Un billet rapide du vendredi pour vous narrer la petite mésaventure qui nous est arrivée ce matin.

J’ai reçu cette nuit des emails d’alerte de notre serveur de supervision open source Centreon, et de ma sonde Pingdom, m’indiquant que notre serveur web institutionnel montrait des signes de fatigue, avec des temps de réponse très long.

Dès potron-minet (je travaille dans une école, pas dans une banque), je fais le point avec mon équipe pour savoir ce qu’il se passe. Dans un premier temps, nous pensons que notre hébergeur Gandi est en cause, car il semble être sous le coup d’une attaque DDoS, ce qui expliquerait notre difficulté à nous connecter à notre serveur.

Puis, nous mettons le nez dans les logs, pour voir immédiatement qu’une attaque était en cours sur NOTRE machine : quelqu’un s’intéressait drôlement au fichier xmlrpc.php de notre serveur WordPress… Avec plus d’une requête par seconde via ce fichier, notre serveur était au bord de l’effondrement. Nous faisions l’objet d’une attaque DoS basique.

Une seule adresse IP est à l’origine de cette attaque, et semble être basée en Russie. Nous l’isolons rapidement avec une commande “route add -host addrIP reject”

Le serveur retrouve sa vigueur de jeune homme, et notre Social Network Manager le sourire, à moins que ce ne soit l’inverse, bref…

Petit débriefing post attaque. Premier point, y a-t-il eu des dégâts ? Nous vérifions les pages, les accès, les dates de modification des pages, l’état de la base de données, etc. Deuxième point, comment faire pour que cela ne se reproduise pas ? Il faut automatiser la détection et la réaction appropriée. Cela tombe bien, nous avons déjà mis en place le logiciel Fail2Ban, dont c’est la fonction, et qui s’en sort très bien.

Il nous suffit donc de suivre les conseils de cette page pour ajouter le script qui va bien.

Mon technicien (qui a fait tout le boulot) et moi, nous nous regardons avec le sentiment d’avoir été les gardiens civils du Mur (nous n’avons pas prêté le serment de la Garde de Nuit). Le reste de l’école vaque à ses occupations, inconscient du drame qui se jouait sous leurs yeux.

Je peux retourner à mes dossiers d’investissements, je dois réussir à montrer l’importance du remplacement de nos “vieux” SAN. Et c’est vraiment différent de la lutte contre les scripts kiddies.

Jusqu’au jour où…