Вопрос или проблема
Так что проблема любопытная. Что-то или какой-то сервис изменяет весь каталог домена веб-сайта (да, только один из сотен) на атрибут неизменяемости. Вручную для этого использовали бы chattr, но это происходит почти каждые два дня, хотя ни у кого другого нет доступа к этой системе.
Сервер работает на Ubuntu 22.04, веб-сервере Lightspeed LSWS и Cyberpanel.
Кто-нибудь сталкивался с чем-то подобным? Это я схожу с ума? Или это привидение?
Спасибо, ребята, за @возможные@ ответы / идеи / предложения….
Ответ или решение
Кажется, ваша проблема связана с несанкционированным изменением атрибутов файлов до состояния "immutable" на сервере Ubuntu 22.04, который использует веб-сервер LiteSpeed и панель управления CyberPanel. Эта необычная проблема требует внимательного анализа всех факторов, которые могут влиять на работу вашей системы.
Теория (Theory)
Атрибут "immutable" на файловой системе Linux предназначен для предотвращения любых изменений файла. Когда атрибут установлен, файл не может быть изменен, переименован или удален, и даже не может быть добавлен новый файл в каталог с установленным флагом "immutable". Подобные действия обычно осуществляются вручную с использованием команды chattr +i, однако в вашей ситуации кажется, что изменение атрибутов происходит автоматически и без явного на то разрешения.
Основные причины, по которым может происходить подобное явление:
- Автоматизированные скрипты или задачи: Возможно, есть скрипт или автоматическая задача, которая запускается периодически и изменяет атрибуты файлов.
- Вторжение или зловредное ПО: Система может быть скомпрометирована, и злоумышленники могут устанавливать эти атрибуты для защиты своих зловредных файлов от удаления.
- Ошибочная конфигурация программного обеспечения: Некорректная настройка системы или сторонней программы может автоматически вносить изменения в файл или в каталог.
Пример (Example)
Рассмотрим возможный сценарий. В вашей системе может быть настроена задача cron, которая выполняет команду chattr +i для изолированного каталога или явно упомянутой группы файлов. Такие задачи, возможно, настроены для опытов или настроек безопасности, и впоследствии были забыты.
Кроме этого, могут существовать скрипты, например, на Python или Bash, которые откликаются на определённое событие или состояние системы и изменяют эти файлы. Любые автоматизированные скрипты, созданные для целей безопасности, должны быть тщательно задокументированы, что гарантирует легкость их обнаружения и проверки.
Применение (Application)
Для разрешения данной ситуации и исключения аналогичных проблем в будущем следуйте этим шагам:
-
Аудит Cron и автоматизированных задач: Проверьте содержимое всех файлов cron для возможностей изменения атрибутов файлов. Для проверки текущих задач cron используйте:
crontab -l ls /etc/cron.* -
Проверка скриптов и конфигураций: Осуществите проверку всех пользовательских скриптов и конфигурационных файлов, которые могли бы включать команды на изменение атрибутов файлов. Это могут быть инициализационные скрипты, конфигурации панелей управления, такие как CyberPanel, или настройки безопасности.
-
Анализ логов: Проверьте системные логи на предмет несанкционированного доступа или необычной активности. Полезные файлы журналов могут находиться в
/var/log/, обратите особое внимание на системные логи и логи веб-сервера. -
Проверка на зловредное ПО: Проведите сканирование вашей системы на наличие вредоносного ПО. Используйте инструменты безопасностии такие как ClamAV для выявления любых подозрительных файлов или внесённых изменений в систему.
-
Фиксация изменений атрибутов файлов: Установите мониторинг изменений атрибутов файлов с помощью инструментов, таких как
inotify-tools, который может уведомить вас о любых изменениях в системе в реальном времени:inotifywait -m /path/to/directory -e modify,attrib,close_write,move,create,delete -
Перепроверка прав доступа: Убедитесь, что только определённые пользователи имеют доступ к соответствующим файлам и директориям, и никто другой не может их изменять.
Следуя указанным рекомендациям, можно выявить причину автоматической установки атрибута "immutable" и избавиться от нежелательного явления. В случае сложностей с вопросом безопасности или подозрительным вторжением, настоятельно рекомендуем обратиться к специалистам по кибербезопасности для более детального анализа и выявления уязвимостей в системе.