Une adresse IP peut être configurée dans DNS pour être résolue en n'importe quel nom d'hôte, par quiconque contrôle cette adresse IP.

Par exemple, si je contrôle le netblock 203.0.113.128 / 28, alors je peux configurer 203.0.113.130 pour inverser la résolution en presidential-desktop.oval-office.whitehouse.gov . Je n'ai pas besoin de contrôler whitehouse.gov pour ce faire, bien que cela puisse aider dans certaines situations (en particulier, avec tout logiciel qui vérifie que la résolution inverse et directe correspond ). Cela ne voudrait pas dire que le président des États-Unis s'est connecté à votre VPS.

Si quelqu'un a accès à votre système, il peut modifier la configuration du résolveur qui lui permettra effectivement de résoudre n'importe quel nom en n'importe quelle adresse IP adresse, ou toute adresse IP à n'importe quel nom. (S'ils ont ce niveau d'accès, ils peuvent également causer toutes sortes d'autres ravages dans votre système.)

Sauf et jusqu'à ce que vous vérifiiez que l'adresse IP qui a été utilisée pour vous connecter est effectivement enregistrée sur le FBI, ne vous inquiétez pas si le nom d'hôte se trouve sous fbi.gov . Ce mappage de nom peut très bien être truqué. Vous vous inquiétez plutôt du fait que la connexion à votre compte a réussi que vous ne pouvez pas expliquer, à partir d'une adresse IP que vous ne reconnaissez pas.

Chances sont que si le FBI voulait les données sur votre VPS, il utiliserait une approche un peu moins évidente pour les obtenir.

Vous devriez vous inquiéter, mais pas à propos du nom d'hôte fbi.gov.

Allez lire Comment gérer un serveur compromis? sur Server Fault, et Comment faire expliquez-vous la nécessité de «le neutraliser de l'orbite» à la direction et aux utilisateurs? ici sur la sécurité de l'information. Vraiment, fais-le. Fais le maintenant; ne tardez pas.

Je pense que vous DEVEZ vous inquiéter si quelqu'un a un accès non autorisé à votre serveur. Comme d'autres l'ont mentionné, il n'y a pas beaucoup de travail pour simuler un nom d'hôte DNS inversé. Peut-être veulent-ils que vous pensiez qu'il est normal qu'une agence gouvernementale ait accès à votre serveur afin que vous ne enquêtiez plus sur l'incident.

Vous devriez sauvegarder tous les journaux de votre serveur pour une analyse ultérieure et de préférence reconstruire votre serveur pour éliminer tous les risques qu'un serveur compromis pourrait entraîner. Après cela, vous devez (avec l'aide d'un expert) configurer le serveur avec les meilleures pratiques et précautions de sécurité.

Alors, devriez-vous vous inquiéter si c'était le FBI, ou est-ce que ça va si c'était juste un hacker occasionnel? À partir des journaux, quelqu'un s'est connecté avec succès sur un hôte que vous contrôlez. Il doit être présumé compromis, peu importe qui il s'agit. Supprimez-le et reconstruisez-le.

Gardez également à l'esprit qu'une entrée DNS inversée peut être créée par quiconque contrôle un bloc IP spécifique. Il n'a pas besoin de se résoudre à quelque chose qu'ils contrôlent, c'est-à-dire que si je contrôle un bloc IP, je peux créer une entrée inversée pour celui que je choisis. Les entrées inversées et avant ne doivent pas nécessairement correspondre et elles sont souvent gérées par des personnes différentes.

Tuez-le avec le feu. Comme hier.

Le FBI DITU ou toute autre unité cyber de n'importe quelle soupe à l'alphabet pour inclure l'armée CYBERCOM n'est PAS dans le but d'accéder simplement à votre système depuis fbi.gov, quelqu'un est jouer une blague sur vous - aucun enquêteur / TF sérieux ne fait quelque chose d'aussi apparent.

Ce dont vous devez vous soucier, c'est de savoir comment quelqu'un avec des connaissances de skiddie supérieures à la moyenne a accès à votre VPS et je l'ai fait.

Revenons au premier point: détruisez-le.

Prenez-le du point de vue humain.

Ce n'est pas du FBI. Le FBI sait mieux que cela pour se connecter à partir de fbi.gov.

MAIS le point principal est , quiconque se connecte à votre système sans autorisation de cette manière devrait faire l'objet d'une enquête. Ma recommandation serait de déplacer votre système ailleurs et de le remplacer par un système uniquement pour l'analyse médico-légale. Ajoutez un pot de miel pour distraire le pirate afin que vous puissiez enregistrer ses mouvements.

