# Teadke, mis töötab: kõigi veebisaitide ja serverite inventar

> Kõigi veebisaitide ja serverite IT-inventar: millised andmed sinna kuuluvad, kuidas leida unustatud süsteemid ja kuidas nimekiri püsib ajakohane.

Allikas: https://phpsos.de/et/blog/inventar-websites-server/  
Seis: 25.10.2026  
Pakkuja: PHP SOS, PHP hädaabi ja serveri turvalisus. Kohene abi WhatsAppis: https://wa.me/491736494914?text=Tere%2C%20PHP%20SOS%2C%20vajame%20abi%20oma%20PHP-serveriga.%20Ettev%C3%B5te%3A%20%E2%80%A6%20Veebisait%3A%20%E2%80%A6

**Lühidalt:** Veebiserverite IT-inventar on nimekiri kõigist veebisaitidest, portaalidest, poodidest ja serveritest koos andmetega, mida turvateate korral kohe vaja läheb: kus see töötab, millise PHP versiooni ja töörežiimiga, milline rakendus, kes vastutab ja milliseid andmeid see puudutaks. Ilma selle nimekirjata algab iga reaktsioon otsimisega. Sellega võtab võrdlus PHP2Shelli-sarnase teate korral minuteid, mitte päevi.

## Esimene küsimus oli: kus meil üldse PHP töötab?

Kui PHP projekt avaldas 21.10.2026 paigad ja BSI (Saksamaa föderaalne infoturbeamet) soovitas viivitamatult tegutseda, oli juhis selge: uuendada PHP, taaskäivitada kõik protsessid. Paljude ettevõtete esimene samm ei olnud siiski uuendus, vaid inventuur. Põhiveebisait oli teada. Aga edasimüüjate portaal? Karjäärileht teise pakkuja juures? Kolm aastat tagune kampaanialeht? Sisemine wiki?

Erialaajakirjandus ja mõõtmisteenused on probleemi ulatuse nähtavaks teinud. Palo Alto Networks (Unit 42) luges kokku üle 22,6 miljoni avalikult ligipääsetava, potentsiaalselt haavatava instantsi. Nende hulgas on ilmselt palju süsteeme, mida nende käitajad lihtsalt enam ei mäleta.

## Mis kuulub veebiserverite IT-inventari

Kasutatav inventar on tabel, kus on üks rida veebisaidi või rakenduse kohta. Need veerud on end tõestanud:

| Veerg | Näide | Milleks |
|---|---|---|
| Aadress | shop.naide.ee | üheselt mõistetav seos |
| Otstarve ja tähtsus | e-pood, käibekriitiline | prioriseerimine |
| Veebimajutaja või asukoht | hallatav server pakkuja X juures | kellele helistada |
| Server ja operatsioonisüsteem | vServer, Debian | uuendustee, turvaallikad |
| Veebiserver ja PHP töörežiim | Nginx koos PHP-FPM-iga | risk, nt mod_php |
| PHP versioon ja paketi seis | 8.3, pakett kuupäevaga | võrdlus teadetega |
| Rakendus ja versioon | Shopware, pistikprogrammid | tootja teated |
| Vastutaja sisemine / väline | IT-juht / agentuur Y | kes tegutseb |
| Töödeldavad andmed | kliendikontod, tellimused | teavitamiskohustused, kiireloomulisus |
| Varukoopiad | iga päev, väline, viimati testitud … | taastamine |
| Viimane paigatõend | kuupäev ja tõend | tõendamine kolmandatele isikutele |

Töörežiim väärib erilist tähelepanu. PHP2Shelli puhul hindas PHP meeskond riski kõige suuremaks Apache'i ja mod_php korral. Kes teab, millised süsteemid nii töötavad, saab need esimesena ette võtta. Paketi seisu veerg on oluline, sest kuvatav versiooninumber jääb pärast tagasiportimisi (backport) sageli samaks; juhised leiate artiklist [PHP versiooni ja paigaseisu õige kontroll](https://phpsos.de/et/php2shell/php-version-pruefen/).

## Unustatud süsteemide leidmine: nii toimite

Teadaolevad süsteemid on kiiresti kantud. Tegelik töö on tundmatutega. Neid aitavad leida järgmised allikad:

1. **Domeenid ja DNS:** Käige läbi kõik ettevõtte domeenid ja alamdomeenid. Iga kirje, mis osutab veebiserverile, on kandidaat.
2. **Arved:** Raamatupidamine teab iga veebimajutajat, registripidajat ja pilveteenuse pakkujat, kes raha saab. See on sageli kõige täielikum nimekiri.
3. **Agentuurid ja osakonnad:** Turundus, müük ja personal tellivad veebisaite meelsasti otse. Küsige järele.
4. **Teadaolevad serverid:** Igal serveril näitab seadistus, milliseid veebisaite see tegelikult väljastab.
5. **Veebiliidesega seadmed:** NAS, ruuterid ja seadmed (appliances) toovad osaliselt kaasa oma PHP, vt [PHP NAS-seadmetes, ruuterites ja seadmetes](https://phpsos.de/et/blog/php-auf-nas-und-appliances/).

4. sammu jaoks aitavad Linuxi serverites mõned lugevad käsud. Need näitavad seadistatud veebisaite, PHP teenuseid ja FPM-poole:

```bash
# Seadistatud veebisaidid (Apache või Nginx)
apachectl -S 2>/dev/null
nginx -T 2>/dev/null | grep -E "^\s*server_name" | sort -u
# Töötavad PHP teenused ja protsessid
systemctl list-units --type=service | grep -iE "php|fpm|lsws|litespeed"
ps -eo user,cmd | grep -E "php-fpm|php-cgi|lsphp" | grep -v grep | sort | uniq -c
# FPM-poolid Debianis ja Ubuntus
ls /etc/php/*/fpm/pool.d/ 2>/dev/null
```

Kui serveris töötab kõrvuti mitu PHP versiooni, kuulub igaüks nimekirja. Iga tuleb eraldi uuendada ja taaskäivitada.

