Një ekip dyshoi se ishte komprometuar një server virtual me cPanel, ku mbaheshin faqe WordPress dhe email, pasi firewall-i shfaqi shumë sesione “jonormale”. Faqet përdornin planin falas të Cloudflare. Ekipi nisi një skanim antivirus dhe planifikoi të bllokonte IP-në e VM-së deri në pastrimin e saj.
Por adresat burimore që nisnin me 172.64, 172.68 dhe 162.158 i përkisnin Cloudflare. Kur një faqe përdor këtë shërbim si reverse proxy, kërkesat kalojnë nga vizitori te Cloudflare e më pas te serveri i origjinës. Prandaj, sesionet hyrëse në portën 443 nga këto adresa nuk janë vetvetiu provë komprometimi. Bllokimi i IP-së së serverit do t’i nxirrte jashtë funksionimit të gjitha faqet e tij.
Kontrolli në Security Analytics të Cloudflare tregoi rreth 22,7 milionë kërkesa në 24 orë, shumë mbi nivelin e zakonshëm: afërsisht 22,7 milionë GET dhe 7.200 POST. Pothuajse i gjithë trafiku ndahej mes dy vargjeve user-agent, një për Firefox në Windows dhe një për Firefox në iOS.
Rasti tregon rrezikun e alarmeve që numërojnë sesionet pa marrë parasysh proxy-n. Për të hetuar komprometimin, autori sugjeron kontrollin e lidhjeve dalëse drejt destinacioneve të panjohura, spam-it ose skanimeve nga serveri dhe hyrjeve të paautorizuara, jo barazimin e trafikut hyrës nga Cloudflare me një sulm ndaj VM-së.
Burimi: DEV Community (Web Dev Feed) — lexoni artikullin e plotë në anglisht.
