VPS が侵害された典型的な兆候は、異常な外向きトラフィック、CPU の 100% 張り付き、見覚えのないプロセス、データセンターからの不正利用通知です。侵害を疑ったら、以下を順に進めてください。

1. 本当に侵害されたか確認する

last            # 直近のログイン履歴 — 見覚えのない IP はないか
w               # 現在ログイン中のユーザー
ps aux --sort=-%cpu | head    # CPU を食う不審なプロセス
ss -tunp        # 異常な外向き接続
crontab -l; ls /etc/cron.*    # 不審な定時実行

2. 即時対応

  • 必要ならコンソールやファイアウォールでネットワークを制限し、外向き通信を遮断します（マイニングや踏み台攻撃でよくある対応）。
  • 関係するパスワードと鍵をすべて直ちに変更します（root、パネル、データベース）。
  • 不審なプロセスを終了し、不正な定時実行や自動起動項目を削除します。

3. 侵入口を特定する

最も多い原因は、弱いパスワードと SSH のパスワード認証が有効なままの組み合わせ、未更新のウェブアプリの脆弱性（WordPress のプラグインなど）、鍵や .env の流出です。ウェブのアクセスログとアプリケーションログを確認し、悪用された箇所を突き止めます。

4. 徹底的に清掃する：まず再インストール

侵害後は、攻撃者がバックドアや rootkit を残している可能性があります。最も安全なのは、データを退避したうえで OS を再インストールすることで、マルウェアを一つずつ削除する方法ではありません。その後、きれいなデータと設定を戻します。

5. 再発を防ぐ

  • SSH 鍵認証、パスワード認証の無効化、root 以外のユーザー。
  • ufw ファイアウォールで開放ポートを最小限にし、fail2ban を導入する。
  • OS とすべてのウェブアプリ・プラグインを速やかに更新する。
  • 定期的にバックアップし、鍵と .env はリポジトリに入れず、流出させない。

異常が疑われるが対処方法が分からない場合は、Telegram @aliyun370 までご相談ください。