Lyhyesti: Verkkopalvelinten IT-luettelo on lista kaikista verkkosivustoista, portaaleista, verkkokaupoista ja palvelimista sekä tiedoista, joita tietoturvatiedotteen yhteydessä tarvitaan heti: missä järjestelmä toimii, millä PHP-versiolla ja ajotavalla, mikä sovellus on kyseessä, kuka vastaa ja mitkä tiedot olisivat vaarassa. Ilman listaa jokainen reagointi alkaa etsimisellä. Sen avulla vertailu esimerkiksi PHP2Shellin kaltaisessa tiedotteessa kestää minuutteja päivien sijaan.
Ensimmäinen kysymys oli: missä meillä ylipäätään toimii PHP?
Kun PHP-projekti julkaisi korjaukset 21.10.2026 ja BSI (Saksan liittovaltion tietoturvavirasto) suositteli välittömiä toimia, ohje oli selvä: päivittäkää PHP, käynnistäkää kaikki prosessit uudelleen. Monelle yritykselle ensimmäinen askel ei silti ollut päivitys vaan inventaario. Pääsivusto oli tiedossa. Entä jälleenmyyjäportaali? Toisen palveluntarjoajan urasivu? Kolme vuotta sitten tehdyn kampanjan laskeutumissivu? Sisäinen wiki?
Ammattilehdistö ja mittauspalvelut ovat tuoneet ongelman mittakaavan näkyviin. Palo Alto Networks (Unit 42) laski yli 22,6 miljoonaa verkosta tavoitettavaa, mahdollisesti haavoittuvaa instanssia. Joukossa on todennäköisesti paljon järjestelmiä, joita niiden ylläpitäjät eivät enää yksinkertaisesti muista.
Mitä verkkopalvelinten IT-luetteloon kuuluu
Käyttökelpoinen luettelo on taulukko, jossa on yksi rivi kutakin verkkosivustoa tai sovellusta kohden. Nämä sarakkeet ovat osoittautuneet toimiviksi:
| Sarake | Esimerkki | Mihin tarvitaan |
|---|---|---|
| Osoite | shop.beispiel.de | yksiselitteinen kohdistus |
| Käyttötarkoitus ja merkitys | verkkokauppa, liikevaihdon kannalta kriittinen | tärkeysjärjestys |
| Hosting-yritys tai sijainti | hallinnoitu palvelin toimittajalla X | kenelle soitetaan |
| Palvelin ja käyttöjärjestelmä | virtuaalipalvelin, Debian | päivitystie, tietoturvalähteet |
| Verkkopalvelin ja PHP:n ajotapa | Nginx ja PHP-FPM | riski, esim. mod_php |
| PHP-versio ja paketin tila | 8.3, paketti päivämäärineen | vertailu tiedotteisiin |
| Sovellus ja versio | Shopware, lisäosat | valmistajan tiedotteet |
| Vastuuhenkilö sisäisesti / ulkoisesti | IT-päällikkö / toimisto Y | kuka toimii |
| Käsiteltävät tiedot | asiakastilit, tilaukset | ilmoitusvelvollisuudet, kiireellisyys |
| Varmuuskopiot | päivittäin, ulkoiset, viimeksi testattu … | palautus |
| Viimeisin päivitystodiste | päivämäärä ja todiste | todistus kolmansille osapuolille |
Ajotapa ansaitsee erityistä huomiota. PHP2Shellin kohdalla PHP-tiimi arvioi riskin suurimmaksi Apachella, jossa on mod_php. Joka tietää, mitkä järjestelmät toimivat näin, voi ottaa ne ensimmäisenä työn alle. Paketin tilan sarake on tärkeä, koska näytetty versionumero pysyy backportien jälkeen usein samana. Ohjeita löytyy sivulta PHP-version ja korjaustilan tarkistaminen oikein.
Unohtuneiden järjestelmien löytäminen: toimintatapa
Tunnetut järjestelmät kirjataan nopeasti. Varsinainen työ on tuntemattomissa. Nämä lähteet auttavat löytämään ne:
- Verkkotunnukset ja DNS: Käykää läpi yrityksen kaikki verkkotunnukset ja niiden aliverkkotunnukset. Jokainen verkkopalvelimeen osoittava merkintä on ehdokas.
- Laskut: Kirjanpito tuntee jokaisen hosting-yrityksen, rekisteröijän ja pilvipalvelun, joka saa rahaa. Se on usein kattavin lista.
- Toimistot ja osastot: Markkinointi, myynti ja henkilöstöhallinto tilaavat verkkosivustoja mielellään suoraan. Kysykää.
- Tunnetut palvelimet: Jokaisen palvelimen asetuksista näkee, mitä verkkosivustoja se todellisuudessa tarjoaa.
- Verkkokäyttöliittymällä varustetut laitteet: NAS-laitteet, reitittimet ja appliancet sisältävät joskus oman PHP:nsä, katso PHP NAS-laitteissa, reitittimissä ja appliance-laitteissa.
Vaiheessa 4 auttavat Linux-palvelimilla muutamat lukevat komennot. Ne näyttävät määritetyt verkkosivustot, PHP-palvelut ja FPM-poolit:
# Määritetyt verkkosivustot (Apache tai Nginx)
apachectl -S 2>/dev/null
nginx -T 2>/dev/null | grep -E "^\s*server_name" | sort -u
# Käynnissä olevat PHP-palvelut ja -prosessit
systemctl list-units --type=service | grep -iE "php|fpm|lsws|litespeed"
ps -eo user,cmd | grep -E "php-fpm|php-cgi|lsphp" | grep -v grep | sort | uniq -c
# FPM-poolit Debianissa ja Ubuntussa
ls /etc/php/*/fpm/pool.d/ 2>/dev/null
Jos samalla palvelimella toimii useita PHP-versioita rinnakkain, jokainen kuuluu listaan. Jokainen on päivitettävä ja käynnistettävä uudelleen erikseen.
