Lühidalt: IT-forensika serverile vastab küsimusele, mis rünnakul tegelikult juhtus: millal, kuidas, millised tagajärjed. Koos spetsialiseerunud forensikapartneritega kindlustame jäljed tõendatavalt, analüüsime logisid, failisüsteeme ja andmebaase ning anname jälgitava aruande. See on aluseks teavitamisele, kindlustusele ja vajaduse korral süüdistuse esitamisele.
Millal vajate oma serverile IT-forensikat
Mitte iga intsident ei vaja forensilist uuringut. Mõistlik on see eelkõige siis, kui võivad olla mõjutatud isikuandmed, makseandmed või ärisaladused, kui avaldus või kohtuvaidlus on ette näha või kui kindlustaja ootab töökindlat tõendit. Ka küsimuses, kas järelevalveasutusele on vaja teavitada, aitavad tõendatud faktid rohkem kui oletused.
Pärast PHP2Shelli lisandub eriline punkt. Turvaaugud CVE-2026-109618 ja CVE-2026-109619 lubavad koodi käivitada ilma sisselogimata ning avaldatud, kinnitatud kompromiteerimisnäitajaid (Indicators of Compromise) pole. Kas server oli mõjutatud, ei saa seetõttu kontrollnimekirjaga ära märkida, vaid ainult käitumisanalüüsiga: millised protsessid töötasid, millised failid tekkisid, millised ühendused väljapoole läksid? Esimesi tugipunkte annab Kas ma olen juba kompromiteeritud?.
Mille poolest erineb forensika kiirest puhastamisest
Puhastamine tahab serveri uuesti puhtaks teha. Forensika tahab mõista ja tõendada. Üks küsimus on „Kas server on jälle turvaline?“, teine „Mis täpselt juhtus ja millised andmed olid ligipääsetavad?“. Teavituste, kindlustuse ja kliendiinfo jaoks on tavaliselt otsustav teine küsimus. Mõlemad sobivad kokku, kui järjekord on õige: kõigepealt kindlustada, siis muuta. Kes kõigepealt kustutab, paigab või taaskäivitab, kaotab lenduvad jäljed ega saa hiljem sageli enam näidata, mida ründaja nägi.
Hoidke kõik serveri logid alates 20.10.2026 alles ja paluge oma veebimajutajal protokolle mitte rotatsioonida ega kustutada. Puuduvad logid on aruandes lahtiste küsimuste kõige sagedasem põhjus.
Millised jäljed PHP veebiserveris loevad
Tavalises veebiserveris on rohkem jälgi, kui paljud haldajad arvavad. Kas need on kasutatavad, sõltub sellest, kui kaua neid säilitatakse ja kas need kindlustati enne sekkumist.
- Juurdepääsu- ja vealogid veebiserverist ja PHP-FPM-ist, kaasa arvatud kokku jooksnud tööprotsessid
- Failisüsteem: uued või muudetud failid, nende ajatemplid ja omanikud, käivitatav kood üleslaadimiskaustades
- Andmebaas: uued kasutajakontod, muudetud sätted, sisse toodud sisu
- Süsteem: cron-tööd, kasutajad, SSH võtmed, sisselogimisprotokollid, töötavad protsessid ja võrguühendused
- Eelnevad süsteemid: CDN-i, WAF-i, tulemüüri, koormusjaoturi ja e-posti serveri protokollid
Just eelnevad süsteemid ununevad sageli. Need asuvad väljaspool veebiserverit ja on seetõttu ründajal raskemini manipuleeritavad. Mõnel pakkujal hoitakse neid vaid lühikest aega, seetõttu peaksite need varakult eksportima.
Kuidas PHP SOS konkreetselt aitab?
- Tellimuse selgitamine: Lepime teiega kokku, millistele küsimustele tuleb vastata, näiteks sissepääs, ajavahemik, mõjutatud andmed või edasiliikumine võrgus. Sellest selgub, milliseid süsteeme uuritakse.
- Tõendatav kindlustamine: Meie ja meie spetsialiseerunud partnerid teevad koopiaid andmekandjatest, logidest, andmebaasidest ja, kus võimalik, töömälust. Iga kindlustus saab kontrollsumma, iga üleandmine dokumenteeritakse.
