Lyhyesti: Ennen kuin asennatte vaarantuneen palvelimen uudelleen, varmistakaa todisteet katoavuusjärjestyksessä: ensin prosessit, yhteydet ja kirjautuneet käyttäjät, sitten lokit ja asetukset, sitten täydellinen järjestelmän levykuva ja ylävirran palveluiden tiedot. Jokaiselle varmistukselle lasketaan tarkistussumma, ja se tallennetaan palvelimen ulkopuolelle. Palvelin irrotetaan tätä varten verkosta mutta ei sammuteta.
Refleksi asentaa heti uudelleen
Joka huomaa murron, haluaa lopettaa sen mahdollisimman nopeasti. Tuore järjestelmä, puhtaasti asennettu, uusilla salasanoilla: se tuntuu hallinnalta. Teknisesti uudelleenrakennus on usein myös oikea tie, etenkin jos hyökkääjällä oli root-oikeudet.
Ongelma on ajoitus. Vanhan järjestelmän mukana katoavat kaikki vastaukset kysymyksiin, joita esitetään seuraavina päivinä. Minkä aukon kautta hyökkääjä tuli? Kuinka kauan hän oli järjestelmässä? Pääsikö hän asiakastietoihin? Onko viereinen tietokantapalvelin myös vaikutuksen alainen? Ilman jälkiä jäävät vain arvaukset, eivätkä ne auta tietosuojassa eivätkä vakuutuksessa.
PHP2Shellin jälkeen tulee vielä erityinen seikka: julkaistuja, vahvistettuja Indicators of Compromise -tunnisteita ei ole. Se, oliko palvelin vaikutuksen alainen ja miten, voidaan päätellä vain käyttäytymisestä, eli juuri niistä jäljistä, jotka ennenaikainen uudelleenrakennus pyyhkii pois. Ammattilehdistö neuvoo säilyttämään palvelinlokit 20.10.2026 alkaen.
Todisteiden varmistus palvelimelta: järjestys ratkaisee
Jäljet katoavat eri tahdissa. Työmuistissa oleva häviää seuraavassa uudelleenkäynnistyksessä. Lokit säilyvät pidempään, mutta niitä kierrätetään. Ylävirran palveluiden tiedot katoavat niiden omien määräaikojen mukaan. Tästä syntyy järjestys:
| Jälki | Katoavuus | Miten varmistetaan |
|---|---|---|
| Prosessit, verkkoyhteydet, kirjautuneet käyttäjät | häviää uudelleenkäynnistyksessä | kirjoittakaa järjestelmäkomentojen tulosteet tiedostoihin |
| Työmuisti | häviää uudelleenkäynnistyksessä | vain erikoistyökalulla, rikosteknisten asiantuntijoiden tehtävä |
Väliaikaiset tiedostot hakemistoissa /tmp tai /dev/shm |
usein poistetaan uudelleenkäynnistyksessä | kopioikaa suorittamatta |
| Verkkopalvelimen, PHP:n ja järjestelmän lokit | kierrätetään | kopioikaa kokonaan, pysäyttäkää kierrätys |
| Tiedostojärjestelmä ja tietokanta | vakaa uudelleenasennukseen asti | tilannevedos tai levykuva, tietokannan vienti |
| CDN, WAF, palomuuri, hosting-palveluntarjoaja | säilytys palveluntarjoajan määräaikojen mukaan | pyytäkää vienti, antakaa vahvistaa kirjallisesti |
Työmuistin varmistatte vain, jos käytettävissä on sopivan työkalun ja kokemuksen omaava henkilö. Järjestelmissä, joissa on arkaluonteisia tietoja tai jossa oikeusriita on todennäköinen, tämän pitäisi olla IT-rikostekniikan tehtävä.
Katoavat tiedot talteen muutamassa minuutissa
Seuraavat komennot eivät muuta järjestelmää. Ne kirjoittavat nykytilan tiedostoihin, jotka varmistetaan sen jälkeen palvelimen ulkopuolelle. Luokaa kohdehakemisto mieluiten liitetylle, erilliselle levylle:
ZIEL=/mnt/sicherung/fall-$(date -u +%Y%m%dT%H%MZ)
mkdir -p "$ZIEL"
date -u > "$ZIEL/zeitpunkt-utc.txt"
ps auxwwf > "$ZIEL/prozesse.txt"
ss -tunap > "$ZIEL/verbindungen.txt"
who -a > "$ZIEL/angemeldet.txt"
last -F > "$ZIEL/anmeldungen.txt"
ip addr > "$ZIEL/netz.txt"; ip route >> "$ZIEL/netz.txt"
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done > "$ZIEL/cronjobs.txt"
sha256sum "$ZIEL"/* > "$ZIEL.sha256"
Miten varmistatte lokit sen jälkeen kokonaan ja arvioitte ne, kuvaa opas Verkkopalvelimen lokien analysointi hyökkäyksen jälkeen. Virtuaalipalvelimilla tilannevedos palveluntarjoajan hallinnan kautta on helpoin tie täydelliseen levykuvaan. Se tallentaa järjestelmän ilman, että teidän tarvitsee käynnistää lisätyökaluja vaarantuneella palvelimella.
Jotta varmistuksella on myöhemmin arvoa
Varmistus on vain niin hyvä kuin sen todistus. Kolme sääntöä tekee siitä kestävän:
- Tarkistussummat: Jokaiselle varmistetulle tiedostolle lasketaan SHA-256-tarkistussumma. Sen avulla voidaan myöhemmin osoittaa, että kopio on muuttumaton.
