizás prefieras corregir los fallos y dejarlo estar.
• No intentes ignorar los ataques, si bien al mismo tiempo ten en cuenta que existe mucha gente ejecutando ataques basura para hacer perder el tiempo y las energías de los administradores (y posiblemente distraerles de ataques más subrepticios).

Igualmente, antes de enfrentarse un ataque, tendrías que consultar con la política de la empresa. Si no se dispone de una, consulta con el jefe, el departamento legal, etc. También es una buena idea contar con un plan para tratar los ataques (p. ej, el servidor de correo es de prioridad uno, comprobar los servidores de ficheros es prioridad dos, a quién se notifica, etc.) lo cual evitará un montón de problemas a medida que vayan surgiendo (estate preparado). El libro "Practical Unix and Internet Security" se encarga de este tema detalladamente, de modo que no voy a repetirlo. Compra el libro.

Existe un documento excelente acerca de esto, mira el Apéndice D, "Cómo manejar e identificar pruebas de Red".