Εν ολίγοις: Ένα χρονολόγιο περιστατικού IT ταξινομεί χρονολογικά όλες τις παρατηρήσεις, αποφάσεις και ενέργειες σε μία ενιαία ζώνη ώρας, ιδανικά UTC. Κάθε γραμμή αναφέρει πηγή, παρατήρηση, τεκμήριο και μια αξιολόγηση ως τεκμηριωμένο, πιθανό ή άγνωστο. Έτσι προκύπτει μια κατανοητή εικόνα του πότε βρισκόταν ο επιτιθέμενος στο σύστημα, τι μπορούσε να φτάσει και πότε το γνωρίζατε.
Γιατί στο τέλος όλοι ρωτούν το πότε
Μετά από ένα περιστατικό τα ερωτήματα έρχονται από όλες τις πλευρές. Ο υπεύθυνος προστασίας δεδομένων θέλει να μάθει από πότε ήταν προσβάσιμα προσωπικά δεδομένα. Ο ασφαλιστής ρωτά πότε εντοπίστηκε και δηλώθηκε η ζημιά. Η διοίκηση θέλει να ξέρει αν η ευπάθεια ήταν ανοιχτή ήδη πριν από την τελευταία ενημέρωση. Όλα αυτά τα ερωτήματα έχουν κάτι κοινό: περιστρέφονται γύρω από χρονικές στιγμές.
Χωρίς χρονολόγιο ο καθένας απαντά από μνήμης και οι απαντήσεις αντιφάσκουν. Με ένα καλά τηρούμενο χρονολόγιο υπάρχει κοινή βάση, στην οποία παραπέμπουν όλοι οι εμπλεκόμενοι. Είναι ταυτόχρονα ο σκελετός για την τελική έκθεση.
Στο PHP2Shell το χρονολόγιο έχει ιδιαίτερη αξία, επειδή τα δημόσια βασικά στοιχεία είναι καλά τεκμηριωμένα. Μπορούν να τοποθετηθούν ως σημεία αναφοράς δίπλα στις δικές σας παρατηρήσεις. Την πλήρη αλληλουχία των δημόσιων γεγονότων περιγράφει ο οδηγός PHP2Shell: η χρονολογική σειρά.
Η δομή: ποιες στήλες χρειάζεται ένα χρονολόγιο
Αρκεί ένας πίνακας, σε λογιστικό φύλλο ή σε κοινό έγγραφο. Σημασία έχουν οι σταθερές στήλες που συμπληρώνονται για κάθε γραμμή. Το παρακάτω υπόδειγμα δείχνει τα δημόσια βασικά στοιχεία του PHP2Shell ως σημεία αναφοράς και από κάτω τυπικές δικές σας εγγραφές με κάτοχο θέσης:
| Ώρα (UTC) | Πηγή | Παρατήρηση | Τεκμήριο | Αξιολόγηση |
|---|---|---|---|---|
| 17/10/2026 | δημοσιεύματα του Τύπου | πρώτη παρατηρηθείσα απόπειρα επίθεσης στο PHP2Shell | δημοσίευμα Τύπου | τεκμηριωμένο ως δημοσίευμα |
| 20/10/2026 | php.net | προανακοίνωση των ενημερώσεων ασφαλείας | ανακοίνωση στο php.net | τεκμηριωμένο |
| 21/10/2026, 14:00 | php.net | δημοσίευση των 8.5.12, 8.4.27, 8.3.36, 8.2.35 | ανακοίνωση στο php.net | τεκμηριωμένο |
| δική σας ώρα | Access log | συσσώρευση σφαλμάτων 500 σε κανονικές σελίδες | απόσπασμα log, αριθμός γραμμής | πιθανώς σχετικό |
| δική σας ώρα | σύστημα αρχείων | νέο αρχείο PHP στον φάκελο upload | αντίγραφο με άθροισμα ελέγχου | τεκμηριωμένο, χρόνος αβέβαιος |
| δική σας ώρα | εσωτερική | το περιστατικό εντοπίστηκε, ενημερώθηκε η διοίκηση | email, σημείωση συνομιλίας | τεκμηριωμένο |
| δική σας ώρα | εσωτερική | εφαρμόστηκε η ενημέρωση, επανεκκινήθηκαν όλοι οι workers | log πακέτων, λίστα διεργασιών | τεκμηριωμένο |
Η στήλη της αξιολόγησης είναι το σημαντικότερο μέρος. Ξεχωρίζει ό,τι έχει αποδειχθεί, ό,τι φαίνεται εύλογο και ό,τι παραμένει ανοιχτό. Οι μελλοντικοί αναγνώστες βλέπουν έτσι αμέσως πού στηρίζεται το χρονολόγιο και πού υπάρχουν κενά.
