Ukratko: IT forenzika poslužitelja odgovara na pitanje što se u napadu stvarno dogodilo: kada, kako i s kojim posljedicama. Zajedno sa specijaliziranim partnerima za forenziku dokazno osiguravamo tragove, analiziramo zapisnike, datotečne sustave i baze podataka te isporučujemo razumljivo izvješće. Ono služi kao osnova za prijave, osiguranje i, po potrebi, kazneni progon.
Kada Vam treba IT forenzika za poslužitelj
Nije svakom incidentu potrebna forenzička istraga. Smisleno je prije svega kada bi mogli biti pogođeni osobni podaci, podaci o plaćanju ili poslovne tajne, kada se predviđa prijava ili spor ili kada osiguravatelj očekuje pouzdan dokaz. I kod pitanja treba li prijaviti nadzornom tijelu dokazane činjenice pomažu više od pretpostavki.
Nakon PHP2Shella dolazi posebna točka. Ranjivosti CVE-2026-109618 i CVE-2026-109619 omogućuju izvršavanje koda bez prijave, a ne postoje objavljeni, potvrđeni indikatori kompromitacije (Indicators of Compromise). Je li poslužitelj bio pogođen, stoga se ne može odmaknuti kontrolnim popisom, nego samo analizom ponašanja: koji su procesi radili, koje su datoteke nastale, koje su veze išle prema van? Prve oslonce daje stranica Jesam li već kompromitiran?.
Po čemu se forenzika razlikuje od brzog čišćenja
Čišćenje želi poslužitelj ponovno učiniti čistim. Forenzika želi razumjeti i dokazati. Jedno pitanje glasi „Je li poslužitelj opet siguran?“, drugo „Što se točno dogodilo i koji su podaci bili dostupni?“. Za prijave, osiguranje i obavještavanje klijenata obično je presudno drugo pitanje. Oboje se slaže ako je redoslijed ispravan: prvo osigurati, zatim mijenjati. Tko prvo briše, zakrpa ili ponovno pokrene, gubi hlapljive tragove i poslije često više ne može pokazati što je napadač vidio.
Čuvajte sve zapisnike poslužitelja od 20. 10. 2026. i zamolite svog pružatelja hostinga da zapisnike ne rotira i ne briše. Nedostajući zapisnici najčešći su uzrok otvorenih pitanja u izvješću.
Koji tragovi na PHP web-poslužitelju vrijede
Na tipičnom web-poslužitelju ima više tragova nego što mnogi operateri pretpostavljaju. Jesu li uporabljivi, ovisi o tome koliko se dugo čuvaju i jesu li osigurani prije zahvata.
- Zapisnici pristupa i pogrešaka web-poslužitelja i PHP-FPM-a, uključujući srušene workere
- Datotečni sustav: nove ili izmijenjene datoteke, njihove vremenske oznake i vlasnici, izvršni kod u mapama za prijenos
- Baza podataka: novi korisnički računi, promijenjene postavke, ubačeni sadržaji
- Sustav: cron poslovi, korisnici, SSH ključevi, zapisnici prijava, pokrenuti procesi i mrežne veze
- Prethodni sustavi: zapisnici CDN-a, WAF-a, vatrozida, load balancera i poštanskog poslužitelja
Upravo se prethodni sustavi često zaboravljaju. Nalaze se izvan web-poslužitelja pa ih je napadaču teže manipulirati. Kod nekih se pružatelja čuvaju samo kratko, zato ih treba rano izvesti.
Kako PHP SOS konkretno pomaže?
- Razjasniti nalog: S Vama utvrđujemo na koja pitanja treba odgovoriti, primjerice ulazna točka, razdoblje, pogođeni podaci ili kretanje kroz mrežu. Iz toga proizlazi koji se sustavi istražuju.
- Dokazno osigurati: Mi i naši specijalizirani partneri izrađujemo kopije nosača podataka, zapisnika, baza podataka i, gdje je moguće, radne memorije. Svako osiguranje dobiva kontrolni zbroj, a svaka se primopredaja dokumentira.
