Röviden: A szerverekre vonatkozó IT-forenzika arra a kérdésre válaszol, mi történt valójában egy támadáskor: mikor, hogyan, milyen következményekkel. Szakosodott forenzikai partnerekkel együtt bizonyíték értékűen mentjük a nyomokat, kiértékeljük a naplókat, fájlrendszereket és adatbázisokat, és követhető jelentést adunk. Ez alapul szolgál a bejelentésekhez, a biztosításhoz és adott esetben a büntetőeljáráshoz.
Mikor van szüksége IT-forenzikára a szerveréhez
Nem minden incidens igényel forenzikai vizsgálatot. Főként akkor hasznos, ha személyes adatok, fizetési adatok vagy üzleti titkok lehetnek érintettek, ha feljelentés vagy jogvita várható, vagy ha a biztosító megbízható igazolást vár. Annak eldöntéséhez is, hogy szükséges-e bejelentés a felügyeleti hatóságnak, a bizonyított tények többet segítenek a feltételezéseknél.
A PHP2Shell után egy különleges pont is hozzájön. A CVE-2026-109618 és a CVE-2026-109619 rések bejelentkezés nélküli kódfuttatást tesznek lehetővé, és nincsenek közzétett, megerősített Indicators of Compromise. Hogy egy szerver érintett volt-e, ezért nem lehet ellenőrzőlistával kipipálni, csak viselkedéselemzéssel: milyen folyamatok futottak, milyen fájlok keletkeztek, milyen kapcsolatok mentek kifelé? Első támpontokat a Már feltörték a rendszeremet? ad.
Miben különbözik a forenzika a gyors tisztítástól
A tisztítás azt akarja, hogy a szerver ismét tiszta legyen. A forenzika megérteni és igazolni akar. Az egyik kérdés: „Biztonságos-e ismét a szerver?“, a másik: „Mi történt pontosan, és mely adatok voltak elérhetők?“. A bejelentésekhez, a biztosításhoz és az ügyfelek tájékoztatásához többnyire a második kérdés a döntő. A kettő megfér egymás mellett, ha a sorrend helyes: előbb mentés, aztán módosítás. Aki előbb töröl, javít vagy újraindít, elveszíti az illékony nyomokat, és később gyakran már nem tudja megmutatni, mit látott a támadó.
Őrizze meg az összes szervernaplót 2026. 10. 20-tól, és kérje meg a tárhelyszolgáltatót, hogy a naplókat ne rotálja és ne törölje. A hiányzó naplók a jelentésben a nyitott kérdések leggyakoribb okai.
Mely nyomok számítanak egy PHP-webszerveren
Egy tipikus webszerveren több nyom van, mint amennyit sok üzemeltető sejt. Hogy felhasználhatók-e, az attól függ, mennyi ideig őrzik meg őket, és mentették-e őket a beavatkozás előtt.
- A webszerver és a PHP-FPM hozzáférési és hibanaplói, a lefagyott workerekkel együtt
- Fájlrendszer: új vagy módosított fájlok, időbélyegeik és tulajdonosaik, futtatható kód a feltöltési mappákban
- Adatbázis: új felhasználói fiókok, módosított beállítások, bejuttatott tartalmak
- Rendszer: cron-feladatok, felhasználók, SSH-kulcsok, bejelentkezési naplók, futó folyamatok és hálózati kapcsolatok
- Előtte álló rendszerek: a CDN, a WAF, a tűzfal, a load balancer és a levelezőszerver naplói
Éppen az előtte álló rendszereket felejtik el gyakran. A webszerveren kívül vannak, ezért egy támadónak nehezebb manipulálni őket. Egyes szolgáltatóknál csak rövid ideig tárolják őket, ezért érdemes korán exportálni.
Hogyan segít konkrétan a PHP SOS?
- A megbízás tisztázása: Önnel együtt meghatározzuk, mely kérdésekre kell választ adni, például a behatolási pont, az időszak, az érintett adatok vagy a hálózaton belüli továbbhaladás. Ebből adódik, mely rendszereket vizsgáljuk.
- Bizonyíték értékű mentés: Mi és szakosodott partnereink másolatokat készítünk az adathordozókról, naplókról, adatbázisokról, és ahol lehet, a munkamemóriáról. Minden mentés ellenőrző összeget kap, minden átadást dokumentálnak.
