Ukratko: Vremenska crta IT incidenta kronološki poredava sva opažanja, odluke i mjere u jedinstvenoj vremenskoj zoni, idealno UTC. Svaki redak navodi izvor, opažanje, dokaz i ocjenu kao dokazano, vjerojatno ili nepoznato. Tako nastaje razumljiva slika o tome kada je napadač bio u sustavu, što je mogao postići i kada ste Vi za to saznali.
Zašto na kraju svi pitaju kada
Nakon incidenta pitanja stižu sa svih strana. Službenik za zaštitu podataka želi znati otkad su osobni podaci bili dostupni. Osiguravatelj pita kada je šteta otkrivena i prijavljena. Uprava želi znati je li ranjivost bila otvorena već prije posljednjeg ažuriranja. Sva ta pitanja imaju nešto zajedničko: vrte se oko trenutaka.
Bez vremenske crte svatko na ta pitanja odgovara po sjećanju i odgovori si proturječe. S uredno vođenom vremenskom crtom postoji zajednička osnova na koju se pozivaju svi sudionici. Ona je ujedno kostur završnog izvješća.
Kod PHP2Shella vremenska je crta osobito informativna jer su javni ključni podaci dobro dokumentirani. Mogu se postaviti kao sidrišne točke uz vlastita opažanja. Potpuni slijed javnih događaja opisuje vodič PHP2Shell: kronologija.
Struktura: koje stupce vremenska crta treba
Dovoljna je tablica, bilo u proračunskoj tablici ili zajedničkom dokumentu. Važni su fiksni stupci koji se popunjavaju za svaki redak. Sljedeći uzorak pokazuje javne ključne podatke o PHP2Shellu kao sidra, a ispod njih tipične vlastite unose u obliku rezerviranih mjesta:
| Vrijeme (UTC) | Izvor | Opažanje | Dokaz | Ocjena |
|---|---|---|---|---|
| 17. 10. 2026. | izvješća medija | prvi opaženi pokušaj napada na PHP2Shell | novinsko izvješće | dokazano kao izvješće medija |
| 20. 10. 2026. | php.net | prethodna najava sigurnosnih ažuriranja | obavijest na php.net | dokazano |
| 21. 10. 2026., 14:00 | php.net | objava 8.5.12, 8.4.27, 8.3.36, 8.2.35 | obavijest na php.net | dokazano |
| vlastito vrijeme | access zapisnik | nagomilavanje pogrešaka 500 na običnim stranicama | izvadak iz zapisnika, broj retka | vjerojatno relevantno |
| vlastito vrijeme | datotečni sustav | nova PHP datoteka u mapi za prijenose | kopija s kontrolnim zbrojem | dokazano, trenutak nesiguran |
| vlastito vrijeme | interno | incident primijećen, uprava obaviještena | e-pošta, bilješka razgovora | dokazano |
| vlastito vrijeme | interno | ažuriranje instalirano, svi workeri ponovno pokrenuti | zapisnik paketa, popis procesa | dokazano |
Stupac Ocjena najvažniji je dio. Razdvaja ono što je dokazano, ono što djeluje uvjerljivo i ono što ostaje otvoreno. Kasniji čitatelji tako odmah vide gdje vremenska crta drži, a gdje postoje praznine.
Vremenska crta IT incidenta: spojiti izvore
Unosi potječu iz mnogih izvora, a svaki ima vlastite formate i vremenske zone. Postupajte ovim redoslijedom:
- Odrediti vremensku zonu: sve voditi u UTC-u. Prelazak na zimsko računanje vremena 25. 10. 2026. usred razdoblja pomiče njemačka lokalna vremena za jedan sat. Tko miješa lokalna vremena, neprimjetno pomiče događaje.
- Provjeriti satove: je li sat poslužitelja išao točno? Usporedba s poznatim događajem, primjerice vlastitom prijavom, pokazuje odstupanja.
- Najprije vanjski izvori: zapisnici CDN-a, WAF-a, pružatelja hostinga ili vatrozida nalaze se izvan poslužitelja i teško ih je manipulirati. Čine kostur.
- Dopuniti zapisnicima poslužitelja: web-poslužitelj, PHP-FPM, prijave, sistemski journal. Metodologiju za to opisuje vodič Analizirati zapisnike web-poslužitelja nakon napada.
- Svrstati datotečni sustav: vremenske žigove novih i izmijenjenih datoteka dodati kao naznake.
- Unijeti interne događaje: kada je što primijećeno, tko je obaviješten, koja je odluka pala kada?