Χρονολόγιο περιστατικού IT: συγχώνευση των πηγών
Οι εγγραφές προέρχονται από πολλές πηγές, καθεμία με δικές της μορφές και ζώνες ώρας. Προχωρήστε με αυτή τη σειρά:
- Καθορισμός ζώνης ώρας: Τηρείτε τα πάντα σε UTC. Η αλλαγή στη χειμερινή ώρα στις 25/10/2026 μετατοπίζει τις γερμανικές τοπικές ώρες κατά μία ώρα μέσα στην εξεταζόμενη περίοδο. Όποιος αναμιγνύει τοπικές ώρες μετατοπίζει γεγονότα εν αγνοία του.
- Έλεγχος ρολογιών: Πήγαινε σωστά το ρολόι του διακομιστή; Η σύγκριση με ένα γνωστό γεγονός, για παράδειγμα τη δική σας σύνδεση, δείχνει αποκλίσεις.
- Πρώτα οι εξωτερικές πηγές: Τα logs από CDN, WAF, πάροχο φιλοξενίας ή firewall βρίσκονται εκτός του διακομιστή και είναι δύσκολο να παραποιηθούν. Αποτελούν τον σκελετό.
- Συμπλήρωση με logs διακομιστή: Διακομιστής ιστού, PHP-FPM, συνδέσεις, journal συστήματος. Τη μεθοδολογία περιγράφει το Αξιολόγηση των logs του διακομιστή ιστού μετά από επίθεση.
- Τοποθέτηση του συστήματος αρχείων: Προσθέστε ως ενδείξεις τις χρονοσημάνσεις νέων και τροποποιημένων αρχείων.
- Καταχώριση εσωτερικών γεγονότων: Πότε αντιληφθήκατε κάτι, ποιος ενημερώθηκε, ποια απόφαση ελήφθη και πότε;
Τι αποκαλύπτουν οι χρονοσημάνσεις αρχείων και τι όχι
Το Linux αποθηκεύει για κάθε αρχείο περισσότερες χρονικές στιγμές, μεταξύ άλλων την τελευταία αλλαγή του περιεχομένου (mtime) και την τελευταία αλλαγή των μεταδεδομένων (ctime). Και οι δύο μπορούν να εμφανιστούν με ανάγνωση, εδώ ως λίστα των αρχείων PHP που άλλαξαν από μια ημερομηνία αναφοράς, ταξινομημένη κατά χρόνο σε UTC:
# Αλλαγές περιεχομένου από τις 17/10/2026, ταξινομημένες, σε UTC
TZ=UTC find /var/www -type f -name '*.php' -newermt '2026-10-17' -printf '%TY-%Tm-%Td %TH:%TM %p\n' | sort
# Όλες οι χρονοσημάνσεις ενός μεμονωμένου αρχείου
TZ=UTC stat /var/www/ihre-website/verdaechtig.php
Εργαστείτε εδώ μόνο σε αντίγραφο ή σε διασφαλισμένο είδωλο, όπως περιγράφεται στο Διασφαλίστε τα αποδεικτικά πριν στήσετε ξανά τον διακομιστή. Λάβετε υπόψη δύο όρια. Πρώτον, ένας επιτιθέμενος μπορεί να επαναφέρει με απλά μέσα την ημερομηνία τροποποίησης ενός αρχείου· ένα αδιάφορο mtime δεν είναι αθώωση. Δεύτερον, οι διαδικασίες αντιγραφής και ορισμένα εργαλεία αλλάζουν τις χρονοσημάνσεις. Γι' αυτό ισχύει: οι χρόνοι αρχείων είναι ενδείξεις, οι εγγραφές logs από έξω είναι τεκμήρια.
Καταχωρίστε τη χρονική στιγμή κατά την οποία η εταιρεία σας έμαθε για μια πιθανή παραβίαση δεδομένων. Σύμφωνα με το άρθρο 33 ΓΚΠΔ, η προθεσμία των 72 ωρών για μια γνωστοποίηση αρχίζει κατ' αρχήν με τη γνώση. Η αξιολόγηση ανήκει στον υπεύθυνο προστασίας δεδομένων ή σε δικηγόρο.