- Kiértékelés: Elemezzük a hozzáférési és hibanaplókat, a fájlváltozásokat, a felhasználói fiókokat, a cron-feladatokat, a folyamatokat és a kimenő kapcsolatokat. A naplók módszertanát a Webszerver-naplók kiértékelése támadás után írja le.
- Idővonal készítése: A leletekből az incidens idővonala készül, amelyben minden állítás egy konkrét bizonyítékra hivatkozik.
- Jelentés átadása: Műszaki jelentést és a vezetésnek szóló érthető összefoglalót kap.
Mit kap, és mire van szükségünk
A jelentés tartalmazza a mentett bizonyítékokat ellenőrző összegekkel, az átadási lánc dokumentációját, az idővonalat, a megállapított vagy valószínű behatolási pontot, az érintett rendszereket és adattípusokat, valamint javaslatokat. Minden állítás bizonyítottként, valószínűként vagy ismeretlenként van megjelölve.
Öntől a következőkre van szükségünk:
- hozzáférés az érintett rendszerekhez, vagy engedély arra, hogy a tárhelyszolgáltatója másolatokat bocsásson a rendelkezésünkre
- egy döntési jogkörrel rendelkező személy, aki meghatározza a terjedelmet és a prioritásokat
- információk a rendszertájról, a szolgáltatókról és az utolsó hetek ismert változásairól
- meglévő naplók, tűzfalakból, CDN-ből, WAF-ból vagy levelezőszerverekről is
- annak megjelölése, hogy a biztosítót, a rendőrséget vagy az ügyvédet már bevonták-e
Ha feljelentést szeretne tenni, tudnivalókat a Feljelentés: a kiberbűnözés központi kapcsolattartó pontjai oldalon talál. Hogy a biztosítók káresetben jellemzően mit várnak el, azt a Kiberbiztosítás: mi számít káresetben magyarázza.
Amit nem ígérünk
A forenzika csak azt tudja kiértékelni, ami nyomként megvan. Ha a naplók hiányoznak, felülírták vagy a támadó manipulálta őket, hézagok maradnak, és ezeket megnevezzük. Nem ígérjük, hogy egy bíróság eredményeinket meghatározott módon értékeli, és jogi értékelést nem adunk. Nem nevezünk meg elkövetőket, hanem leírjuk, mit mutatnak a nyomok. Olyan állításokat is csak akkor teszünk, mint „biztosan nem szivárgott ki adat“, ha a bizonyítékok megtámogatják.
Ha a támadás még tart, a megfékezés élvez elsőbbséget. Ilyenkor az incident response folyamattal kezdünk, és párhuzamosan annyi nyomot mentünk, amennyit csak lehet.
Gyakori kérdések
Mit jelent a bíróság előtt is megálló bizonyítékrögzítés?
A nyomokat úgy mentik, hogy később igazolható legyen, hogy változatlanok. Ide tartoznak az ellenőrző összegek, a dokumentált átadási lánc, és az eredeti helyett a másolatokon végzett munka. Hogy egy bíróság felhasználja-e a bizonyítékot, azt viszont a bíróság dönti el.
Tisztázhatja az IT-forenzika, hogy kiszivárogtak-e ügyféladatok?
Gyakran be lehet határolni, mely adatokhoz fért hozzá a támadó, és vannak-e jelek a kiszivárgásra. A biztos kizárás nem mindig lehetséges, különösen ha hiányoznak a naplók. Az eredményt ezért bizonyított, valószínű és ismeretlen szerint különítjük el.
Meddig kell megőrizni a naplókat?
A kivizsgáláshoz a lehető legtovább, legalább a vizsgálat lezárultáig. A PHP2Shell esetében a szakmai sajtó azt tanácsolja, hogy a szervernaplókat 2026. 10. 20-tól őrizzék meg. A jogi megőrzési és törlési kötelezettségeket tisztázza az adatvédelmi felelőssel.
Újraindíthatom vagy javíthatom a szervert a forenzika előtt?
Az újraindítás törli a munkamemória illékony nyomait, a javítás pedig módosítja a fájlokat. Ha tudja, előbb készítsen mentést, vagy beszéljen röviden velünk. Ha a veszély akut, a megfékezés élvez elsőbbséget, és ezt dokumentálják.