Investigación Forense en un VPS Apagado: Guía Completa

Cuando tu VPS se apaga inesperadamente, necesitas respuestas. Esta guía sigue un enfoque forense para descubrir qué sucedió antes del apagado.

1⃣ ¿Cuándo y cómo se apagó el servidor?

last -x shutdown reboot | head -20
journalctl --list-boots

Esto muestra los eventos de apagado y los arranques anteriores con su ID.

2⃣ ¿Qué pasó justo antes del apagado?

journalctl --since "1 hour ago" --no-pager
journalctl -b -1 --no-pager

Estos comandos muestran los eventos antes del último arranque.

3⃣ ¿Hubo errores críticos o fallos de hardware?

journalctl -p 3 -xb --no-pager
dmesg --level=err,warn | tail -50
dmesg | grep -i "out of memory"

Estos registros revelan problemas graves en el sistema.

4⃣ ¿Hubo intentos de acceso sospechosos?

cat /var/log/auth.log | grep -E "Failed|Accepted|session" | tail -50
grep "Failed password" /var/log/auth.log | tail -20
who -a

Estos registros muestran accesos fallidos y sesiones activas antes del apagado.

5⃣ ¿Se ejecutó algún comando sospechoso?

cat ~/.bash_history | tail -50
cat ~/.bash_history | grep -E "shutdown|reboot"

Muestra los últimos comandos ejecutados en la sesión.

6⃣ ¿Hubo actualizaciones o cambios en paquetes?

cat /var/log/apt/history.log | tail -50
cat /var/log/dpkg.log | grep "install|upgrade" | tail -50

Revela si una actualización pudo haber causado el apagado.

7⃣ ¿Se quedó sin espacio en disco?

df -h
du -sh /* 2>/dev/null | sort -h | tail -10

Puedes verificar si el sistema colapsó por falta de espacio.

8⃣ ¿Fallaron servicios críticos?

systemctl list-units --failed
cat /var/log/apache2/error.log | tail -50
cat /var/log/nginx/error.log | tail -50
cat /var/log/mysql/error.log | tail -50

Revisa si servicios clave dejaron de funcionar antes del apagado.