Fil-qosor: Qabel ma terġa' tinstalla server kompromess, salva l-provi skont l-ordni tal-volatilità tagħhom: l-ewwel proċessi, konnessjonijiet u utenti illoggjati, imbagħad logs u konfigurazzjoni, imbagħad immaġni sħiħa tas-sistema u d-data ta' servizzi qabel is-server. Kull kopja tirċievi checksum u titpoġġa barra mis-server. Għal dan is-server jitneħħa min-netwerk, imma ma jintefax.
Ir-rifless li terġa' tinstalla minnufih
Min jiskopri dħul bla permess irid itemmu malajr kemm jista' jkun. Sistema friska, installata nadifa, b'passwords ġodda: dan jagħti sens ta' kontroll. Teknikament rebuild ħafna drabi huwa wkoll it-triq t-tajba, speċjalment jekk l-attakkant kellu drittijiet ta' root.
Il-problema hija ż-żmien. Mas-sistema l-qadima jisparixxu t-tweġibiet kollha għall-mistoqsijiet li jiġu fil-jiem ta' wara. Minn liema vulnerabbiltà daħal l-attakkant? Minn meta kien fis-sistema? Kellu aċċess għal data tal-klijenti? Is-server tad-database ħdejn hu affettwat ukoll? Mingħajr traċċi jibqgħu biss suppożizzjonijiet, u dawn la jgħinu mal-protezzjoni tad-data u lanqas mal-assigurazzjoni.
Wara PHP2Shell tiżdied punt partikolari: ma hemm l-ebda Indicators of Compromise ippubblikati u kkonfermati. Jekk server kienx affettwat u kif, jista' jinqara biss mill-imġiba, jiġifieri eżattament mit-traċċi li rebuild bil-għaġla jħassar. L-istampa tekniċa tirrakkomanda li jinżammu l-logs tas-server mill-20/10/2026.
Salvataġġ tal-provi fuq is-server: l-ordni tgħodd
It-traċċi mhumiex kollha volatili bl-istess mod. Dak li hemm fil-memorja jitlef mal-ewwel restart. Il-logs jgħixu itwal, imma jiġu rrotati. Id-data fuq servizzi qabel is-server tisparixxi skont iż-żminijiet tagħhom stess. Minn hawn tinqala' l-ordni:
| Traċċa | Volatilità | Kif tissalva |
|---|---|---|
| Proċessi, konnessjonijiet tan-netwerk, utenti illoggjati | tisparixxi mar-restart | ikteb l-outputs tal-kmandi tas-sistema f'fajls |
| Memorja | tisparixxi mar-restart | biss b'għodda speċjali, kompitu għal forensiċi |
Fajls temporanji f'/tmp jew /dev/shm |
spiss imħassra mar-restart | ikkopja mingħajr ma teżegwixxi |
| Logs tas-server tal-web, ta' PHP u tas-sistema | jiġu rrotati | ikkopja kompletament, waqqaf ir-rotazzjoni |
| Sistema tal-fajls u database | stabbli sal-installazzjoni mill-ġdid | snapshot jew immaġni tal-mezz ta' ħażna, esportazzjoni tad-database |
| CDN, WAF, firewall, hoster | żamma skont iż-żminijiet tal-fornitur | itlob esportazzjoni, ikseb konferma bil-miktub |
Il-memorja tissalvaha biss jekk xi ħadd b'għodda adattata u esperjenza jkun lest. F'sistemi b'data sensittiva jew tilwima legali prevedibbli, dan għandu jieħdu f'idejh Forensika tal-IT.
Żomm id-data volatili f'ftit minuti
Il-kmandi li ġejjin ma jibdlu xejn fis-sistema. Jiktbu l-istat attwali f'fajls li mbagħad jiġu ssalvati barra mis-server. Oħloq id-direttorju tad-destinazzjoni, jekk possibbli, fuq mezz ta' ħażna separat konness:
ZIEL=/mnt/sicherung/fall-$(date -u +%Y%m%dT%H%MZ)
mkdir -p "$ZIEL"
date -u > "$ZIEL/zeitpunkt-utc.txt"
ps auxwwf > "$ZIEL/prozesse.txt"
ss -tunap > "$ZIEL/verbindungen.txt"
who -a > "$ZIEL/angemeldet.txt"
last -F > "$ZIEL/anmeldungen.txt"
ip addr > "$ZIEL/netz.txt"; ip route >> "$ZIEL/netz.txt"
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done > "$ZIEL/cronjobs.txt"
sha256sum "$ZIEL"/* > "$ZIEL.sha256"
Kif wara dan tissalva u tevalwa l-logs kompletament jiddeskrivih il-gwida Evalwa l-logs tas-server tal-web wara attakk. Fuq servers virtwali snapshot permezz tal-amministrazzjoni tal-fornitur huwa l-eħfef triq għal immaġni kompluta. Jaqbad is-sistema mingħajr ma jkollok bżonn tibda għodod oħra fuq is-server kompromess.
Biex is-salvataġġ aktar tard ikollu valur
Salvataġġ huwa tajjeb daqs il-prova tiegħu. Tliet regoli jagħmluh affidabbli:
- Checksums: kull fajl salvat jirċievi checksum SHA-256. Hekk aktar tard jista' jintwera li l-kopja ma nbidlitx.
