# Iċċekkja l-konnessjonijiet ħerġin ta' server

> Iċċekkja konnessjonijiet ħerġin ta' server: b'ss u lsof assenja proċessi, ivvaluta destinazzjonijiet mhux magħrufa u illimita t-tnixxija b'filtru tal-ħruġ.

Sors: https://phpsos.de/mt/blog/ausgehende-verbindungen-pruefen/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Il-konnessjonijiet ħerġin ta' server tiċċekkjahom b'`ss -tunap` jew `lsof -i`, li jassenjaw kull konnessjoni lil proċess. Normali huma konnessjonijiet lejn id-database, is-server tal-posta, servers tal-aġġornamenti u interfaces magħrufa. Konnessjonijiet minn proċessi ta' PHP jew tas-server tal-web lejn destinazzjonijiet mhux magħrufa, ports mhux tas-soltu u konnessjonijiet permanenti mingħajr raġuni huma sinjali ta' twissija għal kontroll mill-bogħod jew tnixxija ta' data. Fit-tul jgħin filtru tal-ħruġ li jippermetti biss id-destinazzjonijiet meħtieġa.

## Għaliex il-ħarsa 'l barra tgħid daqshekk

Meta jfittxu dħul, il-biċċa l-kbira jħarsu lejn fajls. Imma attakkant irid jagħmel xi ħaġa bl-aċċess tiegħu: jniżżel għodod, jirċievi kmandi, joħroġ data jew juża s-server għall-ispam jew għal attakki fuq oħrajn. Dan kollu jeħtieġ konnessjonijiet 'il barra.

Server tal-web jibni minn rajh ftit konnessjonijiet, u l-biċċa l-kbira minnhom jistgħu jiġu previsti: jistaqsi d-database, jgħaddi l-posta, isejjaħ interfaces tal-ħlas jew tal-ispedizzjoni u jġib aġġornamenti. Għalhekk konnessjonijiet barranin jaqbdu l-għajn hawnhekk b'mod partikolari. Skont ir-rapporti li għandna quddiemna, konnessjonijiet ħerġin jagħmlu parti mis-sinjali ġenerali ta' twissija wara dħul; Indicators of Compromise ikkonfermati speċifikament għal PHP2Shell ma hemmx. Sinjali oħra tiġbor [Diġà kompromess?](https://phpsos.de/mt/php2shell/bin-ich-gehackt-anzeichen/).

## Elenka l-konnessjonijiet ħerġin u assenjahom lill-proċessi

Il-kmandi li ġejjin jaqraw biss. Esegwihom bħala root, inkella jonqsu d-dettalji tal-proċessi.

```bash
# Il-konnessjonijiet TCP kollha stabbiliti bil-proċess
ss -tnp state established

# TCP u UDP inklużi servizzi li jisimgħu
ss -tunap

# Konnessjonijiet għal kull programm u utent, mingħajr riżoluzzjoni ta' ismijiet
lsof -i -n -P | grep -v LISTEN

# Biss konnessjonijiet ta' proċessi tal-utenti tas-server tal-web
lsof -i -n -P -u www-data 2>/dev/null
```

Fl-output oqgħod attent għal tliet kolonni: il-proċess, l-indirizz tad-destinazzjoni bil-port u l-utent. Konnessjoni ta' `php-fpm` lejn id-database fuq il-port 3306 hija normali. Konnessjoni ta' programm b'isem mhux magħruf minn `/tmp` lejn indirizz barrani fuq port mhux tas-soltu mhijiex. Taħt liema utent jaħdem PHP jiddependi mid-distribuzzjoni u mill-panel.

## Normali jew suspettużi? Klassifikazzjoni

| Osservazzjoni | Aktar normali | Aktar suspettuż |
|---|---|---|
| Destinazzjoni | database proprja, server tal-posta, APIs magħrufa, servers tal-aġġornamenti | indirizzi mhux magħrufa mingħajr rabta mal-applikazzjoni |
| Proċess | php-fpm, server tal-web, servizzi tal-posta u tal-aġġornamenti | programmi mhux magħrufa, proċessi minn `/tmp` jew `/dev/shm` |
| Port | 443, 3306, 5432, 587 | ports għoljin mhux tas-soltu, ports tipiċi tal-IRC |
| Tul | qasir, jaqbel ma' talbiet | miftuħa b'mod permanenti, anke bil-lejl mingħajr viżitaturi |
| Kwantità | baxxa u uniformi | quċċati f'daqqa fil-volum tad-data ħerġa |
| Traffiku tal-posta | ibgħat permezz tas-server tal-posta maħsub | ħafna konnessjonijiet diretti fuq il-port 25 |

Ħafna konnessjonijiet fuq il-port 25 jindikaw ibgħat ta' spam; dwar dan hemm artikolu proprju, [Is-server jibgħat spam](https://phpsos.de/mt/blog/server-verschickt-spam/).

