Fil-qosor: Il-forensika tal-IT għas-servers twieġeb il-mistoqsija x'ġara tassew f'attakk: meta, kif, b'liema konsegwenzi. Flimkien ma' msieħba speċjalizzati tal-forensika nsalvaw it-traċċi b'mod li jiżgura l-evidenza, nevalwaw logs, sistemi tal-fajls u databases u nagħtu rapport li jista' jiġi segwit. Iservi bħala bażi għal notifiki, għall-assigurazzjoni u, jekk ikun il-każ, għal prosekuzzjoni.
Meta għandkom bżonn forensika tal-IT għas-server tagħkom
Mhux kull inċident jeħtieġ investigazzjoni forensika. Għandha sens l-aktar meta tista' tkun affettwata data personali, data tal-pagamenti jew sigrieti kummerċjali, meta rapport lill-pulizija jew tilwima legali jidhru fl-orizzont jew meta assikuratur jistenna prova solida. Anke fil-mistoqsija jekk hijiex meħtieġa notifika lill-awtorità superviżorja, fatti ppruvati jgħinu aktar minn suppożizzjonijiet.
Wara PHP2Shell jiżdied punt speċjali. Il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 jippermettu eżekuzzjoni ta' kodiċi mingħajr login, u ma hemm ebda Indicators of Compromise ippubblikati u kkonfermati. Jekk server kienx affettwat, għalhekk, ma jistax jiġi mmarkat b'lista ta' kontroll, imma biss b'analiżi tal-imġiba: liema proċessi kienu jaħdmu, liema fajls inħolqu, liema konnessjonijiet marru 'l barra? L-ewwel indikazzjonijiet jagħti Diġà kompromessi?.
X'jiddistingwi l-forensika minn tindif rapidu
It-tindif irid jerġa' jagħmel is-server nadif. Il-forensika trid tifhem u tipprova. Waħda tistaqsi “Is-server huwa sigur mill-ġdid?”, l-oħra “X'ġara eżattament, u liema data kienet aċċessibbli?”. Għal notifiki, għall-assigurazzjoni u għall-informazzjoni lill-klijenti normalment it-tieni mistoqsija hija d-deċiżiva. It-tnejn jirnexxu flimkien jekk l-ordni hija korretta: l-ewwel insalvaw, imbagħad nibdlu. Min l-ewwel iħassar, ipatchja jew jerġa' jibda jitlef traċċi volatili u aktar tard ħafna drabi ma jistax jerġa' juri x'ra l-attakkant.
Żommu l-logs kollha tas-server mill-20/10/2026 'il quddiem u itolbu lill-hoster tagħkom ma jdawwarx u ma jħassarx il-protokolli. Logs neqsin huma l-aktar kawża frekwenti ta' mistoqsijiet miftuħa fir-rapport.
Liema traċċi jgħoddu fuq server tal-web tal-PHP
Fuq server tal-web tipiku hemm aktar traċċi milli jaħsbu ħafna operaturi. Jekk jistgħux jiġu użati jiddependi minn kemm iddum il-ħażna tagħhom u jekk ġewx megħjuna qabel l-intervent.
- Protokolli tal-aċċess u tal-iżbalji tas-server tal-web u ta' PHP-FPM, inklużi workers li ġarrbu crash
- Sistema tal-fajls: fajls ġodda jew mibdula, it-timestamps u s-sidien tagħhom, kodiċi eżegwibbli f'folders tal-upload
- Database: kontijiet ġodda ta' utenti, issettjar mibdul, kontenut imdaħħal
- Sistema: cronjobs, utenti, ċwievet SSH, protokolli tal-login, proċessi li jaħdmu u konnessjonijiet tan-netwerk
- Sistemi ta' quddiem: protokolli ta' CDN, WAF, firewall, load balancer u server tal-posta
Preċiżament is-sistemi ta' quddiem ħafna drabi jintesew. Jinsabu barra mis-server tal-web u għalhekk huma aktar diffiċli biex jiġu mmanipulati minn attakkant. Għand xi fornituri jinżammu biss għal żmien qasir, u għalhekk għandkom tesportawhom kmieni.
Kif tgħin PHP SOS b'mod konkret?
- Niċċaraw l-inkarigu: Niddeterminaw magħkom liema mistoqsijiet għandhom jiġu mwieġba, pereżempju l-bieb tad-dħul, il-perjodu, id-data affettwata jew il-moviment 'il quddiem fin-netwerk. Minn hawn jirriżulta liema sistemi jiġu investigati.
- Insalvaw b'mod li jiżgura l-evidenza: Aħna u l-imsieħba speċjalizzati tagħna noħolqu kopji ta' mezzi tal-ħażna, logs, databases u, fejn possibbli, memorja. Kull backup jirċievi checksum u kull konsenja tiġi ddokumentata.
