VPS Server e Housing: Come acquisire immagine del disco in remoto

I server VPS localizzati in Server Farm, come Aruba o OVH, sono soggetti ad attacchi hacker come qualsiasi altro server locale.
Se risultasse necessaria una acquisizione forense dei drive contenuti nello storage è possibile procedere alla creazione dell'immagine completamente in remoto senza la richiesta dei drive fisici.

Un caso concreto: Attacco Hacker su Server Windows su Aruba

In un caso di attacco ransomware su Server 2018 posizionato sulla Farm di Aruba, il cliente benchè disponesse dell'accesso alla macchina era impossibilitato ad eseguire il login in quanto il ransomware aveva modificato desktop e servizi di avvio. La licenza integrata nel contratto non consentiva l'avvio della macchina da DVD e si è dovuto procedere alla richiesta dei dischi fisici direttamente al provider.

Procedure di sicurezza in caso di attacco ransomware

In caso di attacchi hacker è essenziale evitare qualsiasi movimentazione di file system e/o alterazione dello scenario dati. Nelle attività di analisi forense in seguito a disastri sono i dettagli che fanno la differenza.
Il server deve essere necessariamente spento e reso inoperativo, in quanto non è da escludersi che esistano processi in corso eseguiti dall'attaccante, come trojan o processi di trasferimento dati allo scopo di esfiltrare informazioni.

Avvio della Macchina in modalità Live da KVM

Una volta spenta la macchina, accedete alla console KVM e verificate la possibilità di avviarla da immagine ISO live.

Il sistema ChallengerOS è progettato sia per un avvio in Workstation sia per un Avvio in ambiente server e dispone di tutti i pacchetti necessari per eseguire l'acquisizione, ma è possibile utilizzare qualsiasi altra distro come debian o ubuntu.

I requisiti necessari per l'avvio sono:

1. Sistema Operativo Linux Live
2. Accesso dall'esterno con indirizzo IP Pubblico ( verificare eventuali setup su firewall )
3. Server Open SSH
4. Posix DD

Accedete alla macchina in modalità terminale ssh con le credenziali della distribuzione live.
Per un accesso più agevole suggeriamo la configurazione dell'utente root abilitata nella configurazione sshd_config.

NOTA:
Di default l'utente root è disabilitato per accesso ssh.
Modificare la riga #PermitRootLogin prohibit-password in PermitRootLogin yes e riavviate il server ssh

# Authentication:

#LoginGraceTime 2m
#PermitRootLogin prohibit-password
#StrictModes yes
#MaxAuthTries 6
#MaxSessions 10

Preparazione ambiente di lavoro locale

L'ambiente locale dovrebbe essere una Desktop Linux con un hard drive sufficientemente capiente per ospitare l'immagine disco. File system particolarmente adatti risultano essere XFS e EXT4, in quanto l'immagine verrà accodata durante il trasferimento e sarebbe ottimale utilizzare un FS non particolarmente soggetto a frammentazione. 

Test di connessione

Eseguiamo la login dalla nostra workstation in modalità ssh:

ssh remote_ip_address -l root

The authenticity of host 'remote_ip_address (remote_ip_address' can't be established.
ECDSA key fingerprint is SHA256:0mPSJ9aUdR61nr10/kCstfXxuCOKjW9HT47Gv1XT494.
This key is not known by any other names
Are you sure you want to continue connecting (yes/no/[fingerprint])? 

Verifichiamo quali sono le unità disco presenti sul server con il comando lsscsi

[1:0:0:0]    disk    ATA      Fanxiang S101 51 4B0   /dev/sda 
[3:0:0:0]    disk    ATA      WDC WD30EFRX-68E 0A82  /dev/sdb

Creazione dell'immagine locale del VPS Server remoto

Nel computer locale posizioniamoci con un terminale nella posizione di mount del disco dati ed eseguiamo:

ssh root@remote_ip_address "dd if=/dev/sda" | dd of=immagine_disco.dsk

Il processo potrebbe durare diverse ore, scegliamo sempre connessioni lan stabili ed attendiamo il termine della lettura della device in remoto.

Conclusioni e valutazioni finali

In alcune circostanze potrebbe essere necessario acquisire le immagini di un server in housing posizionato in un data center di un provider.
Richiedere i dischi originali posizionati nella Farm del provider potrebbe risultare lento, costoso e burocraticamente complesso.
Con la procedura presentata di imaging over ssh è possibile ottenere una immagine forense del server a costo zero e istantaneamente senza rischi e senza alterare lo scenario dati originale.

Una variante operativa: Acquisizione di File System VMFS in ambiente operativo ESX con nodi SAN.

La stessa procedura potrebbe essere incredibilmente utile per l'acquisizione di un file system vmware dove le lun sono cablate fisicamente a oggetti SAN o qualsiasi altro storage.

In un caso reale abbiamo acquisito in dd over ssh un volume vmfs dove l'attaccante aveva danneggiato intenzionalmente le Virtual Machine vmdk cancellandole dal Volume.