1. https://dondub.com/2021/07/udalenie-cloud-init-iz-ubuntu-server-21-04/ 2. adduser you_sudo_user -g sudo (попросит пароль, вводить длинный, сложный, лучше хэш какой то) 3. passwd -l root 4. ssh на не стандартный порт, желательно больше 32384 5. весь софт в докер контейнерах с listen на loopback-ах 6. проксирование траффика к софту при помощи nginx и может быть iptables (часто nginx достаточно) 7. параноидальный фаервол на хост системе 8. всё что есть у прова по ИБ на максимум 9. Всё это добро живёт за cloudflare

Собирайте доказательства взлома, если атака успешная и другие сервера не ваши. Потушите машину, если атака ещё идёт. Меняйте ключи, пароли, адреса, настройте бастион с нормальным файрволом

Придумывать оправдания, что атаку начали не Вы, желательно до начала штурма конторы ребятами в масках

Обновить систему. Убрать рут, закрыть порты через ufw. Никакого 22 и 80. Fail2ban. Ну и zerotrust на внутренние коннекты. И не пускать чужих, знаем мы, для чего 80% vps :)))

Нанять спеца, который все пофиксит. Вангую: учётку root не закрыли, иначе сложно представить через что могли осуществить атаку.

Ну или стояло какое-то дырявое ПО.

Я бы слил инфу с него, если таковая есть и снёс бы нахер все, а потом заново все настроил по путю.

У меня проект один крутился на впс. Попал в список атакуемых наряду с RT, сайтом кремля и многими другими после 24 02 2022. Логи разрастались просто за секунды от брутфорса, а уж ддосили его как… В сутки до 500млн запросов поступало. Вот это веселье было