外部に公開していたマシンのrootパスワードが急に変わった！？

質問

表題の問題が起こり困惑しています。
外部から進入されたのではないかと疑っています。
その形跡を調べるにはどうしたらよいでしょうか？
OS上のどのログを見ればよいのか教えていただけませんでしょうか？

回答No.1

notnot · ベストアンサー

どうやって変えられたかの方法がわからない以上、/var/logの下を全部見るしかないでしょう。
痕跡が残っていない可能性も十分ありますが。なにせ、rootを乗っ取られたらログレコード削除など簡単なので。

いずれにせよ、十分な知識がないのに、サーバーを外部公開すると言うことは、攻撃者に踏み台サーバーを差し出すことになるので、その攻撃者が悪いことをした場合、あなたも一味ではないかと疑われることになり、疑いを晴らすのに苦労するかも。晴れないかもしれないし。

回答No.2

Wr5

とりあえず、のんびり質問していないでそのサーバからLANケーブルを抜くべきではないでしょうか？
他にもいろいろと質問しているようですが、サーバ乗っ取られた割には意外と余裕みたいですね…。

# なにかの質問集の回答を得るために…なんてことはないですよね？
# ついに7までアカウントが増えたようですが。