Vous avez deux possibilités:

1. C'est un pirate informatique qui a accès à vos informations d'identification pour vous connecter à votre VPS.
2. FBI a accès à tous les serveurs d'hébergement et vous besoin d'obtenir une réponse de votre hébergeur, mais je ne pense pas.

Analysez vos fichiers de sauvegarde, et vérifiez si votre configuration est sécurisée, l'utilisateur root peut se connecter ou non, avoir vous avez créé un utilisateur spécifique pour l'accès ssh ou non, etc.

Changez votre mot de passe SSH, et vérifiez et suivez chaque semaine si une activité est suspecte sur votre VPS.

Normalement, un pirate tente de cacher son identité. Ils n'utilisent généralement pas d'adresse IP pour leurs attaques qui résoudront leur véritable identité. Donc, fbi.gov est faux.

D'un autre côté, les services secrets ont été connus pour divulguer «accidentellement» le fait qu'ils observent quelqu'un, afin d'amener la personne ou l'organisation à entrer en mode panique , faites des erreurs ou fuyez simplement le pays.

Jetez un œil par la fenêtre. Y a-t-il une camionnette à l'air suspecte garée devant votre immeuble? Des gars qui ressemblent à l'agent Smith de la matrice?

Probablement pas.

Supposons que votre système est compromis. Le pirate n'a peut-être encore rien de spécial, mais il existe un marché pour les serveurs qui peuvent être utilisés à des fins illégitimes. Il peut héberger de la pornographie juvénile dans environ une heure (si vous ne l'avez pas encore fait).

Je serais plus préoccupé par l'intégrité de votre système que par la connexion au FBI; comme pour l'usurpation DNS ou la définition de fbi.gov inverse, hélas, il est beaucoup plus facile pour l'attaquant de réécrire sa "vraie" adresse avec un "fbi.gov" dans les champs d'adresse de / var / log / wtmp et / var / log / lastlog . La structure des champs de ces fichiers est documentée depuis des décennies.

Je serais plus préoccupé par le fait que vous soyez piraté, car pour jouer avec vos journaux pour planter fbi.gov et de vraies adresses FBI, il est nécessaire d'avoir un accès root pour les fichiers susmentionnés.

Il semble probable que votre VPS ait été sérieusement compromis, jetez-le et réinstallez tout à nouveau.

Comme les gens l'ont dit ... bombardez-le. C'est aussi une bonne raison pour laquelle vous devez régulièrement sauvegarder toutes les données non placées sur un système via une réinstallation vers un autre emplacement.

Deuxièmement, après la réinstallation, assurez-vous que tout compte qui a un mot de passe a un mot de passe très sécurisé. Utilisez quelque chose comme keepass pour générer une longue chaîne aléatoire pour tous les mots de passe autres que celui que vous utilisez pour votre utilisateur principal. J'utilise plus de 16 mots de passe de caractères aléatoires, même sur des machines inaccessibles de l'extérieur de mon pare-feu, et mes hôtes bastion ont maintenant plus de 24 ans, car il ne faut jamais se connecter directement en tant que root (cela n'inclut pas l'utilisation de clés ssh autorisées), ni utiliser su. Si vous devez le faire pour autre chose qu'une grave urgence, vous faites quelque chose de mal.

Enfin, en ce qui concerne les clés SSH ... toutes les clés que j'utilise dans l'ouest sauvage d'Internet lui-même, je n'en utilise jamais moins que les clés de 2048 bits, et j'utilise principalement 4096 bits ou plus.

Tout cela ne vous protégera pas contre l'accès root via la porte dérobée via un processus tel que sendmail (comme je l'ai fait il y a des années lorsque je était responsable de UN * X chez CompuServe), puis en changeant un mot de passe, pour ensuite passer par la porte d'entrée, cela ne vous protégera pas non plus contre un logiciel malveillant que vous avez fini par exécuter sur la machine pour ouvrir les choses, mais cela ira un excellent moyen de renforcer votre système.

Oh ... et toute cette affaire sur l'usurpation DNS inversée ... c'est une des raisons pour lesquelles les fichiers de données utilisés par des commandes comme last incluent souvent l'adresse IP, et pourquoi tous les journaux des services doivent également enregistrer l'adresse IP. Un last -i affichera l'adresse IP elle-même, et ne fera pas le DNS inversé. D'autres commandes ont des indicateurs similaires.

Je serais inquiet si le vrai FBI était aussi incapable de faire une telle erreur. Les vrais hackers supposeraient que vous reconstruirez s'ils laissent connaître leur présence. Ce sont des enfants ou des aspirants bâclés qui jouent.