## Ivvaluta destinazzjoni mhux magħrufa

Indirizz barrani fil-lista għadu mhux prova. Qabel tiddeċiedi, iċċara fejn twassal il-konnessjoni u min bniha. Anke dawn il-passi ma jbiddlu xejn:

1. **Iddetermina l-proċess:** Ħu l-PID minn `ss` u iċċekkja b'`ls -l /proc/PID/exe` u l-linja tal-kmand liema programm jinsab wara.
2. **Fittex id-destinazzjoni:** B'`dig -x <IP>` iddetermina l-isem u b'`whois <IP>` l-operatur tan-netwerk.
3. **Qabbel mal-applikazzjoni:** Staqsi lill-iżviluppatur jew lill-fornitur tas-servizz jekk l-applikazzjoni tiegħek tuża dan is-servizz.
4. **Iċċekkja l-istorja:** Protokolli tal-firewall u tan-netwerk juru sa minn meta teżisti l-konnessjoni u kemm data ħarġet.
5. **Salva r-riżultati:** Aħżen l-outputs bil-ħin qabel ma twaqqaf jew timblokka xi ħaġa.

Kun lest għal riżultati ambigwi. Ħafna servizzi leġittimi jaħdmu għand fornituri kbar tal-cloud u tas-CDN, li l-indirizzi tagħhom ma jippermettux konklużjoni dwar il-klijent. Bil-maqlub, anke l-attakkanti jużaw servers tal-cloud mikrija. Operatur tan-netwerk magħruf għalhekk la huwa żgur u lanqas prova; deċiżiv huwa jekk il-proċess u l-iskop jaqblux mal-applikazzjoni tiegħek.

Ritratt tal-mument b'`ss` juri biss dak li bħalissa huwa miftuħ. Konnessjonijiet qosra li jinbnew kull minuta tarahom biss fil-protokolli. Għalhekk protokolli tal-firewall jew tal-flussi ta' spiss huma iktar importanti għall-mistoqsija dwar tnixxija ta' data milli l-ħarsa lejn is-server innifsu.

> **Importanti:**
> Jekk data seta' ħareġ mis-server tiegħek u data personali hija affettwata, jista' jkun hemm obbligu ta' notifika skont il-GDPR, ġeneralment fi żmien 72 siegħa. Iċċarah kmieni mal-uffiċjal tal-protezzjoni tad-data tiegħek; sfond hemm taħt [Obbligu ta' notifika tal-GDPR f'72 siegħa](https://phpsos.de/mt/compliance/dsgvo-meldepflicht-72-stunden/). Din mhijiex konsulenza legali.

## Tinsix DNS u containers

Mhux kull tnixxija ta' data teħtieġ konnessjoni viżibbli lejn indirizz barrani. Riżoluzzjonijiet ta' ismijiet permezz ta' DNS imorru għar-resolver taċ-ċentru tad-data tiegħek u kważi ma jaqbdux l-għajn fil-lista ta' `ss`. L-attakkanti jistgħu jippakkjaw data f'subdomains twal li jidhru każwali u hekk joħorġu data permezz ta' talbiet DNS. Indikazzjonijiet għal dan jipprovdu l-protokolli tar-resolver: numru mhux tas-soltu ta' talbiet lejn l-istess dominju barrani, ismijiet twal ħafna jew talbiet f'ħinijiet meta ħadd ma juża l-websajt.