> **Näpunäide:**
> Kandke inventari ka süsteemid, mis peaksid tegelikult olema välja lülitatud. Just need töötavad sageli edasi, on aastaid uuendamata ja unustatakse. Kirjega „lülitada välja kuni …“ jääb ülesanne nähtavaks.

## Inventari ajakohasena hoidmine

Inventar on sama hea kui selle viimane uuendus. Kolm reeglit hoiavad selle elus. Esiteks: üks isik vastutab ja teda teavitatakse igast uuest veebisaidist, kolimisest ja väljalülitamisest, ka siis, kui töö teeb agentuur. Teiseks: kord kvartalis võrreldakse nimekirja DNS-i, arvete ja serveri seadistusega. Kolmandaks: inventar on hädaolukorra plaani osa ja see on olemas ka väljaspool ettevõtte enda IT-d, näiteks välja trükituna.

Paljude hajutatud süsteemidega ettevõtetele, näiteks edasimüüjate portaalid, konfiguraatorid ja tarnijate ligipääsud, kirjeldab [IT-turvalisus keskmise suurusega ettevõtetele ja tööstusele](https://phpsos.de/et/branchen/mittelstand-industrie/) tüüpilisi leiukohti. Kuidas inventar hädaolukorra plaani seotakse, selgitab artikkel [Veebiserveri IT-hädaolukorra plaani koostamine](https://phpsos.de/et/compliance/notfallplan-erstellen/).

## Veebiserverite inventari sagedased vead

Paljud inventarid on olemas, kuid ei aita hädaolukorras. Põhjused on sarnased:

- **Ainult serverid, mitte veebisaidid:** Nimekiri nimetab masinaid, kuid mitte seda, millised veebisaidid neil töötavad ja kes neid sisuliselt vastutab. Turvaaugu korral ei tea siis keegi, milline osakond on mõjutatud.
- **Versioon paketi seisu asemel:** „PHP 8.3“ ütleb pärast PHP2Shelli vähe. Alles paketi seis ja kuupäev näitavad, kas parandus on sees.
- **Välised süsteemid puuduvad:** Mis töötab agentuuri või platvormiteenuse juures, jäetakse välja, sest „seal me ei vastuta“. Vastutus andmete eest jääb siiski ettevõttesse.
- **Kontaktisikuid ei ole:** Kirje ilma vastutava isiku nime ja telefoninumbrita kulutab hädaolukorras aega.
- **Ühekordne tegevus:** Inventar koostatakse kriisinädalal ja seejärel ei avata seda enam kunagi. Aasta pärast ei vasta suur osa sellest tegelikkusele.

Kes neid viit punkti väldib, saab järgmise teate korral nimekirja, millega saab tegelikult töötada.

## Kuidas PHP SOS konkreetselt aitab?

- Kaardistame koos teiega kõik veebisaidid ja serverid, ka unustatud, DNS-i, arvete, teenusepakkujate ja serveri seadistuse kaudu.
- Selgitame iga süsteemi kohta töörežiimi, PHP versiooni ja tegeliku paketi seisu.
- Prioriseerime süsteemid ligipääsetavuse, andmete ja töörežiimi järgi ning ütleme, kus tuleb esimesena tegutseda.
- Kus PHP2Shell on veel lahti, sulgeme turvaaugu [PHP2Shelli kiirabi](https://phpsos.de/et/leistungen/php2shell-soforthilfe/) kaudu ja kanname tõendi inventari.

**Kokkuvõte:** Inventar on kõige tagasihoidlikum ja samas kõige tõhusam turvameede. Kes teab, mis töötab, saab järgmise teate korral kohe tegutseda, selle asemel et esmalt otsida.


## Korduma kippuvad küsimused

**Millised andmed peavad veebiserverite inventaris vähemalt olema?**  
Veebisaidi aadress, server või veebimajutaja, PHP töörežiim, PHP versioon koos paketi seisuga, rakendus koos versiooniga, vastutav isik ettevõttes ja väljaspool, töödeldavate andmete liik ning varukoopiate asukoht. Nende andmetega saab iga uue turvateate kiiresti võrrelda.

**Kuidas leida veebisaite, millest keegi enam ei tea?**  
Mitut teed pidi korraga: domeenihaldus ja DNS-tsoonid, veebimajutajate ja registripidajate arved, päringud agentuuridele ja osakondadele ning teadaolevate serverite seadistus. Vanad kampaaniaveebid, testsüsteemid ja alamdomeenid tulevad nii enamasti nähtavale.

**Kes peaks inventari hooldama?**  
Nimetatud isik, tavaliselt IT-s või IT-juhi juures. Oluline on, et iga muudatus veebisaitidel ja serverites tema juurde jõuab, ka siis, kui selle algatab osakond või agentuur.

**Kas piisab tabelist või on vaja tarkvara?**  
Enamikule keskmise suurusega ettevõtetele piisab hästi hooldatud tabelist. Tarkvara tasub, kui paljud süsteemid tuleb automaatselt registreerida. Otsustav on ajakohasus, mitte tööriist.

## Allikad

- [BSI IT-Grundschutz (Saksamaa infoturbe baasstandard)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [php.net: toetatud versioonid](https://www.php.net/supported-versions.php)
- [BSI (Saksamaa föderaalne infoturbeamet)](https://www.bsi.bund.de/)