Afdrukvoorbeeld
Je kunt in een kort geding eisen dat hij (op straffe van een dwangsom) de bestanden en gegevens wist. Dat kan in combinatie met een eis voor schadevergoeding, maar gezien de spoed is het misschien slimmer om het apart te doen.
Mail me even (a.engelfriet@ictrecht.nl) als je dit verder wilt bespreken.
Arnoud
Hi,
Neem aan dat je ondertussen al je lekken gedicht/gepatcht hebt. Heb je ook op maliciouse software gecheckt, zoals rootkits, bindshells en andere vuige code ?
Tegenwoordig zijn er al een hele hoop geavanceerde rootkits op de markt die _NIET_ door een chkrootkit of een andere rootkit hunter gedetecteerd wordt.
Lijkt me zowieso uitermate verstandig om je server te reinstallen en te voorzien van nieuwe disks (denk aan geinfecteerd mbr etc) en om alle code van je kanten te laten checken door een php/xml/html... / guru op maliciouse code. (of zit je te wachten op schadeclaims?)
Het lijkt me dan ook uitermate logisch om geen ssh access meer te geven aan je klanten naas jezelf en sudo. Er zijn immers genoeg CMS’en op de markt die veel meer gebruiksgemak bieden tegenover je klanten.
Dus nog wat tips:
--Update je software handmatig, update het OS ook regelmatig (check www.your-OS.tld voor riskante / high risk updates, meld je desnoods aan op de mailing list)
--Draai in chrooted / jails
--Gebruik een firewall die niet alleen incoming maar ook uitgaande connecties tegenhoudt (dan is het bijv niet meer mogelijk voor de “hacker” om een reconnect back Shell of een bindshell te gebruiken)
--Gebruik ssh-keys
….
Zo kan ik nog wel ff doorgaan
Mocht je vragen hebben omtrent security, geen nood, wij zijn hier om te helpen.
Verder wens ik je veel suc6.
Groetjes,
Mike
Afgelopen vrijdag heb ik eindelijk aangifte kunnen doen.
De aangifte duurde ong. 4 uur, een lange zit dus, omdat alles in beschaafd Nederlands moest en alles moest ook begrijpbaar zijn voor een ander die het leest.
De agent in kwestie melde mij dat het sowieso een zaak werd aangezien het bewijs wat aanwezig wat. Dit bewijs is een complete map met linux logs en er waren papieren aanwezig met daarin de link van het IP naar een persoon.
Het is nu even afwachten wie de aangifte gaat behandelen, aangezien de plaats delict Amsterdam was (daar waar de server staan).
De agent wist mij te vertellen dat deze zaak werd opgenomen door het OM en dat als de rechter in kwestie een voorbeeld wil stellen bij een eventuele veroordeling, dat er zelfs een gevangenis straf aan kan zitten. Indien dit niet het geval is, wordt het een geld boete of een taakstraf.
Ik laat het vervolg nog horen.
Indien iemand anders een soort gelijke zaak krijgt en niet weet hoe hij/zij dit moet aanpakken. Bellen met het landelijke nummer 0900-8844. Aangeven dat je aangifte wilt doen van computer vredebreuk. De agent zal je dan doorverbinden.
Daar eveneens aangeven dat je aangifte wilt doen van computer vredebreuk. Geef duidelijk aan dat er spoed bij is en dat je met iemand wilt spreken met meer dan het gemiddelde computer ervaring. Geef ook aan welk bewijs je hebt. Ze gaan je dan terug bellen, duurt dit langer dan een dag, gewoon zelf weer bellen. Vergeet nooit de agent haar/zijn naam te noteren, zo kan je altijd personen aanwijzen op de dingen die ze beloven/zeggen te doen.
Na ong. 3 of 4 keer bellen in mijn geval, werden ze het zat en gingen ze echt iets doen.
Wederom, ook daarna, blijven bellen over de status van het onderzoek.
Neem echt elk bewijs stukje wat je maar hebt mee. Bereid je zaak goed voor, zorg er voor dat wat je verteld voor iedereen goed te volgen is, dit scheelt bij de aangifte.
Ik ben nu de troste eigenaar van een aangifte map met daarin 4 A4'tjes vol aan tekst, nu hopen dat de rest van de zaak ook goed gaat verlopen.
Ik ben de eerste persoon in de regio Twente welke aangifte doet m.b.t. computer vredebreuk :D
P.S.: De politie wijzen op eigen documentatie hielp in mijn geval ook, zo wees ik hen op de volgende documenten:
http://www.politie.nl/Gelderland-Zui..._recherche.asp
* Ik gaf hierbij aan dat er duidelijk vermeld wordt een afspraak te maken via het Landelijke nummer, maar dat dit niet mogelijk leek te zijn, de afspraak volgde snel daarna.
http://www.politie.nl/Gelderland-Zui...minaliteit.asp
* Ik verwees in dit document naar "Meer expertise" en naar de zin "Elk regiokorps heeft dan specialisten op het gebied van het digitaal rechercheren." En dat het nog flink zoeken was om deze "expertise" te vinden, ook dit resulteerde in een vlotte gang van zaken
http://www.security.nl/artikel/18072...ybercrime.html
* Ook verwees ik meerdere malen naar links zoals deze om aan te geven dat de overheid graag wil dat we meer aangifte doen, maar dat het onmogelijk wordt gemaakt door de weg er naar toe, ook dit hielp af en toe voor bepaalde handelingen, niet heel veel maar toch iets.
