Trumpai: prieš iš naujo įdiegdami pažeistą serverį, įrodymus išsaugokite pagal jų trumpalaikiškumo tvarką: pirmiausia procesus, ryšius ir prisijungusius naudotojus, tada žurnalus ir konfigūraciją, tada pilną sistemos atvaizdą ir pirminių paslaugų duomenis. Kiekviena kopija gauna kontrolinę sumą ir laikoma ne serveryje. Dėl to serveris atjungiamas nuo tinklo, bet neišjungiamas.
Refleksas iš karto įdiegti iš naujo
Kas aptinka įsilaužimą, nori jį kuo greičiau nutraukti. Šviežia, švariai įdiegta sistema su naujais slaptažodžiais: tai suteikia kontrolės pojūtį. Techniškai naujas įdiegimas dažnai ir yra teisingas kelias, ypač jei užpuolikas turėjo root teises.
Problema yra laikas. Su sena sistema išnyksta visi atsakymai į klausimus, kurie kils per kitas dienas. Per kokią spragą patekęs užpuolikas? Nuo kada jis buvo sistemoje? Ar turėjo prieigą prie klientų duomenų? Ar paveiktas ir šalia esantis duomenų bazės serveris? Be pėdsakų lieka tik spėjimai, o jie nepadeda nei duomenų apsaugai, nei draudimui.
Po PHP2Shell atsiranda ypatingas aspektas: nėra paskelbtų, patvirtintų kompromitavimo indikatorių (Indicators of Compromise). Ar ir kaip serveris buvo paveiktas, galima nustatyti tik iš elgesio, taigi iš tų pačių pėdsakų, kuriuos skubotas naujas įdiegimas ištrina. Specializuota spauda pataria saugoti serverio žurnalus nuo 2026-10-20.
Įrodymų išsaugojimas serveryje: svarbi tvarka
Pėdsakai skirtingai greitai dingsta. Kas yra operatyviojoje atmintyje, dingsta per kitą paleidimą iš naujo. Žurnalai išlieka ilgiau, bet yra rotuojami. Pirminių paslaugų duomenys išnyksta pagal jų pačių terminus. Iš to išplaukia tvarka:
| Pėdsakas | Trumpalaikiškumas | Kaip išsaugoti |
|---|---|---|
| Procesai, tinklo ryšiai, prisijungę naudotojai | dingsta paleidus iš naujo | sistemos komandų išvestį įrašyti į failus |
| Operatyvioji atmintis | dingsta paleidus iš naujo | tik specialiu įrankiu, forensikų užduotis |
Laikinieji failai /tmp ar /dev/shm |
dažnai ištrinami paleidus iš naujo | nukopijuoti nevykdant |
| Žiniatinklio serverio, PHP, sistemos žurnalai | rotuojami | nukopijuoti visiškai, sustabdyti rotaciją |
| Failų sistema ir duomenų bazė | stabilu iki naujo įdiegimo | momentinė kopija (snapshot) arba disko atvaizdas, duomenų bazės eksportas |
| CDN, WAF, ugniasienė, hostingo teikėjas | saugojimas pagal teikėjo terminus | paprašyti eksporto, patvirtinti raštu |
Operatyviąją atmintį išsaugokite tik tada, kai pasirengęs asmuo su tinkamu įrankiu ir patirtimi. Sistemoms su jautriais duomenimis ar numatomu teisminiu ginču tai turėtų atlikti IT forensika.
Trumpalaikius duomenis užfiksuoti per kelias minutes
Toliau pateiktos komandos sistemoje nieko nekeičia. Jos įrašo esamą būseną į failus, kurie vėliau išsaugomi ne serveryje. Tikslinį katalogą kuo labiau įrenkite prijungtame, atskirame duomenų nešiklyje:
ZIEL=/mnt/sicherung/fall-$(date -u +%Y%m%dT%H%MZ)
mkdir -p "$ZIEL"
date -u > "$ZIEL/zeitpunkt-utc.txt"
ps auxwwf > "$ZIEL/prozesse.txt"
ss -tunap > "$ZIEL/verbindungen.txt"
who -a > "$ZIEL/angemeldet.txt"
last -F > "$ZIEL/anmeldungen.txt"
ip addr > "$ZIEL/netz.txt"; ip route >> "$ZIEL/netz.txt"
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done > "$ZIEL/cronjobs.txt"
sha256sum "$ZIEL"/* > "$ZIEL.sha256"
Kaip vėliau visiškai išsaugoti ir išanalizuoti žurnalus, aprašo gidas Žiniatinklio serverio žurnalų analizė po atakos. Virtualiems serveriams momentinė kopija per teikėjo valdymo sąsają yra paprasčiausias kelias į pilną atvaizdą. Ji užfiksuoja sistemą, jums nereikia pažeistame serveryje paleisti papildomų įrankių.
Kad išsaugojimas vėliau turėtų vertę
Kopija vertinga tiek, kiek jos įrodymas. Trys taisyklės daro ją patikimą:
- Kontrolinės sumos: kiekvienam išsaugotam failui apskaičiuojama SHA-256 kontrolinė suma. Taip vėliau galima parodyti, kad kopija nepakeista.