Jekk l-applikazzjonijiet tiegħek jaħdmu f'containers, l-host spiss jara l-konnessjonijiet tal-containers biss bħala traffiku tan-netwerk tal-containers. Imbagħad iċċekkja f'kull container individwalment, sa fejn l-għodod huma disponibbli hemm, jew evalwa l-konnessjonijiet fil-livell tal-host u tal-firewall.

```bash
# Konnessjonijiet ġewwa container (jekk ss huwa inkluż fl-image)
docker exec <container> ss -tnp 2>/dev/null

# Fuq l-host: konnessjonijiet segwiti mill-kernel, jekk conntrack huwa installat
sudo conntrack -L 2>/dev/null | head -50
```

## Illimita t-traffiku ħerġin b'mod permanenti

L-aktar prevenzjoni effettiva hija filtrazzjoni tal-ħruġ: is-server jista' jilħaq biss id-destinazzjonijiet li verament jeħtieġ, kull ħaġa oħra tiġi mblukkata u rreġistrata. Għall-attakkanti dan jagħmilha ferm aktar diffiċli li jniżżlu għodod jew jiġbdu data, anke jekk jistgħu jesegwixxu kodiċi.

It-triq tibda b'lista tad-destinazzjonijiet meħtieġa, li tiddeduċiha mill-konnessjonijiet miġbura hawn fuq. Imbagħad issegwi fażi li fiha konnessjonijiet imblukkati biss jiġu rreġistrati, qabel ma l-blokk jinxtegħel tassew. Servizzi tal-ħlas, servers tal-aġġornamenti u interfaces b'indirizzi li jinbidlu jeħtieġu attenzjoni partikolari. Kif tinbena firewall għal servers tal-web b'mod ġenerali jiddeskrivih [Firewall għal servers tal-web: iftaħ biss il-ports meħtieġa](https://phpsos.de/mt/blog/firewall-fuer-webserver/).

## Kif tgħin PHP SOS b'mod konkret?

- **Niċċekkjaw il-konnessjonijiet:** Nassenjaw il-konnessjonijiet attivi kollha lil proċessi u skopijiet u nivvalutaw destinazzjonijiet mhux magħrufa.
- **Nistmaw it-tnixxija ta' data:** Nevalwaw protokolli tal-firewall u tan-netwerk u niċċaraw jekk u meta ġiet trasferita data.
- **Nillimitaw il-ħruġ:** Magħkom nfasslu lista ta' destinazzjonijiet permessi u nissettjaw il-filtrazzjoni tal-ħruġ pass pass.
- **Nissorveljaw fit-tul:** Bis-[Security Monitoring](https://phpsos.de/mt/leistungen/security-monitoring/) nirrapportaw konnessjonijiet ġodda jew mhux tas-soltu.


## Mistoqsijiet frekwenti

**Liema konnessjonijiet ħerġin huma normali għal server tal-web?**  
Tipiċi huma konnessjonijiet lejn id-database, is-server tal-posta, servizzi tal-ħlas u tal-ispedizzjoni, servers tal-aġġornamenti u interfaces magħrufa tal-applikazzjoni. Kull ħaġa li ma tistax tiġi assenjata għal xi wieħed minn dawn l-iskopijiet jixraqilha ħarsa eżatta.

**Kif nara liema proċess bena konnessjoni?**  
B'ss -tunap jew lsof -i -n -P bħala root. It-tnejn juru għal kull konnessjoni l-ID tal-proċess u l-isem tal-programm. Hekk tagħraf jekk il-konnessjoni tiġix minn PHP, mis-server tal-web jew minn programm barrani.

**Konnessjoni mhux magħrufa tfisser li d-data ħarġet?**  
Mhux neċessarjament. Imma hija indikazzjoni li trid tiġi ċċarata. Jekk u liema data ġiet trasferita ta' spiss tista' tinwieġeb biss b'protokolli tal-firewall jew tan-netwerk. Jekk data personali hija affettwata, jistgħu jeżistu obbligi ta' notifika.

**Server tal-web għandu jitħalla jagħmel konnessjonijiet ħerġin?**  
Biss lejn id-destinazzjonijiet li jeħtieġ. Filtrazzjoni tal-ħruġ li timblokka kull ħaġa oħra tagħmel it-tniżżil ta' għodod u t-tnixxija ta' data ferm aktar diffiċli għall-attakkanti. Imma trid tiġi ttestjata bir-reqqa.

## Sorsi

- [BSI: Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni](https://www.bsi.bund.de/)
- [Art. 33 GDPR: Notifika lill-awtorità superviżorja](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)