- Protokoll: min salva x'qabel, meta, b'liema kmand, fejn? Kull trasferiment lil terzi jiġi rreġistrat. L-esperti jsejħu dan il-katina tal-provi.
- Ħażna separata: il-kopji jappartjenu fuq sistema li l-attakkant ma kellu l-ebda aċċess għaliha, u jintużaw biss għall-qari.
Wara dan aħdem biss b'kopji. Kull analiżi fuq l-oriġinal tibdel it-timestamps u tista' tikteb fuq it-traċċi. Qatt la teżegwixxi fajls suspettużi u lanqas tiftaħhom mill-browser.
Itlob il-logs minn CDN, WAF u hoster kmieni. Din id-data tinsab barra mis-server tiegħek u hija diffiċli li attakkant jimmanipulaha, imma ħafna drabi tinżamm għal żmien qasir biss.
X'jeqred is-sitwazzjoni tal-provi
Ħafna traċċi ma jintilfux mill-attakkant, imma minħabba l-ewwel għajnuna bil-qalb it-tajba. Dawn il-passi għandhom jinżammu qabel is-salvataġġ:
- Restart jew għeluq: proċessi, konnessjonijiet u l-memorja jisparixxu wara.
- Antivirus b'tħassir awtomatiku: jneħħi fajls qabel ma xi ħadd isalvahom u jibdel it-timestamps.
- Tindif tal-logs jew tal-folders temporanji: anke jekk l-ispazju jkun skars, l-ewwel ikkopja, wara ħassar.
- Installazzjoni ta' għodod ġodda mill-internet fuq is-server: kull installazzjoni tikteb fis-sistema tal-fajls u tista' tgħatti t-traċċi.
- Login b'dettalji privileġġjati mingħajr bżonn: jekk fuq is-server għadu jaħdem kodiċi malizzjuż, passwords imdaħħla jistgħu jinqraw.
L-assiguraturi aktar tard jistaqsu x'ġie ssalvat u meta. Tagħrif dwar l-obbligi tipiċi tinsab taħt Assigurazzjoni ċibernetika: x'jgħodd f'każ ta' danni.
Ibbilanċja: kemm hemm ħin għas-salvataġġ?
Mhux kull inċident jippermetti salvataġġ twil. Jekk għaddej tnixxija ta' data jew il-viżitaturi qed jiġu attakkati, il-ġestjoni tal-inċident għandha prijorità. L-iskonnessjoni min-netwerk waqt li s-sistema tkompli taħdem tgħaqqad it-tnejn: l-attakkant jitlef l-aċċess, it-traċċi jibqgħu. Għall-biċċa l-kbira tas-servers tal-web wara dan jibqa' biżżejjed perjodu ta' ħin raġonevoli għad-data volatili u għas-snapshot.
Ħu d-deċiżjoni b'mod konxju u żommha bil-miktub: min iddeċieda meta jerġa' jiġi installat, u x'ġie ssalvat qabel? Din in-nota aktar tard issir parti mill-Iskeda taż-żmien tal-inċident. Jekk rebuild jew tindif huwiex it-triq t-tajba, jiddiskutih l-artikolu Terġa' tinstalla s-server jew tnaddfu?.
Kif tgħin PHP SOS b'mod konkret?
- Insalvaw id-data volatili, il-logs u l-immaġini tas-sistema fl-ordni t-tajba, b'checksums u protokoll.
- Nitolbu d-data ta' servizzi qabel is-server qabel ma jiskadu ż-żminijiet ta' żamma tagħhom.
- Fejn meħtieġ, ma' sieħba speċjalizzati nieħdu f'idejna s-salvataġġ u l-evalwazzjoni forensika.
- Biss wara dan nerġgħu nibnu s-server, nagħlqu l-bieb tad-dħul u niddokumentaw l-inċident sakemm jingħalaq.
Mistoqsijiet frekwenti
Għaliex għandi nsalva l-provi qabel ma terġa' tinstalla s-server?
Għax biss it-traċċi juru kif daħal l-attakkant, kemm dam fis-sistema u liema data seta' jilħaq. Dawn it-tweġibiet għandek bżonnhom għall-protezzjoni tad-data, għall-assigurazzjoni u għall-mistoqsija jekk sistemi oħra humiex affettwati. Wara r-rebuild dawn jintilfu.
X'inhu l-aktar urġenti fis-salvataġġ?
Data volatili bħal proċessi li jaħdmu, konnessjonijiet tan-netwerk u utenti illoggjati tisparixxi mal-għeluq tas-sistema. Din tinżamm l-ewwel. Imbagħad jiġu l-logs, immaġni tas-sistema u d-data minn servizzi qabel is-server.
Backup normali huwa biżżejjed bħala salvataġġ tal-provi?
Ġeneralment le. Ħafna backups ma fihomx logs, fajls tas-sistema u metadata bħal timestamps u sidien. Għas-salvataġġ tal-provi għandek bżonn kopja kompluta u mhux mibdula b'checksum, idealment snapshot jew immaġni tal-mezz ta' ħażna.
Nista' nneħħi s-server min-netwerk qabel is-salvataġġ?
Iva, jekk ikompli jaħdem. Skonnessjoni min-netwerk twaqqaf it-tnixxija tad-data u l-kontroll mill-bogħod mingħajr ma teqred it-traċċi volatili. Restart jew għeluq, min-naħa l-oħra, iħassar il-memorja u l-proċessi li jaħdmu.