Odoo Sunucunuz Hacklendi Değinde Ne Yapmalısınız

Ele geçirilme işaretleri:

• Beklenmeyen yönetici kullanıcıları
• Başlatmadığınız veritabanı dışa aktarmaları
• Giden ağ trafiğinde ani artış
• /opt/odoo/'da değiştirilmiş dosyalar
• Bilinmeyen cron işleri
• Fidye notu

Bunlardan birini görürseniz, aksini kanıtlayana kadar ihlal varsayın.

Sunucu hâlâ bağlıyken araştırmayın.

Bağlantıyı kesin:
sudo ip link set eth0 down

Veya ağ kablosunu fiziksel olarak çıkarın.

Sunucuyu henüz kapatmayın. Bellek adli kanıt içerir.

Temizlemeden veya yeniden oluşturmadan önce kanıt toplayın:

Bellek dökümü alın:
sudo dd if=/dev/mem of=/mnt/external/memory.dump bs=1M

Aktif ağ bağlantılarını listeleyin:
sudo netstat -antup > /mnt/external/netstat.txt

Saldırganın nasıl erişim sağladığını belirlemek için günlükleri inceleyin.

SSH kaba kuvvet denemelerini kontrol edin:
grep "Failed password" /var/log/auth.log | tail -100

Ele geçirilmiş sunucuyu "temizlemeye" çalışmayın. Tek güvenli kurtarma tam bir yeniden oluşturmadır.

Sunucuyu yeniden oluşturun:
1. Yeni bir VPS hazırlayın
2. Hemen sağlamlaştırın
3. Odoo'yu yükleyin
4. İhlalden önceki en son yedeği geri yükleyin

Temiz bir yedek geri yüklesen bile tüm parolaların çalındığını varsayın.

Hemen değiştirin:

• Tüm Odoo kullanıcı parolaları
• PostgreSQL veritabanı parolası
• SSH anahtarları
• API anahtarları

Aynı saldırının tekrar başarılı olmasını önleyin.

Güvenlik kontrol listesi:
1. Güvenlik duvarını (ufw) etkinleştirin ve 22, 80, 443 hariç tüm bağlantı noktalarını engelleyin
2. SSH kaba kuvvetini engellemek için fail2ban yükleyin
3. Parola tabanlı SSH'yi devre dışı bırakın; yalnızca anahtarları kullanın
4. Veritabanı yöneticisini devre dışı bırakmak için odoo.conf'ta list_db = False ayarlayın
5. Let's Encrypt ile HTTPS'yi etkinleştirin
6. /web/login'de hız sınırlamasını yapılandırın (dakikada 5 deneme)
7. Odoo'yu ve tüm sistem paketlerini en son sürümlere güncelleyin
8. Otomatik güvenlik güncellemelerini programlayın: sudo dpkg-reconfigure -plow unattended-upgrades

Yeniden ele geçirme için izleme:
Şunlar için uyarılar ayarlayın:

• Oluşturulan yeni kullanıcı hesapları
• Bilinmeyen IP'lerden SSH girişleri
• Veritabanı dışa aktarmaları
• /opt/odoo/'da dosya değişiklikleri

Saldırgan geri dönerse haftalar yerine dakikalar içinde bilirsiniz.