Stručně: Bezpečnostní monitoring serveru znamená webové servery průběžně sledovat, zda nevykazují známky útoku, místo aby se reagovalo až ve chvíli, kdy si zákazníci stěžují. Sledujeme soubory, procesy, přihlášení, spojení a logy vašich serverů s PHP a každou nápadnost srozumitelně zařadíme. Problémy tak poznáte dříve a v krizové situaci máte potřebné stopy.
Proč je bezpečnostní monitoring serveru právě teď důležitý
PHP2Shell ukázal, jak rychle se nová zranitelnost může stát hrozbou pro miliony serverů. Unit 42 napočítalo více než 22,6 milionu exponovaných, potenciálně zranitelných instancí. Zároveň neexistují zveřejněné potvrzené indikátory kompromitace (IOC). Kdo chce vědět, zda se na jeho serveru něco děje, musí sledovat chování.
Mnoho průniků se objeví pozdě, často díky třetím stranám: varování Googlu, zablokování poskytovatelem hostingu kvůli rozesílání spamu, upozornění zákazníka. Do té doby jsou logy často už rotovány a stopy ztraceny. Bezpečnostní monitoring tuto dobu zkracuje a stará se o to, aby protokoly byly stále k dispozici, když je potřebujete. Pro vedení firmy to znamená hlavně jedno: rozhodnutí v krizové situaci se opírají o fakta, ne o domněnky.
Co sledujeme
| Oblast | Na co dáváme pozor |
|---|---|
| Soubory | nové nebo změněné soubory PHP, spustitelný kód ve složkách s nahranými soubory, změny v .htaccess a konfiguraci |
| Procesy | příkazy spuštěné z workerů PHP, neznámé trvale běžící procesy, zhroucené workery |
| Přihlášení | přihlášení přes SSH a do panelu, nové administrátorské účty v CMS, nahromaděné neúspěšné pokusy |
| Síť | neobvyklá odchozí spojení, náhlé rozesílání pošty, nové otevřené porty |
| Logy | nápadné vzorce požadavků, hromadění chyb, mezery v protokolování |
| Stav | verze PHP, CMS a balíčků ve srovnání se známými bezpečnostními aktualizacemi |
Jak lze takové signály ručně ověřit, popisuje stránka Vyhodnocení logů webového serveru po útoku. Pro administrátorské přístupy doporučujeme navíc opatření ze stránky Ochrana administrátorských přihlášení proti brute force.
Jak konkrétně pomáhá PHP SOS?
- Zjištění výchozí situace: Zaznamenáme servery, aplikace, existující protokoly a dosavadní sledování a stanovíme, co je normální. Bez tohoto výchozího stavu nelze nápadnosti spolehlivě rozpoznat.
- Zavedení sledování: Zavedeme kontrolu integrity souborů, přeposílání logů na oddělené úložiště a pravidla pro typické následky útoku. Logy leží tak, aby je útočník na webovém serveru nemohl jednoduše smazat.
- Dolaďování: V prvních týdnech pravidla upravujeme, abyste nebyli zaplaveni planými poplachy, například kvůli běžným aktualizacím nebo nasazením.
- Hlášení a zařazení: Nápadnosti hlásíme se zařazením: co bylo pozorováno, jak je útok pravděpodobný a co je třeba udělat dál.
- Zprávy: V pravidelných intervalech obdržíte shrnutí s událostmi, otevřenými aktualizacemi a doporučeními.
Logy uchovávejte na odděleném systému. U PHP2Shell odborný tisk radí zajistit logy serveru od 20. 10. 2026. Kdo je ukládá centrálně, má je i tehdy, když je nutné webový server nasadit znovu.
Jak vypadá naše hlášení
Varování je užitečné jen tehdy, když mu rozumíte. Proto každé hlášení obsahuje stejné části:
- Co bylo pozorováno? Například: ve složce s nahranými soubory jednoho webu vznikl nový soubor PHP a krátce poté worker PHP navázal odchozí spojení na neznámou adresu.
- Jak to zařazujeme? Doložen je nový soubor a spojení. Pravděpodobná je souvislost. Neznámé je, zda byla přenesena data.
- Co jsme už udělali? Například soubor zajistili a, pokud je to dohodnuto, přepnuli web do režimu údržby.
- O čem musíte rozhodnout? Například zda web zůstane offline, dokud nebude objasněna příčina.
Neškodné události, například běžnou aktualizaci pluginu, poznáme podle výchozího stavu a shrneme je ve zprávě, místo abychom vás jimi zatěžovali jednotlivě. S časem sledování vaše systémy zná lépe.
Co získáte a co potřebujeme
Získáte zavedené sledování s dokumentovanými pravidly, srozumitelná hlášení s doporučením postupu, pravidelné zprávy a centrální úložiště protokolů. Při potvrzeném incidentu data přímo vstupují do reakce na incidenty (incident response).
Od vás potřebujeme:
- administrátorský přístup k serverům, abychom zavedli agenty a přeposílání logů
- přehled aplikací, plánovaných nasazení a servisních oken
- kontaktní osobu, která přijímá hlášení a může rozhodovat
- dohodu s pověřencem pro ochranu osobních údajů, protože logy mohou obsahovat osobní údaje, například IP adresy
Co neslibujeme
Monitoring nepozná každý útok. Šikovní útočníci se snaží zůstat nenápadní a některé zranitelnosti zanechávají stopy jen sotva. Monitoring zvyšuje pravděpodobnost, že průnik včas zaznamenáte, a zajišťuje spolehlivá data. Nenahrazuje aktualizace ani hardening.
Ani doby reakce nestanovujeme paušálně; závisejí na dohodnuté péči. Monitoring nejlépe plní svůj účel jako součást smlouvy o bezpečnostní údržbě, v níž jsou aktualizace, zálohy a sledování upraveny společně.
Časté dotazy
Jaký je rozdíl mezi běžným monitoringem a bezpečnostním monitoringem?
Běžný monitoring kontroluje, zda je server dostupný a má dost zdrojů. Bezpečnostní monitoring sleduje známky útoku, například nové spustitelné soubory, neobvyklé procesy nebo cizí přihlášení. Obojí se doplňuje.
Pozná monitoring útok přes PHP2Shell?
Pro PHP2Shell neexistují zveřejněné potvrzené indikátory kompromitace (IOC). Monitoring ale může zviditelnit typické následky průniku, například nové soubory PHP nebo příkazy spuštěné z procesu PHP. Záruka úspěchu neexistuje.
Musím k tomu na server instalovat software?
Většinou ano, například agenta pro integritu souborů a přeposílání logů. Jaké nástroje použijeme, domluvíme s vámi a případně s vaším poskytovatelem hostingu, aby provoz i ochrana osobních údajů seděly.
Funguje bezpečnostní monitoring i u sdíleného hostingu?
Jen omezeně. Bez přístupu k procesům a systémovým protokolům zbývá hlavně sledování souborů a obsahu zvenčí. Pro úplné sledování je potřeba vlastní nebo spravovaný server.