Lyhyesti: Palvelimen IT-forensiikka vastaa kysymykseen, mitä hyökkäyksessä todella tapahtui: milloin, miten ja millä seurauksilla. Turvaamme yhdessä erikoistuneiden forensiikkakumppanien kanssa jäljet todistusvoimaisesti, analysoimme lokit, tiedostojärjestelmät ja tietokannat ja toimitamme jäljitettävän raportin. Se toimii perustana ilmoituksille, vakuutukselle ja tarvittaessa rikostutkinnalle.
Milloin tarvitsette IT-forensiikkaa palvelimellenne
Kaikki poikkeamat eivät tarvitse forensista tutkimusta. Se on järkevää etenkin silloin, kun henkilötiedot, maksutiedot tai liikesalaisuudet voivat olla vaarantuneet, kun rikosilmoitus tai oikeudenkäynti on näköpiirissä tai kun vakuutusyhtiö odottaa luotettavaa todistetta. Myös kysymyksessä siitä, tarvitaanko ilmoitus valvontaviranomaiselle, todennetut tosiasiat auttavat enemmän kuin oletukset.
PHP2Shellin jälkeen mukaan tulee erityinen seikka. Haavoittuvuudet CVE-2026-109618 ja CVE-2026-109619 sallivat koodin suorittamisen ilman kirjautumista, eikä vahvistettuja, julkaistuja Indicators of Compromise -tunnisteita ole. Oliko palvelin kohteena, ei siksi voi rastittaa tarkistuslistalta vaan vain käyttäytymisanalyysilla: mitkä prosessit olivat käynnissä, mitä tiedostoja syntyi, mihin yhteydet menivät ulos? Ensimmäisiä vihjeitä antaa sivu Onko minuun jo murtauduttu?.
Mikä erottaa forensiikan nopeasta puhdistuksesta
Puhdistus pyrkii tekemään palvelimesta jälleen puhtaan. Forensiikka pyrkii ymmärtämään ja todistamaan. Toinen kysymys kuuluu „Onko palvelin taas turvallinen?“, toinen „Mitä tarkalleen tapahtui ja mitkä tiedot olivat tavoitettavissa?“. Ilmoitusten, vakuutuksen ja asiakastiedotuksen kannalta ratkaiseva on yleensä jälkimmäinen kysymys. Molemmat sopivat yhteen, kun järjestys on oikea: ensin turvaa, sitten muuta. Joka poistaa, korjaa tai käynnistää uudelleen ensin, menettää katoavat jäljet eikä myöhemmin useinkaan voi osoittaa, mitä hyökkääjä on nähnyt.
Säilyttäkää kaikki palvelinlokit 20.10.2026 alkaen ja pyytäkää hosting-yritystänne olemaan kierrättämättä tai poistamatta pöytäkirjoja. Puuttuvat lokit ovat yleisin syy raportin avoimiin kysymyksiin.
Mitkä jäljet PHP-verkkopalvelimella ovat merkityksellisiä
Tyypillisellä verkkopalvelimella on enemmän jälkiä kuin moni ylläpitäjä arvaa. Se, ovatko ne käyttökelpoisia, riippuu siitä, kuinka kauan ne säilytetään ja onko ne turvattu ennen väliintuloa.
- Käyttö- ja virhelokit verkkopalvelimelta ja PHP-FPM:stä, mukaan lukien kaatuneet workerit
- Tiedostojärjestelmä: uudet tai muuttuneet tiedostot, niiden aikaleimat ja omistajat, suoritettava koodi latauskansioissa
- Tietokanta: uudet käyttäjätilit, muuttuneet asetukset, lisätyt sisällöt
- Järjestelmä: cron-tehtävät, käyttäjät, SSH-avaimet, kirjautumispöytäkirjat, käynnissä olevat prosessit ja verkkoyhteydet
- Edeltävät järjestelmät: CDN:n, WAF:n, palomuurin, kuormantasaajan ja sähköpostipalvelimen lokit
Juuri edeltävät järjestelmät unohtuvat usein. Ne sijaitsevat verkkopalvelimen ulkopuolella, joten hyökkääjän on vaikeampi manipuloida niitä. Joillakin palveluntarjoajilla niitä säilytetään vain lyhyen aikaa, joten ne kannattaa viedä ulos ajoissa.
Miten PHP SOS auttaa konkreettisesti?
- Toimeksiannon selvitys: Sovimme kanssanne, mihin kysymyksiin vastataan, esimerkiksi sisäänkäynti, ajanjakso, vaarantuneet tiedot tai eteneminen verkossa. Siitä seuraa, mitä järjestelmiä tutkitaan.