- Protokolas: kas, kada, ką, kokia komanda ir kur išsaugojo? Kiekvienas perdavimas trečiosioms šalims užfiksuojamas. Specialistai tai vadina įrodymų grandine.
- Atskira laikymo vieta: kopijos priklauso sistemai, prie kurios užpuolikas neturėjo prieigos, ir toliau naudojamos tik skaitymui.
Po to dirbkite tik su kopijomis. Kiekviena analizė su originalu keičia laiko žymas ir gali perrašyti pėdsakus. Įtartinų failų niekada nevykdykite ir neatidarykite per naršyklę.
Žurnalų iš CDN, WAF ir hostingo teikėjo paprašykite anksti. Šie duomenys yra už jūsų serverio ribų ir užpuolikui sunkiai pakeičiami, bet dažnai saugomi tik trumpai.
Kas sunaikina įrodymų bazę
Daug pėdsakų prarandama ne dėl užpuoliko, o dėl gerų ketinimų pirmosios pagalbos. Šių žingsnių prieš išsaugojimą reikėtų vengti:
- Paleidimas iš naujo ar išjungimas: procesai, ryšiai ir operatyvioji atmintis po to dingsta.
- Antivirusinė programa su automatiniu trynimu: ji pašalina failus, kol niekas jų neišsaugojo, ir keičia laiko žymas.
- Žurnalų ar laikinųjų aplankų valymas: net jei trūksta vietos, pirmiausia nukopijuoti, tada trinti.
- Naujų įrankių iš interneto diegimas serveryje: kiekvienas diegimas rašo į failų sistemą ir gali uždengti pėdsakus.
- Prisijungimas su privilegijuotais prisijungimo duomenimis be būtinybės: jei serveryje dar veikia kenkėjiškas kodas, įvesti slaptažodžiai gali būti nuskaityti.
Būtent draudikai vėliau klausia, kas ir kada buvo išsaugota. Pastabų apie tipines pareigas rasite skyriuje Kibernetinis draudimas: kas svarbu žalos atveju.
Apsvarstymas: kiek laiko skirti išsaugojimui?
Ne kiekvienas incidentas leidžia ilgai saugoti. Jei kaip tik vyksta duomenų nutekėjimas ar atakuojami lankytojai, pirmenybė teikiama suvaldymui. Atjungimas nuo tinklo veikiančiai sistemai sujungia abu: užpuolikas netenka prieigos, pėdsakai išlieka. Daugumai žiniatinklio serverių po to pakanka nedidelio laiko tarpo trumpalaikiams duomenims ir momentinei kopijai.
Sprendimą priimkite sąmoningai ir jį užfiksuokite: kas nusprendė, kada diegti iš naujo, ir kas buvo išsaugota prieš tai? Ši pastaba vėliau tampa incidento laiko juostos dalimi. Ar teisingas kelias yra naujas įdiegimas, ar išvalymas, nagrinėja straipsnis Serverį iš naujo įdiegti ar išvalyti?.
Kaip PHP SOS padeda konkrečiai?
- Trumpalaikius duomenis, žurnalus ir sistemos atvaizdus išsaugome teisinga tvarka, su kontrolinėmis sumomis ir protokolu.
- Pirminių paslaugų duomenų paprašome, kol nesibaigė jų saugojimo terminai.
- Prireikus su specializuotais partneriais atliekame forensinį išsaugojimą ir analizę.
- Tik po to serverį įdiegiame iš naujo, uždarome įsilaužimo kelią ir dokumentuojame incidentą, kol jis bus užbaigtas.
Dažni klausimai
Kodėl prieš iš naujo įdiegdamas turėčiau išsaugoti įrodymus?
Nes tik pėdsakai parodo, kaip užpuolikas pateko, kiek laiko buvo sistemoje ir prie kokių duomenų galėjo prieiti. Šių atsakymų reikės duomenų apsaugai, draudimui ir klausimui, ar paveiktos kitos sistemos. Po naujo įdiegimo jie prarasti.
Ką saugant skubiausia išsaugoti?
Trumpalaikiai duomenys, tokie kaip veikiantys procesai, tinklo ryšiai ir prisijungę naudotojai, išnyksta išjungiant sistemą. Jie užfiksuojami pirmiausia. Po jų seka žurnalai, sistemos atvaizdas ir pirminių paslaugų duomenys.
Ar įprastos atsarginės kopijos pakanka kaip įrodymų išsaugojimo?
Dažniausiai ne. Daugelyje atsarginių kopijų nėra žurnalų, sistemos failų ir metaduomenų, tokių kaip laiko žymos ir savininkai. Įrodymų išsaugojimui reikia pilnos, nepakeistos kopijos su kontroline suma, geriausia momentinės būsenos kopijos (snapshot) arba disko atvaizdo.
Ar prieš išsaugant galiu atjungti serverį nuo tinklo?
Taip, jei jis tuo metu toliau veikia. Atjungimas nuo tinklo sustabdo duomenų nutekėjimą ir nuotolinį valdymą, nesunaikindamas trumpalaikių pėdsakų. Paleidimas iš naujo ar išjungimas, priešingai, ištrina operatyviąją atmintį ir veikiančius procesus.