Накратко: Наблюдението на сървър за сигурност означава уеб сървърите да се следят постоянно за признаци на атака, вместо да се реагира едва когато клиентите се оплачат. Следим файловете, процесите, влизанията, връзките и логовете на Вашите PHP сървъри и оценяваме разбираемо всяка аномалия. Така разпознавате проблемите по-рано и в краен случай разполагате с нужните следи.
Защо наблюдението на сървър за сигурност е важно именно сега
PHP2Shell показа колко бързо една нова уязвимост може да стане заплаха за милиони сървъри. Unit 42 преброи над 22,6 милиона изложени на риск, потенциално уязвими инстанции. В същото време няма публикувани, потвърдени Indicators of Compromise. Който иска да знае дали на собствения му сървър се случва нещо, трябва да следи поведението.
Много прониквания се откриват късно, често от трети лица: предупреждение на Google, блокиране от хостинг доставчика заради изпращане на спам, сигнал от клиент. Дотогава логовете често са ротирани и следите са загубени. Security Monitoring скъсява това време и се грижи протоколите да са още налични, когато са нужни. За управителите това означава най-вече едно: решенията в краен случай се основават на факти, а не на предположения.
Какво наблюдаваме
| Област | Какво следим |
|---|---|
| Файлове | нови или променени PHP файлове, изпълним код в папките за качвания, промени в .htaccess и конфигурацията |
| Процеси | команди, стартирани от PHP worker процеси, непознати постоянни процеси, сриващи се worker процеси |
| Влизания | SSH и влизания в панела, нови администраторски акаунти в CMS, струпани неуспешни опити |
| Мрежа | необичайни изходящи връзки, внезапно изпращане на имейли, нови отворени портове |
| Логове | необичайни модели на заявки, струпване на грешки, пропуски в протоколирането |
| Състояние | версии на PHP, CMS и пакети в сравнение с известните актуализации за сигурност |
Как такива сигнали могат да се проверят ръчно, описва страницата Анализ на логовете на уеб сървъра след атака. За администраторските достъпи препоръчваме допълнително мерките от Защита на администраторските влизания срещу Brute Force.
Как помага PHP SOS конкретно?
- Установяване на изходното положение: Описваме сървърите, приложенията, наличните протоколи и досегашното наблюдение и определяме кое е нормално. Без това изходно състояние необичайното не може да се разпознае сигурно.
- Настройване на наблюдението: Настройваме проверка на целостта на файловете, препращане на логове към отделно място за съхранение и правила за типични последици от атака. Логовете лежат така, че атакуващ на уеб сървъра да не може просто да ги изтрие.
- Фина настройка: През първите седмици нагласяме правилата, за да не бъдете заливани с фалшиви тревоги, например от редовни актуализации или внедрявания.
- Съобщаване и оценка: Аномалиите съобщаваме с оценка: какво е наблюдавано, колко вероятна е атака и какво трябва да се направи по-нататък.
- Докладване: През редовни интервали получавате резюме със събитията, неуредените актуализации и препоръките.
Съхранявайте логовете на отделна система. При PHP2Shell специализираната преса съветва сървърните логове да се запазват от 20.10.2026 г. нататък. Който ги съхранява централно, ги има и когато уеб сървърът трябва да се настрои наново.
Как изглежда едно съобщение от нас
Предупреждението е полезно само ако се разбира. Затова всяко съобщение съдържа едни и същи елементи:
- Какво е наблюдавано? Например: в папката за качвания на един уебсайт е възникнал нов PHP файл, а малко след това PHP worker е установил изходяща връзка към непознат адрес.
- Как го оценяваме? Доказани са новият файл и връзката. Вероятна е връзка между тях. Неизвестно е дали са предадени данни.
- Какво вече направихме? Например архивирахме файла и, ако е договорено, поставихме уебсайта в режим на поддръжка.
- Какво трябва да решите Вие? Например дали уебсайтът остава офлайн, докато се изясни причината.
Безобидни събития, например редовна актуализация на добавка, разпознаваме по изходното положение и ги обобщаваме в доклада, вместо да Ви товарим с тях поотделно. С времето наблюдението опознава по-добре Вашите системи.
Какво получавате и какво ни е нужно
Получавате настроено наблюдение с документирани правила, проследими съобщения с препоръка за действие, редовни доклади и централно съхранение на протоколите. При потвърден инцидент данните се вливат директно в Incident Response.
От Вас ни е нужно:
- администраторски достъп до сървърите, за да настроим агенти и препращане на логове
- преглед на приложенията, планираните внедрявания и прозорците за поддръжка
- лице за контакт, което приема съобщенията и може да взема решения
- съгласуване с Вашето длъжностно лице по защита на данните, защото логовете могат да съдържат лични данни като IP адреси
Какво не обещаваме
Мониторингът не открива всяка атака. Изкусните атакуващи се опитват да останат незабелязани, а някои уязвимости оставят почти никакви следи. Мониторингът увеличава вероятността проникването да бъде забелязано рано и осигурява надеждни данни. Той не замества нито актуализациите, нито заздравяването.
Не определяме и времена за реакция в общ вид; те зависят от договорената грижа. Мониторингът проявява ползата си най-добре като част от договор за поддръжка на сигурността, в който актуализациите, резервните копия и наблюдението са уредени заедно.
Често задавани въпроси
Каква е разликата между обикновен мониторинг и Security Monitoring?
Обикновеният мониторинг проверява дали един сървър е достъпен и има ли достатъчно ресурси. Security Monitoring следи за признаци на атака, например нови изпълними файлове, необичайни процеси или чужди влизания. Двете се допълват.
Открива ли мониторингът атака чрез PHP2Shell?
За PHP2Shell няма публикувани, потвърдени Indicators of Compromise. Мониторингът обаче може да направи видими типични последици от едно проникване, например нови PHP файлове или команди, стартирани от PHP процес. Гаранция за успех няма.
Трябва ли за това да инсталирам софтуер на сървъра?
Най-често да, например агент за цялост на файловете и препращане на логове. Кои инструменти ползваме, съгласуваме с Вас и при нужда с Вашия хостинг доставчик, за да пасват на експлоатацията и на защитата на данните.
Работи ли Security Monitoring и при споделен хостинг?
Само ограничено. Без достъп до процесите и системните протоколи остава най-вече наблюдението на файловете и съдържанието отвън. За пълно наблюдение е нужен собствен или управляван сървър.