# Biztonsági monitoring webszerverekhez

> Szerver-monitoring biztonsághoz: felügyeljük a webszerverei fájljait, folyamatait, bejelentkezéseit és kapcsolatait, és világos értékeléssel jelezzük a feltűnőt.

Forrás: https://phpsos.de/hu/leistungen/security-monitoring/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A biztonsági szerver-monitoring azt jelenti, hogy a webszervereket folyamatosan figyelik egy támadás jeleire, ahelyett hogy csak akkor reagálnának, amikor az ügyfelek panaszkodnak. Felügyeljük a PHP-szervereinek fájljait, folyamatait, bejelentkezéseit, kapcsolatait és naplóit, és minden feltűnő jelet érthetően értékelünk. Így hamarabb észreveszi a problémákat, és vészhelyzetben megvannak a szükséges nyomok.

## Miért számít a biztonsági szerver-monitoring éppen most

A PHP2Shell megmutatta, milyen gyorsan válhat egy új rés milliónyi szerver fenyegetésévé. A Unit 42 több mint 22,6 millió kitett, potenciálisan sebezhető példányt számolt össze. Ugyanakkor nincsenek közzétett, megerősített Indicators of Compromise. Aki tudni akarja, történik-e valami a saját szerverén, a viselkedésre kell figyelnie.

Sok behatolást csak későn fedeznek fel, gyakran harmadik felek: egy Google-figyelmeztetés, a tárhelyszolgáltató zárolása spamküldés miatt, egy ügyfél jelzése. Addigra a naplókat gyakran már rotálták, és a nyomok elvesztek. A biztonsági monitoring lerövidíti ezt az időt, és gondoskodik róla, hogy a naplók még megvannak, amikor szükség van rájuk. A vezetés számára ez mindenekelőtt egyet jelent: a döntések vészhelyzetben tényeken alapulnak, nem feltételezéseken.

## Mit felügyelünk

| Terület | Mire figyelünk |
|---|---|
| Fájlok | új vagy módosított PHP-fájlok, futtatható kód a feltöltési mappákban, a `.htaccess` és a konfiguráció változásai |
| Folyamatok | PHP-workerekből indított parancsok, ismeretlen tartós folyamatok, összeomló workerek |
| Bejelentkezések | SSH- és panel-bejelentkezések, új rendszergazdai fiókok a CMS-ben, halmozott sikertelen kísérletek |
| Hálózat | szokatlan kimenő kapcsolatok, hirtelen levélküldés, új nyitott portok |
| Naplók | feltűnő kérésminták, hibahalmozódások, hézagok a naplózásban |
| Állapot | PHP-, CMS- és csomagverziók összevetése az ismert biztonsági frissítésekkel |

Hogy az ilyen jelek hogyan ellenőrizhetők manuálisan, azt a [Webszerver-naplók kiértékelése támadás után](https://phpsos.de/hu/ratgeber/logfiles-auswerten/) írja le. A rendszergazdai hozzáférésekhez emellett a [Rendszergazdai bejelentkezések védelme a brute force ellen](https://phpsos.de/hu/ratgeber/brute-force-login-schutz/) intézkedéseit ajánljuk.

## Hogyan segít konkrétan a PHP SOS?

1. **A kiinduló helyzet felmérése:** Felvesszük a szervereket, az alkalmazásokat, a meglévő naplókat és az eddigi felügyeletet, és meghatározzuk, mi számít normálisnak. E kiindulóállapot nélkül a feltűnőt nem lehet biztosan felismerni.
2. **A felügyelet beállítása:** Beállítjuk a fájlintegritás-ellenőrzést, a naplók továbbítását egy különálló tárolóhelyre és a támadások tipikus következményeire vonatkozó szabályokat. A naplók úgy vannak elhelyezve, hogy a webszerveren lévő támadó ne tudja őket egyszerűen törölni.
3. **Finomhangolás:** Az első hetekben igazítjuk a szabályokat, hogy ne árassza el téves riasztások tömege, például rendes frissítések vagy deploymentek miatt.
4. **Jelzés és értékelés:** A feltűnő jeleket értékeléssel jelezzük: mit figyeltek meg, mennyire valószínű egy támadás, és mi a következő teendő.
5. **Jelentés:** Rendszeres időközönként összefoglalót kap az eseményekről, a nyitott frissítésekről és a javaslatokról.