- Analizirati: Analiziramo zapisnike pristupa i pogrešaka, promjene datoteka, korisničke račune, cron poslove, procese i odlazne veze. Metodologiju za zapisnike opisuje Analiza zapisnika web-poslužitelja nakon napada.
- Izraditi vremensku crtu: Iz nalaza nastaje vremenska crta incidenta u kojoj se svaka tvrdnja poziva na konkretan dokaz.
- Predati izvješće: Dobivate tehničko izvješće i razumljiv sažetak za upravu.
Što dobivate i što trebamo
Izvješće sadrži osigurana dokazna sredstva s kontrolnim zbrojevima, dokumentaciju lanca primopredaje, vremensku crtu, utvrđenu ili vjerojatnu ulaznu točku, pogođene sustave i vrste podataka te preporuke. Svaka je tvrdnja označena kao dokazana, vjerojatna ili nepoznata.
Od Vas trebamo:
- Pristup pogođenim sustavima ili odobrenje da nam Vaš pružatelj hostinga stavi na raspolaganje kopije
- osobu s ovlastima za odlučivanje koja utvrđuje opseg i prioritete
- informacije o sistemskom okruženju, davateljima usluga i poznatim promjenama posljednjih tjedana
- postojeće zapisnike, i iz vatrozida, CDN-a, WAF-a ili poštanskih poslužitelja
- podatak jesu li osiguravatelj, policija ili odvjetnik već uključeni
Ako želite podnijeti prijavu, napomene pronađite na stranici Podnošenje prijave: središnje kontaktne točke za cyber kriminal. Što osiguravatelji tipično očekuju u slučaju štete, objašnjava Cyber osiguranje: što vrijedi u slučaju štete.
Što ne obećavamo
Forenzika može analizirati samo tragove koji postoje. Ako zapisnici nedostaju, prepisani su ili ih je napadač manipulirao, ostaju praznine, a mi ih navodimo. Ne obećavamo da će sud naše rezultate vrednovati na određeni način i ne dajemo pravnu ocjenu. Ne imenujemo počinitelje, nego opisujemo što tragovi pokazuju. Izjave poput „sigurno nisu odliveni nikakvi podaci“ dajemo samo ako ih dokazi podupiru.
Ako napad još traje, prednost ima zaustavljanje napada. Tada počinjemo s Incident Responseom i paralelno osiguravamo što više tragova.
Česta pitanja
Što znači osiguravanje dokaza prihvatljivo na sudu?
Tragovi se osiguravaju tako da se kasnije može dokazati da su nepromijenjeni. Tome pripadaju kontrolni zbrojevi, dokumentiran lanac primopredaje i rad na kopijama umjesto na izvorniku. Hoće li sud iskoristiti dokazno sredstvo, ipak odlučuje sud.
Može li IT forenzika razjasniti jesu li podaci klijenata odliveni?
Često se može suziti kojim je podacima napadač imao pristup i postoje li naznake odljeva. Siguran isključak nije uvijek moguć, osobito ako zapisnici nedostaju. Rezultat se stoga dijeli na dokazano, vjerojatno i nepoznato.
Koliko dugo se moraju čuvati zapisnici?
Za razjašnjenje što je dulje moguće, najmanje dok istraga nije zaključena. Kod PHP2Shella stručni tisak savjetuje čuvanje zapisnika poslužitelja od 20. 10. 2026. Zakonske obveze čuvanja i brisanja razjasnite sa svojim službenikom za zaštitu podataka.
Smijem li poslužitelj prije forenzike ponovno pokrenuti ili zakrpati?
Ponovno pokretanje briše hlapljive tragove u radnoj memoriji, a zakrpa mijenja datoteke. Ako možete, prvo osigurajte podatke ili nas kratko nazovite. Ako je opasnost akutna, prednost ima zaustavljanje napada, a to se dokumentira.