# Bizonyítékok mentése a szerver újratelepítése előtt

> Bizonyítékrögzítés az újratelepítés előtt: mely nyomok illékonyak a szerveren, milyen sorrendben mentsen, és hogyan marad a mentés megbízható.

Forrás: https://phpsos.de/hu/blog/beweise-sichern-vor-neuinstallation/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** Mielőtt újratelepít egy megtámadott szervert, mentse a bizonyítékokat az illékonyságuk sorrendjében: először a folyamatokat, a kapcsolatokat és a bejelentkezett felhasználókat, majd a naplókat és a konfigurációt, végül a rendszer teljes lemezképét és az előtte álló szolgáltatások adatait. Minden mentés kap egy ellenőrző összeget, és a szerveren kívül kell tárolni. A szervert erre a célra le kell választani a hálózatról, de nem szabad kikapcsolni.

## A reflex: azonnali újratelepítés

Aki felfedez egy behatolást, a lehető leggyorsabban véget akar vetni neki. Egy friss rendszer, tisztán telepítve, új jelszavakkal: ez az irányítás érzetét adja. Technikailag az újjáépítés gyakran valóban a helyes út, különösen akkor, ha a támadó root-jogokkal rendelkezett.

A probléma az időpont. A régi rendszerrel együtt eltűnik minden válasz azokra a kérdésekre, amelyek a következő napokban jönnek. Melyik résen jutott be a támadó? Mióta volt a rendszerben? Hozzáfért ügyféladatokhoz? Érintett-e a szomszédos adatbázis-szerver is? Nyomok nélkül csak feltételezések maradnak, és azok sem az adatvédelemben, sem a biztosításnál nem segítenek.

A PHP2Shell esetében egy különleges szempont is hozzájön: nincsenek közzétett, megerősített Indicators of Compromise. Hogy egy szerver érintett volt-e, és hogyan, csak a viselkedésből olvasható le, vagyis éppen azokból a nyomokból, amelyeket egy elhamarkodott újjáépítés töröl. A szakmai sajtó azt javasolja, hogy a szervernaplókat 2026. 10. 20-tól őrizzék meg.

## Bizonyítékrögzítés a szerveren: a sorrend számít

A nyomok különböző mértékben illékonyak. Ami a memóriában van, az a következő újraindításkor elvész. A naplók tovább élnek, de rotálódnak. Az előtte álló szolgáltatásokon lévő adatok a saját határidejük szerint tűnnek el. Ebből adódik a sorrend:

| Nyom | Illékonyság | Hogyan mentse |
|---|---|---|
| Folyamatok, hálózati kapcsolatok, bejelentkezett felhasználók | újraindításkor eltűnik | a rendszerparancsok kimeneteit fájlokba írni |
| Memória | újraindításkor eltűnik | csak speciális eszközzel, forenzikusok feladata |
| Ideiglenes fájlok a `/tmp` vagy `/dev/shm` alatt | újraindításkor gyakran törlődnek | másolni végrehajtás nélkül |
| A webszerver, a PHP és a rendszer naplói | rotálódnak | teljesen lemásolni, a rotációt leállítani |
| Fájlrendszer és adatbázis | stabil az újratelepítésig | pillanatkép vagy adathordozó-lemezkép, adatbázis-export |
| CDN, WAF, tűzfal, tárhelyszolgáltató | megőrzés a szolgáltató határidői szerint | exportot kérni, írásban megerősíttetni |

A memóriát csak akkor mentse, ha rendelkezésre áll valaki megfelelő eszközzel és tapasztalattal. Érzékeny adatokat tartalmazó rendszereknél vagy előre látható jogvitánál ezt egy [IT-forenzikának](https://phpsos.de/hu/leistungen/it-forensik/) kell átvennie.

## Illékony adatok rögzítése néhány perc alatt

A következő parancsok semmit sem változtatnak a rendszeren. Az aktuális állapotot fájlokba írják, amelyeket utána a szerveren kívül kell menteni. A célkönyvtárat lehetőleg egy csatlakoztatott, különálló adathordozón hozza létre:

```bash
ZIEL=/mnt/sicherung/fall-$(date -u +%Y%m%dT%H%MZ)
mkdir -p "$ZIEL"
date -u > "$ZIEL/zeitpunkt-utc.txt"
ps auxwwf > "$ZIEL/prozesse.txt"
ss -tunap > "$ZIEL/verbindungen.txt"
who -a > "$ZIEL/angemeldet.txt"
last -F > "$ZIEL/anmeldungen.txt"
ip addr > "$ZIEL/netz.txt"; ip route >> "$ZIEL/netz.txt"
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done > "$ZIEL/cronjobs.txt"
sha256sum "$ZIEL"/* > "$ZIEL.sha256"
```

Hogyan mentse ezután teljesen a naplókat, és hogyan értékelje ki őket, azt a [Webszerver-naplók kiértékelése támadás után](https://phpsos.de/hu/ratgeber/logfiles-auswerten/) útmutató írja le. Virtuális szervereknél a szolgáltató felületén készített pillanatkép a legegyszerűbb út egy teljes lemezképhez. Rögzíti a rendszert anélkül, hogy a megtámadott szerveren további eszközöket kellene elindítania.

## Hogy a mentés később is érjen valamit

Egy mentés csak annyit ér, amennyit a bizonyítéka. Három szabály teszi megbízhatóvá:

1. **Ellenőrző összegek:** Minden mentett fájl kap egy SHA-256 ellenőrző összeget. Ezzel később kimutatható, hogy a másolat módosítatlan.
2. **Jegyzőkönyv:** Ki mikor mit mentett, milyen paranccsal, hová? Harmadik félnek történő minden átadást rögzíteni kell. A szakemberek ezt bizonyítási láncnak nevezik.
3. **Különálló tárolás:** A másolatok olyan rendszerre valók, amelyhez a támadónak nem volt hozzáférése, és csak olvasásra használhatók tovább.