Τυπικά λάθη και πώς τα αποφεύγετε
Τα συχνότερα λάθη δεν είναι εντυπωσιακά. Το χρονολόγιο ανακατασκευάζεται από μνήμης μόνο στο τέλος, αντί να τηρείται διαρκώς. Οι εγγραφές περιέχουν συμπεράσματα αντί για παρατηρήσεις, για παράδειγμα «ο επιτιθέμενος μπήκε από τη φόρμα» αντί για «αίτημα POST στη φόρμα, μετά νέο αρχείο». Και λείπουν τεκμήρια, επειδή κανείς δεν σημείωσε από ποιο αρχείο log και ποια γραμμή προέρχεται μια εγγραφή.
Ορίστε γι' αυτό ένα πρόσωπο που τηρεί το χρονολόγιο και καταχωρίζετε τα γεγονότα μόλις προκύπτουν. Τα συμπεράσματα ανήκουν σε ξεχωριστή στήλη ή στην έκθεση και όχι στην παρατήρηση.
Αντιμετωπίστε επιπλέον το χρονολόγιο ως εμπιστευτικό έγγραφο. Περιέχει συχνά διευθύνσεις IP, ονόματα χρηστών και υποδείξεις για αδυναμίες. Ορίστε ποιος επιτρέπεται να το διαβάζει και να το αλλάζει και φυλάξτε προηγούμενες εκδόσεις. Όταν αλλάζει μια εκτίμηση, για παράδειγμα επειδή εμφανίστηκε ένα νέο απόσπασμα log, η παλιά γραμμή δεν αντικαθίσταται αλλά συμπληρώνεται. Έτσι παραμένει κατανοητό τι ήταν γνωστό σε ποια χρονική στιγμή και με ποια βάση ελήφθησαν οι αποφάσεις.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Τηρούμε το χρονολόγιο από την πρώτη επαφή διαρκώς και σε UTC, με πηγή και τεκμήριο για κάθε εγγραφή.
- Αξιολογούμε από κοινού εξωτερικά logs, logs διακομιστή και σύστημα αρχείων και χαρακτηρίζουμε κάθε δήλωση ως τεκμηριωμένη, πιθανή ή άγνωστη.
- Αν χρειάζεται, αναλαμβάνουμε με εξειδικευμένους συνεργάτες την εγκληματολογική έρευνα IT για αξιολόγηση αξιοποιήσιμη ενώπιον δικαστηρίου.
- Παραδίδουμε το χρονολόγιο ως μέρος μιας έκθεσης για τη διοίκηση, την προστασία δεδομένων και την ασφάλιση.
Συχνές ερωτήσεις
Σε τι μου χρειάζεται ένα χρονολόγιο μετά από περιστατικό ασφαλείας;
Ταξινομεί όλες τις παρατηρήσεις σε μια σειρά και δείχνει πότε βρισκόταν ο επιτιθέμενος στο σύστημα, τι μπορούσε να φτάσει και πότε το μάθατε εσείς. Αυτά τα στοιχεία τα χρειάζονται οι υπεύθυνοι προστασίας δεδομένων, οι ασφαλιστές, οι αρχές και η διοίκηση για τις αποφάσεις τους.
Σε ποια ζώνη ώρας πρέπει να τηρώ το χρονολόγιο;
Ενιαία σε UTC. Οι διακομιστές, οι υπηρεσίες και οι ειδοποιήσεις χρησιμοποιούν διαφορετικές ζώνες ώρας και η αλλαγή στη χειμερινή ώρα στα τέλη Οκτωβρίου μετατοπίζει επιπλέον τις τοπικές ώρες. Όποιος μετατρέπει τα πάντα σε UTC και προσθέτει την τοπική ώρα μόνο ως συμπλήρωμα αποφεύγει λάθη στη σύγκριση.
Μπορώ να βασιστώ στις χρονοσημάνσεις των αρχείων;
Μόνο περιορισμένα. Η ημερομηνία τροποποίησης ενός αρχείου μπορεί να παραποιηθεί με απλά μέσα. Πιο αξιόπιστες είναι οι εγγραφές στα logs, ιδίως σε logs εκτός του επηρεαζόμενου διακομιστή. Οι χρονοσημάνσεις αρχείων είναι ενδείξεις που πρέπει να επιβεβαιώνονται από άλλες πηγές.
Τι ανήκει στο χρονολόγιο εκτός από τα τεχνικά γεγονότα;
Και οι αποφάσεις και η επικοινωνία: πότε αντιληφθήκατε το περιστατικό, ποιος ενημερώθηκε, πότε αποσυνδέθηκε ο διακομιστής από το δίκτυο, πότε εφαρμόστηκε το patch. Ειδικά ο χρόνος της γνώσης είναι σημαντικός για τις προθεσμίες γνωστοποίησης.