# Forensika tal-IT wara attakk fuq server tal-web

> Forensika tal-IT għas-servers: insalvaw it-traċċi b'mod li jiżgura l-evidenza, nevalwaw logs u fajls u niċċaraw x'ġara fl-attakk ma' msieħba speċjalizzati.

Sors: https://phpsos.de/mt/leistungen/it-forensik/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Il-forensika tal-IT għas-servers twieġeb il-mistoqsija x'ġara tassew f'attakk: meta, kif, b'liema konsegwenzi. Flimkien ma' msieħba speċjalizzati tal-forensika nsalvaw it-traċċi b'mod li jiżgura l-evidenza, nevalwaw logs, sistemi tal-fajls u databases u nagħtu rapport li jista' jiġi segwit. Iservi bħala bażi għal notifiki, għall-assigurazzjoni u, jekk ikun il-każ, għal prosekuzzjoni.

## Meta għandkom bżonn forensika tal-IT għas-server tagħkom

Mhux kull inċident jeħtieġ investigazzjoni forensika. Għandha sens l-aktar meta tista' tkun affettwata data personali, data tal-pagamenti jew sigrieti kummerċjali, meta rapport lill-pulizija jew tilwima legali jidhru fl-orizzont jew meta assikuratur jistenna prova solida. Anke fil-mistoqsija jekk hijiex meħtieġa notifika lill-awtorità superviżorja, fatti ppruvati jgħinu aktar minn suppożizzjonijiet.

Wara PHP2Shell jiżdied punt speċjali. Il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 jippermettu eżekuzzjoni ta' kodiċi mingħajr login, u ma hemm ebda Indicators of Compromise ippubblikati u kkonfermati. Jekk server kienx affettwat, għalhekk, ma jistax jiġi mmarkat b'lista ta' kontroll, imma biss b'analiżi tal-imġiba: liema proċessi kienu jaħdmu, liema fajls inħolqu, liema konnessjonijiet marru 'l barra? L-ewwel indikazzjonijiet jagħti [Diġà kompromessi?](https://phpsos.de/mt/php2shell/bin-ich-gehackt-anzeichen/).

## X'jiddistingwi l-forensika minn tindif rapidu

It-tindif irid jerġa' jagħmel is-server nadif. Il-forensika trid tifhem u tipprova. Waħda tistaqsi “Is-server huwa sigur mill-ġdid?”, l-oħra “X'ġara eżattament, u liema data kienet aċċessibbli?”. Għal notifiki, għall-assigurazzjoni u għall-informazzjoni lill-klijenti normalment it-tieni mistoqsija hija d-deċiżiva. It-tnejn jirnexxu flimkien jekk l-ordni hija korretta: l-ewwel insalvaw, imbagħad nibdlu. Min l-ewwel iħassar, ipatchja jew jerġa' jibda jitlef traċċi volatili u aktar tard ħafna drabi ma jistax jerġa' juri x'ra l-attakkant.

> **Importanti:**
> Żommu l-logs kollha tas-server mill-20/10/2026 'il quddiem u itolbu lill-hoster tagħkom ma jdawwarx u ma jħassarx il-protokolli. Logs neqsin huma l-aktar kawża frekwenti ta' mistoqsijiet miftuħa fir-rapport.

## Liema traċċi jgħoddu fuq server tal-web tal-PHP

Fuq server tal-web tipiku hemm aktar traċċi milli jaħsbu ħafna operaturi. Jekk jistgħux jiġu użati jiddependi minn kemm iddum il-ħażna tagħhom u jekk ġewx megħjuna qabel l-intervent.

- **Protokolli tal-aċċess u tal-iżbalji** tas-server tal-web u ta' PHP-FPM, inklużi workers li ġarrbu crash
- **Sistema tal-fajls:** fajls ġodda jew mibdula, it-timestamps u s-sidien tagħhom, kodiċi eżegwibbli f'folders tal-upload
- **Database:** kontijiet ġodda ta' utenti, issettjar mibdul, kontenut imdaħħal
- **Sistema:** cronjobs, utenti, ċwievet SSH, protokolli tal-login, proċessi li jaħdmu u konnessjonijiet tan-netwerk
- **Sistemi ta' quddiem:** protokolli ta' CDN, WAF, firewall, load balancer u server tal-posta

Preċiżament is-sistemi ta' quddiem ħafna drabi jintesew. Jinsabu barra mis-server tal-web u għalhekk huma aktar diffiċli biex jiġu mmanipulati minn attakkant. Għand xi fornituri jinżammu biss għal żmien qasir, u għalhekk għandkom tesportawhom kmieni.