- Analüüs: Analüüsime juurdepääsu- ja vealogisid, failimuudatusi, kasutajakontosid, cron-töid, protsesse ja väljaminevaid ühendusi. Logide metoodikat kirjeldab Veebiserveri logide analüüs pärast rünnakut.
- Ajajoone koostamine: Leidudest tekib intsidendi ajajoon, kus iga väide viitab konkreetsele tõendile.
- Aruande üleandmine: Saate tehnilise aruande ja arusaadava kokkuvõtte juhtkonnale.
Mida te saate ja mida me vajame
Aruanne sisaldab kindlustatud tõendeid kontrollsummadega, üleandmise ahela dokumentatsiooni, ajajoont, kindlaks tehtud või tõenäolist sissepääsu, mõjutatud süsteeme ja andmeliike ning soovitusi. Iga väide on märgitud kui tõendatud, tõenäoline või teadmata.
Teilt vajame:
- ligipääsu mõjutatud süsteemidele või nõusolekut, et teie veebimajutaja annab meile koopiad
- otsustusõigusega isikut, kes määrab ulatuse ja prioriteedid
- teavet süsteemimaastiku, teenusepakkujate ja viimaste nädalate teadaolevate muudatuste kohta
- olemasolevaid protokolle, ka tulemüüridest, CDN-ist, WAF-ist või e-posti serveritest
- teavet selle kohta, kas kindlustaja, politsei või advokaat on juba kaasatud
Kui soovite avalduse esitada, leiate näpunäiteid lehelt Avalduse esitamine: küberkuritegevuse kesksed kontaktpunktid. Mida kindlustajad kahjujuhtumi korral tavaliselt ootavad, selgitab Küberkindlustus: mis loeb kahjujuhtumi korral.
Mida me ei luba
Forensika saab analüüsida ainult seda, mis jälgedest olemas on. Kui logid puuduvad, on üle kirjutatud või ründaja on neid manipuleerinud, jäävad lüngad ja neid me nimetame. Me ei luba, et kohus meie tulemusi teatud viisil hindab, ega anna õiguslikku hinnangut. Me ei nimeta süüdlasi, vaid kirjeldame, mida jäljed näitavad. Ka väiteid nagu „kindlasti pole andmeid välja voolanud“ teeme ainult siis, kui tõendid seda kannavad.
Kui rünnak veel kestab, on piiramisel eelis. Siis alustame intsidendile reageerimisega (Incident Response) ja kindlustame paralleelselt nii palju jälgi kui võimalik.
Korduma kippuvad küsimused
Mida tähendab kohtus kasutatav tõendite kindlustamine?
Jäljed kindlustatakse nii, et hiljem on võimalik tõendada nende muutumatust. Siia kuuluvad kontrollsummad, dokumenteeritud üleandmise ahel ja töö koopiatega originaali asemel. Kas kohus tõendit kasutab, otsustab siiski kohus.
Kas IT-forensika saab selgitada, kas kliendiandmed on välja voolanud?
Sageli saab piiritleda, millistele andmetele oli ründajal ligipääs ja kas on viiteid väljavoolule. Kindel välistamine ei ole alati võimalik, eriti kui logid puuduvad. Tulemus eristatakse seetõttu tõendatud, tõenäoline ja teadmata.
Kui kaua tuleb logisid säilitada?
Selgitamiseks nii kaua kui võimalik, vähemalt kuni uuring on lõpetatud. PHP2Shelli puhul soovitab erialaajakirjandus hoida serveri logisid alates 20.10.2026. Õiguslikud säilitamis- ja kustutamiskohustused selgitage välja oma andmekaitsespetsialistiga.
Kas tohin serveri enne forensikat uuesti käivitada või paikata?
Taaskäivitus kustutab töömälus lenduvad jäljed, paik muudab faile. Kui saate, kindlustage kõigepealt või rääkige meiega lühidalt. Kui oht on äge, on piiramisel eelis ja seda dokumenteeritakse.