- Todistusvoimainen turvaaminen: Me ja erikoistuneet kumppanimme teemme kopiot levyistä, lokeista, tietokannoista ja mahdollisuuksien mukaan työmuistista. Jokainen kopio saa tarkistussumman ja jokainen luovutus dokumentoidaan.
- Analyysi: Analysoimme käyttö- ja virhelokit, tiedostomuutokset, käyttäjätilit, cron-tehtävät, prosessit ja lähtevät yhteydet. Lokien menetelmät kuvataan sivulla Verkkopalvelimen lokien analysointi hyökkäyksen jälkeen.
- Aikajanan laatiminen: Löydöistä syntyy poikkeaman aikajana, jossa jokainen väite viittaa konkreettiseen todisteeseen.
- Raportin luovutus: Saatte teknisen raportin ja ymmärrettävän yhteenvedon johdolle.
Mitä saatte ja mitä tarvitsemme
Raportti sisältää turvatut todisteet tarkistussummineen, luovutusketjun dokumentaation, aikajanan, selvitetyn tai todennäköisen sisäänkäynnin, vaarantuneet järjestelmät ja tietolajit sekä suositukset. Jokainen väite on merkitty todennetuksi, todennäköiseksi tai tuntemattomaksi.
Tarvitsemme teiltä:
- pääsyn vaarantuneisiin järjestelmiin tai luvan, että hosting-yrityksenne toimittaa meille kopiot
- päätösvaltaisen henkilön, joka määrittää laajuuden ja tärkeysjärjestyksen
- tietoja järjestelmäympäristöstä, palveluntarjoajista ja viime viikkojen tunnetuista muutoksista
- olemassa olevat pöytäkirjat, myös palomuureista, CDN:stä, WAF:sta tai sähköpostipalvelimilta
- tiedon, onko vakuutusyhtiö, poliisi tai lakimies jo mukana
Jos haluatte tehdä rikosilmoituksen, vihjeitä löytyy sivulta Rikosilmoituksen tekeminen: Zentrale Ansprechstellen Cybercrime. Mitä vakuutusyhtiöt tyypillisesti odottavat vahinkotapauksessa, selittää sivu Kybervakuutus: mikä merkitsee vahinkotapauksessa.
Mitä emme lupaa
Forensiikka voi analysoida vain sen, mitä jälkiä on olemassa. Jos lokit puuttuvat, on ylikirjoitettu tai hyökkääjä on manipuloinut niitä, jää aukkoja, ja nimeämme ne. Emme lupaa, että tuomioistuin arvioi tuloksiamme tietyllä tavalla, emmekä anna oikeudellista arviota. Emme nimeä tekijöitä vaan kuvaamme, mitä jäljet osoittavat. Myös väitteitä kuten „tietoja ei varmasti ole valunut ulos“ esitämme vain, jos todisteet sen kantavat.
Jos hyökkäys on yhä käynnissä, rajaaminen on etusijalla. Silloin aloitamme incident responsella ja turvaamme samalla mahdollisimman paljon jälkiä.
Usein kysytyt kysymykset
Mitä oikeuskelpoinen todisteiden turvaaminen tarkoittaa?
Jäljet turvataan niin, että myöhemmin voidaan osoittaa niiden olevan muuttumattomia. Siihen kuuluvat tarkistussummat, dokumentoitu luovutusketju ja työskentely kopioilla alkuperäisen sijaan. Hyväksyykö tuomioistuin todisteen, ratkaisee kuitenkin tuomioistuin.
Voiko IT-forensiikka selvittää, ovatko asiakastiedot valuneet ulos?
Usein voidaan rajata, mihin tietoihin hyökkääjällä oli pääsy ja onko viitteitä tietojen ulosvirtaamisesta. Varmaa poissulkemista ei aina voi tehdä, erityisesti jos lokeja puuttuu. Tulos jaetaan siksi todennettuun, todennäköiseen ja tuntemattomaan.
Kuinka kauan lokeja on säilytettävä?
Selvittämistä varten mahdollisimman pitkään, ainakin kunnes tutkimus on päättynyt. PHP2Shellin osalta ammattilehdistö neuvoo säilyttämään palvelinlokit 20.10.2026 alkaen. Lakisääteisistä säilytys- ja poistovelvollisuuksista sopikaa tietosuojavastaavanne kanssa.
Saanko käynnistää palvelimen uudelleen tai korjata sen ennen forensiikkaa?
Uudelleenkäynnistys poistaa työmuistin katoavat jäljet, korjaus muuttaa tiedostoja. Jos voitte, turvatkaa ensin tai puhukaa lyhyesti kanssamme. Jos vaara on akuutti, rajaaminen on etusijalla, ja se dokumentoidaan.