ماذا تفعل عندما يتم اختراق خادم Odoo الخاص بك

علامات الاختراق:

• مستخدمون إداريون غير متوقعين
• صادرات قاعدة بيانات لم تبدأها
• ارتفاع مفاجئ في حركة مرور الشبكة الصادرة
• ملفات معدلة في /opt/odoo/
• وظائف cron غير معروفة
• رسالة فدية

إذا رأيت أياً من هذه، افترض اختراقاً.

لا تحقق بينما الخادم لا يزال متصلاً.

افصل:
sudo ip link set eth0 down

أو افصل كابل الشبكة فعلياً.

لا تغلق الخادم بعد. الذاكرة تحتوي على أدلة جنائية.

قبل التنظيف أو إعادة البناء، اجمع الأدلة:

أخذ تفريغ للذاكرة:
sudo dd if=/dev/mem of=/mnt/external/memory.dump bs=1M

سرد الاتصالات الشبكية النشطة:
sudo netstat -antup > /mnt/external/netstat.txt

راجع السجلات لتحديد كيف وصل المهاجم.

تحقق من محاولات القوة الغاشمة لـ SSH:
grep "Failed password" /var/log/auth.log | tail -100

لا تحاول "تنظيف" الخادم المخترق. الاستعادة الآمنة الوحيدة هي إعادة بناء كاملة.

أعد بناء الخادم:
1. جهّز VPS جديداً
2. قوِّ فوراً
3. ثبّت Odoo
4. استعد النسخة الاحتياطية الأحدث من قبل الاختراق

حتى لو استعدت نسخة احتياطية نظيفة، افترض سرقة جميع كلمات المرور.

غيّر فوراً:

• جميع كلمات مرور مستخدمي Odoo
• كلمة مرور قاعدة بيانات PostgreSQL
• مفاتيح SSH
• مفاتيح API

امنع نجاح نفس الهجوم مرة أخرى.

قائمة التحقق الأمنية:
1. مكِّن جدار الحماية (ufw) واحظر جميع المنافذ باستثناء 22 و80 و443
2. ثبِّت fail2ban لحظر هجمات القوة الغاشمة عبر SSH
3. عطِّل SSH القائم على كلمة المرور؛ استخدم المفاتيح فقط
4. اضبط list_db = False في odoo.conf لتعطيل مدير قاعدة البيانات
5. مكِّن HTTPS مع Let's Encrypt
6. قم بتكوين تحديد المعدل على /web/login (5 محاولات/دقيقة)
7. حدِّث Odoo وجميع حزم النظام إلى أحدث الإصدارات
8. جدول التحديثات الأمنية التلقائية: sudo dpkg-reconfigure -plow unattended-upgrades

مراقبة إعادة الاختراق:
قم بإعداد تنبيهات لـ:

• حسابات المستخدمين الجديدة المُنشأة
• تسجيلات دخول SSH من عناوين IP غير معروفة
• صادرات قاعدة البيانات
• تغييرات الملفات في /opt/odoo/

إذا عاد المهاجم، ستعرف في غضون دقائق بدلاً من أسابيع.