## Kif tgħin PHP SOS b'mod konkret?

1. **Niċċaraw l-inkarigu:** Niddeterminaw magħkom liema mistoqsijiet għandhom jiġu mwieġba, pereżempju l-bieb tad-dħul, il-perjodu, id-data affettwata jew il-moviment 'il quddiem fin-netwerk. Minn hawn jirriżulta liema sistemi jiġu investigati.
2. **Insalvaw b'mod li jiżgura l-evidenza:** Aħna u l-imsieħba speċjalizzati tagħna noħolqu kopji ta' mezzi tal-ħażna, logs, databases u, fejn possibbli, memorja. Kull backup jirċievi checksum u kull konsenja tiġi ddokumentata.
3. **Nevalwaw:** Janalizzaw protokolli tal-aċċess u tal-iżbalji, bidliet fil-fajls, kontijiet tal-utenti, cronjobs, proċessi u konnessjonijiet ħierġin. Il-metodoloġija għal-logs tiddeskrivi [Kif tevalwaw il-logs tas-server wara attakk](https://phpsos.de/mt/ratgeber/logfiles-auswerten/).
4. **Noħolqu skeda ta' żmien:** Mis-sejbiet toħroġ skeda ta' żmien tal-inċident, fejn kull dikjarazzjoni tirreferi għal prova konkreta.
5. **Nagħtu r-rapport:** Tirċievu rapport tekniku u sommarju li jinftiehem għad-direzzjoni.

## X'tirċievu u x'għandna bżonn

Ir-rapport fih il-mezzi tal-prova megħjuna bil-checksums, id-dokumentazzjoni tal-katina tal-konsenja, l-iskeda ta' żmien, il-bieb tad-dħul ddeterminat jew probabbli, is-sistemi u t-tipi ta' data affettwati kif ukoll rakkomandazzjonijiet. Kull dikjarazzjoni hija mmarkata bħala ppruvata, probabbli jew mhux magħrufa.

Minnkom għandna bżonn:

- **aċċess** għas-sistemi affettwati jew approvazzjoni li l-hoster tagħkom jagħtina kopji
- **persuna b'setgħa ta' deċiżjoni** li tiddetermina l-firxa u l-prijoritajiet
- **informazzjoni** dwar il-pajsaġġ tas-sistemi, il-fornituri u bidliet magħrufa tal-aħħar ġimgħat
- **protokolli eżistenti**, anke minn firewalls, CDN, WAF jew servers tal-posta
- **indikazzjoni** jekk l-assikuratur, il-pulizija jew l-avukat diġà ġewx involuti

Jekk tixtiequ tippreżentaw rapport, insibu indikazzjonijiet f'[Rapport lill-pulizija: Punti ta' Kuntatt Ċentrali għaċ-Cybercrime](https://phpsos.de/mt/compliance/anzeige-polizei-zac/). X'jistennew tipikament l-assikuraturi f'każ ta' dannu jispjegah [Assigurazzjoni ċibernetika: x'jgħodd f'każ ta' dannu](https://phpsos.de/mt/compliance/cyberversicherung/).

## X'ma nwiegħdux

Il-forensika tista' tevalwa biss dak li hemm bħala traċċi. Jekk il-logs jonqsu, ġew sovrascritti jew immanipulati mill-attakkant, jibqgħu lakuni, u aħna nsemmuhom. Ma nwiegħdux li qorti se tqis ir-riżultati tagħna b'xi mod speċifiku u ma nagħtux valutazzjoni legali. Ma nsemmux ħatjin, imma niddeskrivu x'juru t-traċċi. Dikjarazzjonijiet bħal “żgur li ħarġet l-ebda data” nagħmluhom biss jekk il-provi jsostnuhom.

Jekk l-attakk għadu għaddej, il-kontenzjoni għandha prijorità. Allura nibdew bl-[Incident Response](https://phpsos.de/mt/leistungen/incident-response/) u nsalvaw b'mod parallel kemm jista' jkun traċċi.


## Mistoqsijiet frekwenti

**X'tfisser sigurtà tal-evidenza li tiflaħ quddiem il-qorti?**  
It-traċċi jiġu megħjuna b'tali mod li aktar tard jista' jintwera li ma nbidlux. Dan jinkludi checksums, katina ddokumentata ta' konsenja u xogħol fuq kopji minflok fuq l-oriġinal. Jekk qorti tuża mezz ta' prova jiddeċiedi, madankollu, il-qorti.

**Il-forensika tal-IT tista' ssir taf jekk data tal-klijenti ħarġet?**  
Ħafna drabi jista' jiġi ristrett għal liema data kellu aċċess l-attakkant u jekk hemmx indikazzjonijiet ta' tnixxija. Esklużjoni żgura mhux dejjem possibbli, speċjalment jekk il-logs jonqsu. Ir-riżultat għalhekk jiġi maqsum bejn ippruvat, probabbli u mhux magħruf.

**Kemm għandhom jinżammu l-logs?**  
Għall-ċarifikar sakemm ikun possibbli, mill-inqas sakemm tintemm l-investigazzjoni. Għal PHP2Shell l-istampa speċjalizzata tirrakkomanda li jinżammu l-logs tas-server mill-20/10/2026 'il quddiem. L-obbligi legali ta' ħażna u tħassir tiċċarawhom mal-uffiċjal tal-protezzjoni tad-data.

**Nista' nerġa' nibda jew nippatchja s-server qabel il-forensika?**  
Restart iħassar traċċi volatili fil-memorja, patch jibdel fajls. Jekk tistgħu, l-ewwel agħmlu backup jew tkellmu magħna fil-qosor. Jekk il-periklu hu akut, il-kontenzjoni għandha prijorità, u dan jiġi ddokumentat.

## Sorsi

- [BSI: Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni](https://www.bsi.bund.de/)
- [Pulizija: Punti ta' kuntatt ċentrali għaċ-cybercrime](https://www.polizei.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)