Die specialisten worden vaak ingehuurd.. Politie doet zelf vrij weinig op dat gebied.Citaat:
Oorspronkelijk geplaatst door Aero IT
Het zijn vaak kleinere bedrijfjes die zich hier in hebben gespecialiseerd.
Ik ontdek deze draad nu pas, sorry.
Een belangrijk aspect is hier nog niet aangeroerd: Vooraleer je lekken gaat dichten, software upgraden of wat dan ook, altijd een image maken van de server. Liefst dan nog in aanwezigheid van competente getuigen, dan dat image deponeren (eventueel bij een deurwaarder) zodat je de datum van maken onomstotelijk kan bewijzen. Competente getuigen zijn bv. een ingehuurde, onbekende IT collega en een agent of een deurwaarder. Dan meteen de HD met het image in een envelop, verzegeld dmv iedereen's handtekening.
Nu heb je logs, maar wie kan vertellen of die kloppen qua inhoud en tijd? Juist, alleen jijzelf kan dat. En dat is een zeer groot probleem.
Ideaal zou zijn dat je de server meteen door een backupserver kan vervangen en de originele onaangeroerd kan laten. Maar vermits je vaak geen extra server bij de hand hebt, wordt dat moeilijk.
Zoals de zaak nu uitschijnt, maak je geen kans als de dader een goede, ter zake comptente advokaat heeft. Die maakt brandhout van het bewijsmateriaal. Ik heb al zaken met heel weinig bewijs weten winnen doordat de procedures gevolgd waren en zaken waarbij heel veel duidelijk bewijs (voor IT'ers) was weten verliezen omdat simpelweg niet kon bewezen worden dat de datum en tijd klopte.
Wat nou als je concurrent op zijn eigen server (waarvan hij toegang heeft gekregen naar jouw server) zijn eigen systeem voorzien heeft van backdoors?
Wanneer dan eventueel zijn server gecontroleerd wordt, dan lijkt het erop dat die gehacked is en heb je het volgende probleem. Bewijs dan maar dat je concurrent het heeft gedaan.
Hij heeft blijkbaar al vaker backdoors geinstalleerd.
Succes en een schone installatie lijkt mij de enige juiste oplossing.
Dat is een goed punt. De des betreffende server is ondertussen vervangen, vlak na de hack. De server staat nu hier thuis en de data is nog gewoon aanwezig en dus ook de logs en de bewijs stukken, hierbij zijn uiteraard ook de data nog aanwezig van de laatste wijzigingen, ook zijn er van die server destijds dagelijks backups gemaakt bij een extern bedrijf, welke ook nog aanwezig zijn, in deze backups zijn ook de logs mee genomen.Citaat:
Oorspronkelijk geplaatst door cyrano
Je kan het dan beter bij een notaris, dan bij de deurwaarder deponeren.Citaat:
Oorspronkelijk geplaatst door cyrano
Hehe, ja, achteraf gezien wel, ik vroeg in dit topic ook om hulp, maar dat werd mij niet verteld. Mear goed, goede leer voor de volgende keer.Citaat:
Oorspronkelijk geplaatst door VinceSTM
Dit topic bevat op zeker goede informatie. Kunnen we gezamelijk geen stick van "Wat te doen bij een inbraak op een server" ?
Lijkt me een goed plan, er staan goede tips in en mijn eigen ervaring met de praktijk kan ook mensen helpen om hier op in te spelen en het mogelijk beter aan te pakken.Citaat:
Oorspronkelijk geplaatst door mikeh
Uiteraard zal hier het vervolg nog komen over deze zaak.
Laat dan even iemand met verstand ervan een duidelijke startpost maken :)Citaat:
Oorspronkelijk geplaatst door mikeh
:lovewht:
Ik lees jou post nu pas, sorry, hahaha :DCitaat:
Oorspronkelijk geplaatst door cyrano
Zie je het al voor je? Niet alleen de hele dag HDD's bestellen en swappen, maar ook een paar kroongetuigen op de loonlijst zetten? :D
Nee, zorg dan liever dat al je belangrijke logs op gezette tijden opgeslagen worden op een centrale server met een mooie timestamp erbij. Dat i.c.m. evt. logs van de provider waarmee je random scriptkid is ingelogd (dan maar hopen dat 'ie niet achter een firewall of op een VPN zat) is redelijk tastbaar en ook nog haalbaar.