Ezután már csak másolatokkal dolgozzon. Az eredetin végzett minden elemzés módosítja az időbélyegeket, és felülírhat nyomokat. Gyanús fájlokat soha ne futtasson, és ne nyisson meg a böngészőn keresztül.

> **Fontos:**
> A CDN, a WAF és a tárhelyszolgáltató naplóit kérje el korán. Ezek az adatok a szerverén kívül vannak, a támadó számára nehezen manipulálhatók, de gyakran csak rövid ideig őrzik őket.

## Mi semmisíti meg a bizonyítékokat

Sok nyom nem a támadó miatt vész el, hanem a jó szándékú első segítség miatt. Ezeket a lépéseket a mentés előtt el kell kerülni:

- **Újraindítás vagy kikapcsolás:** A folyamatok, a kapcsolatok és a memória utána elvesznek.
- **Automatikus törléssel dolgozó víruskereső:** Eltávolítja a fájlokat, mielőtt valaki lementette volna őket, és módosítja az időbélyegeket.
- **Naplók vagy temp-mappák takarítása:** Még ha szűkössé is válik a hely, először másolni, utána törölni.
- **Új eszközök telepítése az internetről a szerverre:** Minden telepítés ír a fájlrendszerbe, és elfedhet nyomokat.
- **Bejelentkezés kiemelt hozzáférési adatokkal szükség nélkül:** Ha a szerveren még fut kártékony kód, a begépelt jelszavakat is elolvashatják.

A biztosítók később éppen azt kérdezik, mit mikor mentettek. A tipikus együttműködési kötelezettségekről a [Kiberbiztosítás: mi számít kárbejelentéskor](https://phpsos.de/hu/compliance/cyberversicherung/) cikkben talál tudnivalókat.

## Mérlegelés: mennyi idő van a mentésre?

Nem minden incidens enged hosszú mentést. Ha éppen adatkiszivárgás zajlik, vagy látogatókat támadnak, a megfékezésnek van elsőbbsége. A hálózatról való leválasztás futó rendszer mellett mindkettőt összeköti: a támadó elveszíti a hozzáférését, a nyomok megmaradnak. A legtöbb webszervernél ezután az illékony adatokra és a pillanatképre áttekinthető időtartam elég.

Hozza meg tudatosan a döntést, és rögzítse: ki döntött arról, mikor telepítenek újra, és mit mentettek előtte? Ez a jegyzet később az [Az incidens idővonala](https://phpsos.de/hu/blog/zeitleiste-eines-vorfalls/) része. Hogy az újjáépítés vagy a tisztítás-e a helyes út, azt a [Szerver újratelepítése vagy megtisztítása?](https://phpsos.de/hu/blog/neu-aufsetzen-oder-bereinigen/) cikk világítja meg.

## Hogyan segít konkrétan a PHP SOS?

- Az illékony adatokat, a naplókat és a rendszerlemezképeket a helyes sorrendben mentjük, ellenőrző összegekkel és jegyzőkönyvvel.
- Elkérjük az előtte álló szolgáltatások adatait, mielőtt lejárnak a megőrzési határidőik.
- Szükség esetén specializált partnerekkel átvesszük a forenzikus mentést és kiértékelést.
- Csak ezután építjük újra a szervert, zárjuk le a behatolási pontot, és dokumentáljuk az incidenst, amíg le nem zárul.


## Gyakori kérdések

**Miért mentsek bizonyítékokat az újratelepítés előtt?**  
Mert csak a nyomok mutatják meg, hogyan jutott be a támadó, mióta volt a rendszerben, és mely adatokhoz férhetett hozzá. Ezekre a válaszokra szüksége van az adatvédelemhez, a biztosításhoz és annak eldöntéséhez, hogy érintettek-e további rendszerek. Az újjáépítés után elvesznek.

**Mi a legsürgősebb a mentésnél?**  
Az illékony adatok, például a futó folyamatok, a hálózati kapcsolatok és a bejelentkezett felhasználók a leállításkor eltűnnek. Ezeket kell elsőként rögzíteni. Ezután jönnek a naplók, a rendszer lemezképe és az előtte álló szolgáltatások adatai.

**Elég egy normál mentés bizonyítékrögzítésnek?**  
Többnyire nem. Sok mentés nem tartalmaz naplókat, rendszerfájlokat és olyan metaadatokat, mint az időbélyegek és a tulajdonosok. A bizonyítékrögzítéshez teljes, módosítatlan másolat kell ellenőrző összeggel, ideális esetben pillanatkép vagy adathordozó-lemezkép.

**Levehetem a szervert a hálózatról a mentés előtt?**  
Igen, ha közben tovább fut. A hálózatról való leválasztás megállítja az adatok kiszivárgását és a távirányítást anélkül, hogy az illékony nyomokat megsemmisítené. Az újraindítás vagy a kikapcsolás ezzel szemben törli a memóriát és a futó folyamatokat.

## Források

- [BSI (a német Szövetségi Információbiztonsági Hivatal): tudnivalók IT-biztonsági incidensekhez](https://www.bsi.bund.de/)
- [GDPR 33. cikk: bejelentés a felügyeleti hatóságnak](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [Rendőrség: a kiberbűnözés központi kapcsolattartó pontjai (Németország)](https://www.polizei.de/)