- Nevalwaw: Janalizzaw protokolli tal-aċċess u tal-iżbalji, bidliet fil-fajls, kontijiet tal-utenti, cronjobs, proċessi u konnessjonijiet ħierġin. Il-metodoloġija għal-logs tiddeskrivi Kif tevalwaw il-logs tas-server wara attakk.
- Noħolqu skeda ta' żmien: Mis-sejbiet toħroġ skeda ta' żmien tal-inċident, fejn kull dikjarazzjoni tirreferi għal prova konkreta.
- Nagħtu r-rapport: Tirċievu rapport tekniku u sommarju li jinftiehem għad-direzzjoni.
X'tirċievu u x'għandna bżonn
Ir-rapport fih il-mezzi tal-prova megħjuna bil-checksums, id-dokumentazzjoni tal-katina tal-konsenja, l-iskeda ta' żmien, il-bieb tad-dħul ddeterminat jew probabbli, is-sistemi u t-tipi ta' data affettwati kif ukoll rakkomandazzjonijiet. Kull dikjarazzjoni hija mmarkata bħala ppruvata, probabbli jew mhux magħrufa.
Minnkom għandna bżonn:
- aċċess għas-sistemi affettwati jew approvazzjoni li l-hoster tagħkom jagħtina kopji
- persuna b'setgħa ta' deċiżjoni li tiddetermina l-firxa u l-prijoritajiet
- informazzjoni dwar il-pajsaġġ tas-sistemi, il-fornituri u bidliet magħrufa tal-aħħar ġimgħat
- protokolli eżistenti, anke minn firewalls, CDN, WAF jew servers tal-posta
- indikazzjoni jekk l-assikuratur, il-pulizija jew l-avukat diġà ġewx involuti
Jekk tixtiequ tippreżentaw rapport, insibu indikazzjonijiet f'Rapport lill-pulizija: Punti ta' Kuntatt Ċentrali għaċ-Cybercrime. X'jistennew tipikament l-assikuraturi f'każ ta' dannu jispjegah Assigurazzjoni ċibernetika: x'jgħodd f'każ ta' dannu.
X'ma nwiegħdux
Il-forensika tista' tevalwa biss dak li hemm bħala traċċi. Jekk il-logs jonqsu, ġew sovrascritti jew immanipulati mill-attakkant, jibqgħu lakuni, u aħna nsemmuhom. Ma nwiegħdux li qorti se tqis ir-riżultati tagħna b'xi mod speċifiku u ma nagħtux valutazzjoni legali. Ma nsemmux ħatjin, imma niddeskrivu x'juru t-traċċi. Dikjarazzjonijiet bħal “żgur li ħarġet l-ebda data” nagħmluhom biss jekk il-provi jsostnuhom.
Jekk l-attakk għadu għaddej, il-kontenzjoni għandha prijorità. Allura nibdew bl-Incident Response u nsalvaw b'mod parallel kemm jista' jkun traċċi.
Mistoqsijiet frekwenti
X'tfisser sigurtà tal-evidenza li tiflaħ quddiem il-qorti?
It-traċċi jiġu megħjuna b'tali mod li aktar tard jista' jintwera li ma nbidlux. Dan jinkludi checksums, katina ddokumentata ta' konsenja u xogħol fuq kopji minflok fuq l-oriġinal. Jekk qorti tuża mezz ta' prova jiddeċiedi, madankollu, il-qorti.
Il-forensika tal-IT tista' ssir taf jekk data tal-klijenti ħarġet?
Ħafna drabi jista' jiġi ristrett għal liema data kellu aċċess l-attakkant u jekk hemmx indikazzjonijiet ta' tnixxija. Esklużjoni żgura mhux dejjem possibbli, speċjalment jekk il-logs jonqsu. Ir-riżultat għalhekk jiġi maqsum bejn ippruvat, probabbli u mhux magħruf.
Kemm għandhom jinżammu l-logs?
Għall-ċarifikar sakemm ikun possibbli, mill-inqas sakemm tintemm l-investigazzjoni. Għal PHP2Shell l-istampa speċjalizzata tirrakkomanda li jinżammu l-logs tas-server mill-20/10/2026 'il quddiem. L-obbligi legali ta' ħażna u tħassir tiċċarawhom mal-uffiċjal tal-protezzjoni tad-data.
Nista' nerġa' nibda jew nippatchja s-server qabel il-forensika?
Restart iħassar traċċi volatili fil-memorja, patch jibdel fajls. Jekk tistgħu, l-ewwel agħmlu backup jew tkellmu magħna fil-qosor. Jekk il-periklu hu akut, il-kontenzjoni għandha prijorità, u dan jiġi ddokumentat.