Вернуться к статьям Где искать уведомление FirstVDS
18 октября 2026 года FirstVDS начал сообщать клиентам о затронутых серверах через личный кабинет и по электронной почте. Зайдите в кабинет напрямую и найдите сообщение по нужной услуге. Если VPS несколько, сверьте каждый с уведомлением по указанному идентификатору. Сайт, база и фоновые задачи иногда размещены на разных машинах. Сообщение FirstVDS от 18 октября
- Сервер есть в уведомлении. Исходите из того, что его файлы могли скопировать. Начните замену доступов параллельно со сбором журналов.
- Уведомления нет или список неясен. Проверьте, что вошли в аккаунт, на который оформлена услуга. Если статус VPS остаётся неясным, уточните его через обращение в поддержку. Провайдер уточнял список по мере расследования.
Какие журналы проверить на сервере и вне его
Просмотрите журналы за 17 октября и последующие дни. Сведите время событий к одному часовому поясу. Для каждого события запишите, когда и где оно произошло, от чьего имени и какое действие выполнили. Сохраните исходные записи отдельно, чтобы позже можно было сверить детали. Руководство CISA по сбору данных при расследовании
| Источник | Какие события искать |
|---|---|
| SSH и системный журнал | Успешные входы с незнакомых адресов, выдача прав администратора, новые пользователи. Сверьте подозрительные входы с работами вашей команды и адресами автоматизации. |
| Панель сайта и CMS | Входы администраторов, изменение ролей, добавление пользователей и изменение настроек, которые влияют на доступ к сайту. |
| CRM, репозиторий, почта, хранилище копий | Откройте журнал аудита сервиса. Проверьте, кто входил, создавал токены, выгружал данные или менял права и правила пересылки. Начните с учётных записей и ключей, которыми пользовался VPS. |
Допустим, на VPS лежал токен для загрузки резервных копий. С ним можно обратиться к хранилищу с другой машины, если разрешения и сетевые правила это допускают. В таком случае запись ищут на стороне хранилища. Если журнал уже перезаписан или сервис не регистрировал нужное действие, отметьте этот пробел в хронологии.
Что делать, если нашёлся посторонний вход
Передайте администратору исходные записи, время события с часовым поясом, идентификатор VPS и название учётной записи. Пароли, закрытые ключи и токены в обращение не вставляйте. Если по журналам видно, что чужой доступ продолжается, согласуйте с администратором ограничение доступа к серверу и отзыв затронутых ключей. Сохраните доступные следы до очистки системы.
После подозрительного входа выясните, что могла делать учётная запись и какие настройки менялись. Сравните список разрешённых SSH-ключей, задачи по расписанию и системные службы с известной рабочей конфигурацией. Если кто-то добавил свой открытый ключ, он сможет зайти снова даже после смены пароля. Если уверенности в состоянии сервера нет, проверьте, когда нужна пересборка VPS.
Когда сайт, база и интеграции обслуживаются разными командами, назначьте одного ответственного за общую хронологию. Ему пригодится список сервисов с контактами владельцев и местом хранения журналов. Такой список можно составить при обслуживании серверов и сайтов.