> **Tipp:**
> Őrizze a naplókat egy különálló rendszeren. A PHP2Shell esetében a szakmai sajtó azt tanácsolja, hogy a szervernaplókat 2026. 10. 20-tól mentsék. Aki központilag tárolja őket, annak akkor is megvannak, ha a webszervert újra kell építeni.

## Hogyan néz ki egy jelzésünk

A figyelmeztetés csak akkor hasznos, ha értik. Ezért minden jelzés ugyanazokat az elemeket tartalmazza:

- **Mit figyeltek meg?** Például: egy weboldal feltöltési mappájában új PHP-fájl keletkezett, majd nem sokkal később egy PHP-worker kimenő kapcsolatot létesített egy ismeretlen címre.
- **Hogyan értékeljük?** Bizonyított az új fájl és a kapcsolat. Valószínű az összefüggés. Ismeretlen, hogy továbbítottak-e adatokat.
- **Mit tettünk már meg?** Például elmentettük a fájlt, és ha megállapodtunk benne, a weboldalt karbantartási módba állítottuk.
- **Miről kell Önnek döntenie?** Például hogy a weboldal offline maradjon-e az ok tisztázásáig.

Az ártalmatlan eseményeket, például egy rendes bővítményfrissítést, a kiinduló helyzet alapján ismerjük fel, és a jelentésben foglaljuk össze, ahelyett hogy egyenként terhelnénk vele. Idővel a felügyelet jobban megismeri a rendszereit.

## Mit kap, és mire van szükségünk

Beállított felügyeletet kap dokumentált szabályokkal, követhető jelzéseket teendőjavaslattal, rendszeres jelentéseket és a naplók központi tárolását. Megerősített incidensnél az adatok közvetlenül beáramlanak az [incident response](https://phpsos.de/hu/leistungen/incident-response/) folyamatba.

Öntől a következőkre van szükségünk:

- **rendszergazdai hozzáférés** a szerverekhez az ügynökök és a naplótovábbítás beállításához
- **áttekintés** az alkalmazásokról, a tervezett deploymentekről és a karbantartási időablakokról
- **egy kapcsolattartó**, aki fogadja a jelzéseket és dönthet
- **egyeztetés az adatvédelmi felelőssel**, mert a naplók személyes adatokat, például IP-címeket tartalmazhatnak

## Amit nem ígérünk

A monitoring nem ismer fel minden támadást. Az ügyes támadók igyekeznek feltűnés nélkül maradni, és egyes rések alig hagynak nyomot. A monitoring növeli annak valószínűségét, hogy egy behatolást korán észrevesznek, és megbízható adatokat biztosít. Sem a frissítéseket, sem a keményítést nem pótolja.

A reakcióidőket sem rögzítjük általánosan; azok a megállapodott gondozástól függenek. A monitoring a legjobban egy [biztonsági karbantartási szerződés](https://phpsos.de/hu/leistungen/security-wartungsvertrag/) részeként hasznosul, amelyben a frissítéseket, a mentéseket és a felügyeletet együtt szabályozzák.


## Gyakori kérdések

**Mi a különbség a szokásos monitoring és a biztonsági monitoring között?**  
A szokásos monitoring azt ellenőrzi, hogy egy szerver elérhető-e, és van-e elég erőforrása. A biztonsági monitoring egy támadás jeleire figyel, például új futtatható fájlokra, szokatlan folyamatokra vagy idegen bejelentkezésekre. A kettő kiegészíti egymást.

**Felismeri-e a monitoring egy PHP2Shell-en keresztüli támadást?**  
A PHP2Shell-hez nincsenek közzétett, megerősített Indicators of Compromise. A monitoring viszont láthatóvá teheti egy behatolás tipikus következményeit, például új PHP-fájlokat vagy PHP-folyamatból indított parancsokat. Sikergaranciát nem adunk.

**Kell ehhez szoftvert telepítenem a szerverre?**  
Többnyire igen, például egy ügynököt a fájlintegritáshoz és a naplók továbbításához. Hogy milyen eszközöket használunk, azt egyeztetjük Önnel és adott esetben a tárhelyszolgáltatójával, hogy az üzemeltetés és az adatvédelem megfeleljen.

**Működik a biztonsági monitoring megosztott tárhelynél is?**  
Csak korlátozottan. A folyamatokhoz és a rendszernaplókhoz való hozzáférés nélkül főként a fájlok és tartalmak kívülről való felügyelete marad. A teljes felügyelethez saját vagy menedzselt szerver kell.

## Források

- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)
- [BSI: a német Szövetségi Információbiztonsági Hivatal](https://www.bsi.bund.de/)