- Pöytäkirja: Kuka varmisti mitä, milloin, millä komennolla ja minne? Jokainen luovutus kolmansille kirjataan. Asiantuntijat kutsuvat tätä todistusketjuksi.
- Erillinen säilytys: Kopioiden kuuluu olla järjestelmässä, johon hyökkääjällä ei ollut pääsyä, ja niitä käytetään jatkossa vain lukien.
Työskennelkää tämän jälkeen vain kopioilla. Jokainen analyysi alkuperäisellä muuttaa aikaleimoja ja voi ylikirjoittaa jälkiä. Älkää koskaan suorittako epäilyttäviä tiedostoja älkääkä avatko niitä selaimessa.
Pyytäkää CDN:n, WAF:n ja hosting-palveluntarjoajan lokit ajoissa. Nämä tiedot ovat palvelimenne ulkopuolella, ja hyökkääjän on vaikea manipuloida niitä, mutta niitä säilytetään usein vain lyhyen aikaa.
Mikä tuhoaa todistusaineiston
Monet jäljet eivät katoa hyökkääjän vaan hyvää tarkoittavan ensiavun takia. Näistä toimista on pidättäydyttävä ennen varmistusta:
- Uudelleenkäynnistys tai sammutus: Prosessit, yhteydet ja työmuisti ovat sen jälkeen poissa.
- Virustorjunta automaattisella poistolla: Se poistaa tiedostoja ennen kuin kukaan on varmistanut niitä, ja muuttaa aikaleimoja.
- Lokien tai väliaikaishakemistojen siivous: Vaikka tila olisi vähissä, kopioikaa ensin ja poistakaa vasta sitten.
- Uusien työkalujen asennus internetistä palvelimelle: Jokainen asennus kirjoittaa tiedostojärjestelmään ja voi peittää jälkiä.
- Kirjautuminen etuoikeutetuilla tunnuksilla ilman pakottavaa tarvetta: Jos palvelimella pyörii yhä haittakoodia, syötetyt salasanat voidaan lukea.
Juuri vakuutusyhtiöt kysyvät myöhemmin, mitä varmistettiin ja milloin. Tyypillisistä velvollisuuksista kertoo kirjoitus Kyberturvavakuutus: mikä vahinkotilanteessa ratkaisee.
Punninta: kuinka paljon aikaa varmistukseen on
Kaikki tapaukset eivät salli pitkää varmistusta. Jos tietovuoto on parhaillaan käynnissä tai kävijöihin kohdistuu hyökkäys, eristäminen on etusijalla. Verkosta irrottaminen järjestelmän ollessa käynnissä yhdistää molemmat: hyökkääjä menettää pääsyn, jäljet säilyvät. Useimmilla verkkopalvelimilla riittää sen jälkeen hallittavissa oleva aika katoaville tiedoille ja tilannevedokselle.
Tehkää päätös tietoisesti ja kirjatkaa se: kuka päätti, milloin asennetaan uudelleen, ja mitä varmistettiin ensin? Tämä muistio on myöhemmin osa tapauksen aikajanaa. Onko uudelleenrakennus vai puhdistus oikea tie, valottaa kirjoitus Palvelimen uudelleenasennus vai puhdistus?.
Miten PHP SOS auttaa konkreettisesti?
- Varmistamme katoavat tiedot, lokit ja järjestelmäkuvat oikeassa järjestyksessä tarkistussummin ja pöytäkirjan kanssa.
- Pyydämme ylävirran palveluiden tiedot, ennen kuin niiden säilytysajat umpeutuvat.
- Tarvittaessa hoidamme rikosteknisen varmistuksen ja arvioinnin erikoistuneiden kumppanien kanssa.
- Vasta sen jälkeen rakennamme palvelimen uudelleen, suljemme sisäänpääsyn ja dokumentoimme tapauksen, kunnes se on päätetty.
Usein kysytyt kysymykset
Miksi todisteet kannattaa varmistaa ennen uudelleenasennusta?
Koska vain jäljet kertovat, miten hyökkääjä pääsi sisään, kuinka kauan hän oli järjestelmässä ja mihin tietoihin hän pääsi käsiksi. Tarvitsette nämä vastaukset tietosuojaa ja vakuutusta varten sekä arvioidessanne, ovatko muutkin järjestelmät vaikutuksen alaisia. Uudelleenrakennuksen jälkeen ne ovat kadonneet.
Mikä varmistuksessa on kiireellisintä?
Katoavat tiedot, kuten käynnissä olevat prosessit, verkkoyhteydet ja kirjautuneet käyttäjät, häviävät sammutettaessa. Ne tallennetaan ensin. Sen jälkeen tulevat lokit, järjestelmän levykuva ja ylävirran palveluiden tiedot.
Riittääkö tavallinen varmuuskopio todisteiden varmistukseksi?
Yleensä ei. Monet varmuuskopiot eivät sisällä lokeja, järjestelmätiedostoja eivätkä metatietoja, kuten aikaleimoja ja omistajia. Todisteiden varmistukseen tarvitsette täydellisen, muuttumattoman kopion tarkistussummalla, mieluiten tilannevedoksen tai levykuvan.
Saanko irrottaa palvelimen verkosta ennen varmistusta?
Kyllä, jos se jää päälle. Verkosta irrottaminen pysäyttää tietovuodon ja etäohjauksen tuhoamatta katoavia jälkiä. Uudelleenkäynnistys tai sammutus sen sijaan tyhjentää työmuistin ja käynnissä olevat prosessit.