Kirjatkaa mukaan myös järjestelmät, jotka pitäisi oikeastaan sulkea. Juuri ne toimivat usein yhä, niitä ei ole päivitetty vuosiin ja ne unohtuvat. Merkinnällä ”suljettava viimeistään …” tehtävä pysyy näkyvillä.
Luettelon pitäminen ajan tasalla
Luettelo on yhtä hyvä kuin sen viimeisin päivitys. Kolme sääntöä pitää sen elävänä. Ensimmäinen: yksi henkilö vastaa luettelosta, ja hänelle ilmoitetaan jokaisesta uudesta verkkosivustosta, muutosta ja sulkemisesta, vaikka työn tekisi toimisto. Toinen: kerran neljänneksessä lista täsmäytetään DNS:n, laskujen ja palvelinasetusten kanssa. Kolmas: luettelo on osa hätäsuunnitelmaa, ja sitä säilytetään myös oman IT:n ulkopuolella, esimerkiksi tulostettuna.
Yrityksille, joilla on paljon hajautettuja järjestelmiä, kuten jälleenmyyjäportaaleja, konfiguraattoreita ja toimittajien käyttöoikeuksia, sivu Keskisuurten yritysten ja teollisuuden tietoturva kuvaa tyypilliset löytöpaikat. Miten luettelo liitetään hätäsuunnitelmaan, selviää sivulta IT-hätäsuunnitelman laatiminen verkkopalvelimille.
Yleisiä virheitä verkkopalvelinten luettelossa
Monta luetteloa on olemassa, mutta ne eivät auta hätätilanteessa. Syyt muistuttavat toisiaan:
- Vain palvelimia, ei verkkosivustoja: Lista mainitsee koneet, mutta ei sitä, mitä verkkosivustoja niillä toimii ja kuka niistä sisällöllisesti vastaa. Aukon ilmetessä kukaan ei tiedä, mitä osastoa asia koskee.
- Versio paketin tilan sijaan: ”PHP 8.3” kertoo PHP2Shellin jälkeen vähän. Vasta paketin tila ja päivämäärä osoittavat, sisältyykö korjaus.
- Ulkoiset järjestelmät puuttuvat: Toimistolla tai alustapalvelussa toimivat järjestelmät jätetään pois, koska ”emme vastaa niistä”. Vastuu tiedoista pysyy silti talon sisällä.
- Ei yhteyshenkilöitä: Merkintä ilman vastuutahon nimeä ja puhelinnumeroa hukkaa aikaa hätätilanteessa.
- Kertaluonteinen toimi: Luettelo tehdään kriisiviikolla eikä sitä avata enää koskaan. Vuoden kuluttua hyvä osa tiedoista ei pidä paikkaansa.
Joka välttää nämä viisi kohtaa, saa seuraavaan tiedotteeseen listan, jolla voi todella työskennellä.
Miten PHP SOS auttaa konkreettisesti?
- Kirjaamme kanssanne yhdessä kaikki verkkosivustot ja palvelimet, myös unohtuneet, DNS:n, laskujen, palveluntarjoajien ja palvelinasetusten avulla.
- Selvitämme jokaisesta järjestelmästä ajotavan, PHP-version ja todellisen paketin tilan.
- Priorisoimme järjestelmät tavoitettavuuden, tietojen ja ajotavan mukaan ja kerromme, missä on toimittava ensin.
- Missä PHP2Shell on yhä avoinna, suljemme aukon PHP2Shell-pikaavun kautta ja kirjaamme todisteen luetteloon.
Yhteenveto: Luettelo on vaatimattomin ja samalla tehokkain tietoturvatoimenpide. Joka tietää, mitä on käytössä, voi toimia seuraavan tiedotteen tullessa heti ilman etsimistä.
Usein kysytyt kysymykset
Mitä tietoja verkkopalvelinten luettelossa vähintään tarvitaan?
Verkkosivuston osoite, palvelin tai hosting-yritys, PHP:n ajotapa, PHP-versio ja paketin tila, sovellus ja sen versio, vastuuhenkilö sisäisesti ja ulkoisesti, käsiteltävien tietojen laji ja varmuuskopioiden sijainti. Näillä tiedoilla jokainen uusi tietoturvatiedote on helppo verrata luetteloon.
Miten löydän verkkosivustot, joista kukaan ei enää tiedä?
Usealla tavalla yhtä aikaa: verkkotunnusten hallinnasta ja DNS-vyöhykkeistä, hosting-yritysten ja rekisteröijien laskuista, kysymällä toimistoilta ja osastoilta sekä tunnettujen palvelinten asetuksista. Vanhat kampanjasivut, testijärjestelmät ja aliverkkotunnukset löytyvät näin yleensä.
Kenen pitäisi ylläpitää luetteloa?
Nimetyn henkilön, yleensä IT:ssä tai IT-päällikön tiimissä. Tärkeää on, että jokaisesta verkkosivustoja ja palvelimia koskevasta muutoksesta ilmoitetaan sinne, vaikka sen olisi tilannut osasto tai toimisto.
Riittääkö taulukko vai tarvitaanko ohjelmisto?
Useimmille keskisuurille yrityksille hyvin ylläpidetty taulukko riittää. Ohjelmisto kannattaa, jos monia järjestelmiä halutaan kirjata automaattisesti. Ratkaisevaa on ajantasaisuus, ei työkalu.