Un indirizzo IP può essere impostato nel DNS per risolverlo in qualsiasi nome host, da chiunque abbia il controllo di quell'indirizzo IP.

Ad esempio, se ho il controllo del netblock 203.0.113.128 / 28, quindi posso impostare 203.0.113.130 per la risoluzione inversa a presidential-desktop.oval-office.whitehouse.gov . Non ho bisogno del controllo di whitehouse.gov per farlo, sebbene possa essere d'aiuto in alcune situazioni (in particolare, con qualsiasi software che controlla per assicurarsi che la risoluzione inversa e in avanti corrisponda ). Ciò non significherebbe che il presidente degli Stati Uniti abbia effettuato l'accesso al tuo VPS.

Se qualcuno ha accesso al tuo sistema, può modificare la configurazione del resolver che gli consentirà effettivamente di risolvere qualsiasi nome su qualsiasi IP indirizzo o qualsiasi indirizzo IP a qualsiasi nome. (Se hanno quel livello di accesso, possono provocare ogni tipo di altro caos anche con il tuo sistema.)

A meno che e fino a quando non verifichi che l'indirizzo IP che è stato utilizzato per accedere sia effettivamente registrato su l'FBI, non preoccuparti che il nome host sia uno sotto fbi.gov . La mappatura del nome potrebbe essere falsificata. Preoccupati invece che sia stato effettuato correttamente l'accesso al tuo account che non puoi spiegare, da un indirizzo IP che non riconosci.

Possibilità sono che se l'FBI volesse i dati sul tuo VPS, userebbe un approccio un po 'meno ovvio per ottenerli.

Dovresti preoccuparti, ma non sul nome host fbi.gov.

Vai a leggere Come posso gestire un server compromesso? su Server Fault e come spieghi la necessità di "bombardarlo dall'orbita" al management e agli utenti? qui su Information Security. Davvero, fallo. Fallo ora; non rimandare.

Penso che DEVI essere preoccupato se qualcuno ha accesso non autorizzato al tuo server. Come altri hanno detto, non c'è molto lavoro per falsificare il nome host DNS inverso. Forse vogliono che tu creda che sia giusto che un'agenzia governativa abbia accesso al tuo server in modo che tu non indaghi più sull'incidente.

Dovresti eseguire il backup di tutti i log del server per un'analisi successiva e preferibilmente ricostruire il tuo server per eliminare tutti i rischi che un server compromesso potrebbe causare. Dopodiché (con l'aiuto di un esperto) dovresti configurare il server con le migliori pratiche e precauzioni di sicurezza.

Quindi dovresti preoccuparti se fosse l'FBI, o va bene se fosse solo un hacker occasionale? Dai log, qualcuno si è connesso con successo a un host che controlli. Dovrebbe essere considerato compromesso indipendentemente da chi fosse. Scartalo e ricostruiscilo.

Inoltre, tieni presente che una voce DNS inversa può essere creata da chiunque abbia il controllo di un blocco IP specifico. Non ha bisogno di risolversi in qualcosa che controllano, cioè, se controllo un blocco IP posso creare una voce inversa per chiunque scelga. Le voci inversa e in avanti non devono corrispondere e sono spesso gestite da persone diverse.

Uccidilo con il fuoco. Come ieri.

L'FBI DITU o qualsiasi altra unità informatica di qualsiasi Alphabet Soup per includere Army CYBERCOM NON si occupa di accedere semplicemente al tuo sistema da fbi.gov, qualcuno lo è scherzando su di te - nessun investigatore serio / TF sta facendo qualcosa di così evidente.

Quello di cui devi preoccuparti è come qualcuno con una conoscenza dello skiddie superiore alla media ha avuto accesso al tuo VPS e lo ha fatto.

Tornando al primo punto: distruggerlo.

Prendilo dal punto di vista umano.

Non è dell'FBI. L'FBI sa meglio di così per accedere da fbi.gov.

MA il punto principale è che chiunque acceda al tuo sistema non autorizzato in questo modo dovrebbe essere indagato. La mia raccomandazione sarebbe di spostare il tuo sistema altrove e sostituirlo con un sistema solo per l'analisi forense. Metti un honeypot per distrarre l'hacker in modo da poter registrare le sue mosse.

