Ты можешь удалить ключ аутентификации, используемый для подписи тикетов (rm /etc/pve/authkey.pub /etc/pve/authkey.pub.old /etc/pve/priv/authkey.key), это сделает недействительными все существующие тикеты сессии, и следующий логин или цикл pvestatd сгенерирует новый. Обрати внимание, что есть и другие секреты, которые, вероятно, тоже стоит обновить:
- любые секреты токенов API, @pam или @pve пароли
- секреты MFA
- ключ аутентификации corosync, если это был кластер
- root SSH ключ и ключи хоста
- TLS сертификаты/ключи
- учетные данные хранилища
- и это покрывает только сторону хоста, в зависимости от того, какой доступ был у злоумышленника, тебе, возможно, также захочется восстановить гостевые машины из резервной копии, созданной до компрометации, на чистой системе.