Što vremenski žigovi datoteka otkrivaju, a što ne
Linux za svaku datoteku pohranjuje više trenutaka, među ostalim zadnju izmjenu sadržaja (mtime) i zadnju izmjenu metapodataka (ctime). Oba se mogu ispisati samo čitanjem, ovdje kao popis PHP datoteka izmijenjenih od određenog datuma, poredan po vremenu u UTC-u:
# Izmjene sadržaja od 17. 10. 2026., poredane, u UTC-u
TZ=UTC find /var/www -type f -name '*.php' -newermt '2026-10-17' -printf '%TY-%Tm-%Td %TH:%TM %p\n' | sort
# Svi vremenski žigovi jedne datoteke
TZ=UTC stat /var/www/ihre-website/verdaechtig.php
Pritom radite samo na kopiji ili osiguranoj slici, kako je opisano u članku Osigurajte dokaze prije nego ponovno postavite poslužitelj. Imajte na umu dva ograničenja. Prvo, napadač može jednostavnim sredstvima vratiti datum izmjene datoteke; neupadljiv mtime nije oslobađajuća presuda. Drugo, postupci kopiranja i neki alati mijenjaju vremenske žigove. Zato vrijedi: vremena datoteka su naznake, unosi u zapisnicima izvana su dokazi.
Upišite trenutak u kojem je Vaša tvrtka saznala za moguću povredu podataka. Prema čl. 33. GDPR-a rok od 72 sata za prijavu u pravilu počinje sa saznanjem. Ocjena pripada Vašem službeniku za zaštitu podataka ili odvjetniku.
Tipične pogreške i kako ih izbjeći
Najčešće su pogreške nespektakularne. Vremenska crta rekonstruira se tek na kraju iz sjećanja umjesto da se vodi tijekom rada. Unosi sadrže zaključke umjesto opažanja, primjerice „napadač je ušao preko obrasca“ umjesto „POST zahtjev na obrazac, nakon toga nova datoteka“. A dokazi nedostaju jer nitko nije zabilježio iz koje zapisničke datoteke i kojeg retka unos potječe.
Zato odredite osobu koja vodi vremensku crtu i unosite događaje čim se pojave. Zaključci pripadaju u zaseban stupac ili u izvješće, a ne u opažanje.
Vremensku crtu tretirajte i kao povjerljiv dokument. Često sadrži IP adrese, korisnička imena i naznake slabih točaka. Odredite tko je smije čitati i mijenjati te čuvajte ranija stanja. Ako se procjena promijeni, primjerice zbog novog izvatka iz zapisnika, stari se redak ne prepisuje, nego dopunjuje. Tako ostaje razumljivo što je bilo poznato u kojem trenutku i na kojoj je osnovi odlučeno.
Kako PHP SOS konkretno pomaže?
- Vremensku crtu vodimo od prvog kontakta tekuće i u UTC-u, s izvorom i dokazom za svaki unos.
- Vanjske zapisnike, zapisnike poslužitelja i datotečni sustav analiziramo zajedno i svaku tvrdnju označavamo kao dokazanu, vjerojatnu ili nepoznatu.
- Po potrebi sa specijaliziranim partnerima preuzimamo IT forenziku za analizu upotrebljivu pred sudom.
- Vremensku crtu predajemo kao dio izvješća za upravu, zaštitu podataka i osiguranje.
Česta pitanja
Čemu mi služi vremenska crta nakon sigurnosnog incidenta?
Poredava sva opažanja u slijed i pokazuje kada je napadač bio u sustavu, što je mogao postići i kada ste Vi za to saznali. Te podatke za svoje odluke trebaju službenici za zaštitu podataka, osiguravatelji, tijela i uprava.
U kojoj vremenskoj zoni trebam voditi vremensku crtu?
Jedinstveno u UTC-u. Poslužitelji, usluge i obavijesti koriste različite vremenske zone, a prelazak na zimsko računanje vremena krajem listopada dodatno pomiče lokalna vremena. Tko sve preračuna u UTC, a lokalno vrijeme samo dodaje, izbjegava pogreške pri usporedbi.
Mogu li se osloniti na vremenske žigove datoteka?
Samo ograničeno. Datum izmjene datoteke može se lažirati jednostavnim sredstvima. Pouzdaniji su unosi u zapisnicima, osobito onima izvan pogođenog poslužitelja. Vremenski žigovi datoteka su naznake koje bi trebalo potvrditi drugim izvorima.
Što osim tehničkih događaja spada u vremensku crtu?
I odluke i komunikacija: kada je incident primijećen, tko je obaviješten, kada je poslužitelj odvojen od mreže, kada je zakrpano. Upravo je trenutak saznanja važan za rokove prijave.