Взломщик стёр четыре строки. Хранилище их сохранило
Утро на учебном сервере web-1. В /var/log/auth.log две строки: deploy зашёл по ключу и перезапустил приложение. Скучно. Несколько секунд назад строк было шесть. Ещё четыре рассказывали, как кто-то с адреса 203.0.113.7 с третьей попытки подобрал пароль root и скачал себе файл в /tmp. Потом он выполнил sed -i ‘/203.0.113.7/d’ /var/log/auth.log, и для сервера этих строк не стало. Но рядом с журналом работал сборщик, и каждая строка ушла на другую машину раньше, чем её стёрли. Расследование получает все четыре обратно, байт в байт, и к каждой приложено доказательство, которое проверяющий проверит у себя: без доступа к хранилищу и без доверия к его хозяину. Рассказываю, как это устроено и от каких пяти противников защищает. Читать далее