Hai due modi:

1. È un hacker che ha accesso alle tue credenziali per accedere al tuo VPS.
2. L'FBI ha accesso a tutti i server di hosting e a te bisogno di ottenere una risposta dalla tua società di hosting, ma non credo.

Analizza i tuoi file di backup e controlla se la tua configurazione è sicura, l'utente root può connettersi o meno, hai creato un utente specifico per l'accesso ssh o meno, ecc.

Cambia la tua password SSH e controlla e monitora ogni settimana se un'attività ha sospetti sul tuo VPS.

Normalmente, un hacker cercherà di nascondere la propria identità. In genere non utilizzano un indirizzo IP per i loro attacchi che risolveranno la loro vera identità. Quindi fbi.gov è falso.

D'altro canto, è noto che i servizi segreti trapelano "accidentalmente" il fatto che stanno osservando qualcuno, al fine di portare la persona o l'organizzazione in modalità panico , commetti errori o semplicemente fuggi dal paese.

Guarda fuori dalla finestra. c'è un furgone dall'aspetto sospettosamente innocuo parcheggiato fuori dal tuo edificio? Qualcuno che assomiglia all'agente Smith di Matrix?

Probabilmente no.

Supponi che il tuo sistema sia compromesso. L'hacker potrebbe non avere ancora nulla di speciale, ma esiste un mercato per i server che possono essere utilizzati per scopi illegittimi. Potrebbe ospitare pornografia infantile in circa un'ora (se non l'hai ancora bombardato).

Sarei più preoccupato per l'integrità del tuo sistema che per l'accesso dell'FBI; per quanto riguarda lo spoofing DNS o la definizione di inversione di fbi.gov, ahimè, è molto più facile per l'attaccante riscrivere il suo indirizzo "reale" con un "fbi.gov" nei campi dell'indirizzo di / var / log / wtmp e / var / log / lastlog . La struttura dei campi di questi file è stata documentata per decenni.

Sarei più preoccupato per il fatto che tu possa essere hackerato, poiché per giocare con i tuoi log per piantare fbi.gov e gli indirizzi reali dell'FBI, è necessario un accesso root per i file sopra menzionati.

Sembra probabile che il tuo VPS sia stato seriamente compromesso, smaltiscilo e reinstalla tutto di nuovo.

Come dice la gente ... bombardalo. Questo è anche un buon motivo per cui dovresti eseguire regolarmente il backup di tutti i dati non inseriti in un sistema tramite una reinstallazione in un'altra posizione.

In secondo luogo, dopo la reinstallazione, assicurati che ogni account abbia una password ha una password molto sicura. Usa qualcosa come keepass per generare una lunga stringa casuale per qualsiasi password diversa da quella che usi per il tuo utente principale. Uso 16+ password di caratteri casuali anche su macchine inaccessibili dall'esterno del mio firewall, e i miei host bastion ora sono 24+, poiché non si dovrebbe mai accedere direttamente come root (questo non include l'uso di chiavi ssh autorizzate), né si dovrebbe usare su. Se devi farlo per qualcosa di diverso da una grave emergenza, stai facendo qualcosa di sbagliato.

Infine, per quanto riguarda le chiavi SSH ... qualsiasi chiave che uso nel selvaggio west di Internet stesso, non ne uso mai di meno. di chiavi a 2048 bit e sto usando principalmente 4096 bit o più.

Tutto ciò non ti proteggerà da qualcuno che ottiene l'accesso come root attraverso la backdoor tramite un processo come sendmail (come ho fatto anni fa quando ho era responsabile di UN * X a CompuServe), quindi cambiare una password, per poi entrare nella porta principale, né ti proteggerà da qualche malware che hai finito per eseguire sulla macchina per aprire le cose, ma andrà un ottimo modo per rafforzare il tuo sistema.

Oh ... e tutta questa faccenda sullo spoofing DNS inverso ... questa è una delle ragioni per cui i file di dati usati da comandi come last spesso includono l'indirizzo IP, e perché tutti i log per i servizi dovrebbero registrare anche l'indirizzo IP. Un last -i mostrerà l'indirizzo IP stesso e non farà il DNS inverso. Altri comandi hanno flag simili.

Sarei preoccupato se il vero FBI fosse così incompetente da commettere un errore del genere. I veri hacker presumono che ricostruirai se lasciano che la loro presenza sia nota. Sono bambini o aspiranti sciatti che giocano.