Wiederherstellung der Datenbank von einem gehackten System

Question

Eine Linux-VM mit Postgres 9.4 wurde gehackt. (Zwei Prozesse mit 100% CPU, seltsame Dateien in/tmp, sind nach Kill (s) und Neustart nicht wieder aufgetreten.) Es wurde entschieden, das System von Grund auf neu zu installieren (mit postgres 9.6). Die einzigen benötigten Daten waren in einer Postgres-Datenbank. Eine pg_dump der Datenbank wurde nach dem Angriff gemacht.

Unabhängig davon, ob die Daten - die Tabellen/Zeilen/etc. - wurden während des Angriffs geändert: ist es sicher, die Datenbank im neuen System wiederherzustellen?

ich mit pg_restore mit der Option -O betrachten (ignoriert die Benutzerberechtigungen)

Answer 1

Die beiden Gefahren sind:

• wichtige Daten modifiziert wurden, konnte

• Hintertüren haben könnte wurde in Ihrer Datenbank installiert

Mit dem ersten Schritt können Sie selbst überprüfen, ob Ihre Daten in Ordnung sind. Am sichersten wäre es, ein Backup zu verwenden, bevor die Maschine kompromittiert wurde, aber das würde Datenverlust bedeuten.

Für den zweiten würde ich einen pg_dumpall -s laufen und einen Tag damit verbringen, es sorgfältig zu lesen. Vergleichen Sie es mit einem Dump aus einem Backup, das vor der Verletzung erstellt wurde. Achten Sie auf seltsame Objekt- und Spaltennamen und Funktionen mit SECURITY DEFINER.