Kort gezegd: IT-forensica voor servers beantwoordt de vraag wat er bij een aanval werkelijk is gebeurd: wanneer, hoe en met welke gevolgen. Samen met gespecialiseerde forensische partners veiligstellen wij sporen bewijskrachtig, analyseren logs, bestandssystemen en databases en leveren een navolgbaar rapport. Dat dient als grondslag voor meldingen, verzekering en eventueel strafvervolging.
Wanneer u IT-forensica voor uw server nodig hebt
Niet elk incident vraagt om een forensisch onderzoek. Zinvol is het vooral als persoonsgegevens, betaalgegevens of bedrijfsgeheimen getroffen kunnen zijn, als een aangifte of rechtszaak te verwachten is of als een verzekeraar een deugdelijk bewijs verwacht. Ook bij de vraag of een melding aan de toezichthouder nodig is, helpen aangetoonde feiten meer dan vermoedens.
Na PHP2Shell komt er een bijzonder punt bij. De kwetsbaarheden CVE-2026-109618 en CVE-2026-109619 maken code-uitvoering zonder inloggen mogelijk, en er zijn geen gepubliceerde, bevestigde Indicators of Compromise. Of een server getroffen was, laat zich daarom niet met een checklist afvinken, maar alleen door gedragsanalyse: welke processen draaiden, welke bestanden ontstonden, welke verbindingen gingen naar buiten? Eerste aanknopingspunten biedt Ben ik al gecompromitteerd?.
Wat forensica onderscheidt van snelle reiniging
Reiniging wil de server weer schoon maken. Forensica wil begrijpen en aantonen. De ene vraag luidt: „Is de server weer veilig?”, de andere: „Wat is er precies gebeurd, en welke gegevens waren bereikbaar?” Voor meldingen, verzekering en klantinformatie is meestal de tweede vraag doorslaggevend. Beide gaan samen als de volgorde klopt: eerst veiligstellen, dan wijzigen. Wie eerst wist, patcht of herstart, verliest vluchtige sporen en kan later vaak niet meer laten zien wat de aanvaller heeft gezien.
Bewaar alle serverlogs vanaf 20 oktober 2026 en vraag uw hoster logs niet te roteren of te wissen. Ontbrekende logs zijn de meest voorkomende oorzaak van openstaande vragen in het rapport.
Welke sporen op een PHP-webserver tellen
Op een typische webserver zijn er meer sporen dan veel beheerders vermoeden. Of ze bruikbaar zijn, hangt ervan af hoe lang ze worden bewaard en of ze vóór de ingreep zijn veiliggesteld.
- Toegangs- en foutlogs van de webserver en van PHP-FPM, inclusief gecrashte workers
- Bestandssysteem: nieuwe of gewijzigde bestanden, hun tijdstempels en eigenaren, uitvoerbare code in uploadmappen
- Database: nieuwe gebruikersaccounts, gewijzigde instellingen, ingebrachte inhoud
- Systeem: cronjobs, gebruikers, SSH-sleutels, aanmeldlogs, lopende processen en netwerkverbindingen
- Voorgeschakelde systemen: logs van CDN, WAF, firewall, load balancer en mailserver
Juist de voorgeschakelde systemen worden vaak vergeten. Ze liggen buiten de webserver en zijn daarom voor een aanvaller moeilijker te manipuleren. Bij sommige aanbieders worden ze maar kort bewaard, dus exporteer ze vroeg.
Hoe helpt PHP SOS concreet?
- Opdracht verduidelijken: wij leggen met u vast welke vragen moeten worden beantwoord, bijvoorbeeld toegangspoort, periode, getroffen gegevens of verplaatsing door het netwerk. Daaruit volgt welke systemen worden onderzocht.
- Bewijskrachtig veiligstellen: wij en onze gespecialiseerde partners maken kopieën van gegevensdragers, logs, databases en, waar mogelijk, werkgeheugen. Elke kopie krijgt een controlesom, elke overdracht wordt gedocumenteerd.
- Analyseren: wij analyseren toegangs- en foutlogs, bestandswijzigingen, gebruikersaccounts, cronjobs, processen en uitgaande verbindingen. De methodiek voor logs beschrijft Webserverlogs na een aanval analyseren.
- Tijdlijn opstellen: uit de bevindingen ontstaat een tijdlijn van het incident, waarin elke uitspraak naar een concreet bewijs verwijst.
- Rapport overdragen: u ontvangt een technisch rapport en een begrijpelijke samenvatting voor de directie.
Wat u krijgt en wat wij nodig hebben
Het rapport bevat de veiliggestelde bewijsmiddelen met controlesommen, de documentatie van de overdrachtsketen, de tijdlijn, de vastgestelde of waarschijnlijke toegangspoort, de getroffen systemen en soorten gegevens en aanbevelingen. Elke uitspraak is gemarkeerd als aangetoond, waarschijnlijk of onbekend.
Wij hebben van u nodig:
- toegang tot de getroffen systemen of de toestemming dat uw hoster ons kopieën beschikbaar stelt
- een beslissingsbevoegd persoon die omvang en prioriteiten bepaalt
- informatie over systeemlandschap, dienstverleners en bekende wijzigingen van de afgelopen weken
- bestaande logs, ook uit firewalls, CDN, WAF of mailservers
- de mededeling of verzekeraar, politie of advocaat al zijn betrokken
Wilt u aangifte doen, dan vindt u aanwijzingen onder Aangifte doen: centrale aanspreekpunten cybercrime. Wat verzekeraars bij schade typisch verwachten, legt Cyberverzekering: wat telt bij schade uit.
Wat we niet beloven
Forensica kan alleen analyseren wat er aan sporen is. Ontbreken logs, zijn ze overschreven of door de aanvaller gemanipuleerd, dan blijven er hiaten, en die benoemen we. Wij beloven niet dat een rechter onze resultaten op een bepaalde manier beoordeelt, en wij geven geen juridische beoordeling. We noemen geen daders, maar beschrijven wat de sporen laten zien. Ook uitspraken als „er zijn zeker geen gegevens weggelekt” doen we alleen als de bewijzen die dragen.
Loopt de aanval nog, dan gaat de beperking voor. Dan beginnen we met de incident response en veiligstellen we parallel zoveel mogelijk sporen.
Veelgestelde vragen
Wat betekent bewijskrachtige bewijsveiligstelling?
Sporen worden zo veiliggesteld dat later kan worden aangetoond dat ze ongewijzigd zijn. Daartoe horen controlesommen, een gedocumenteerde overdrachtsketen en werken aan kopieën in plaats van aan het origineel. Of een rechter een bewijsmiddel gebruikt, beslist echter de rechter.
Kan IT-forensica vaststellen of klantgegevens zijn weggelekt?
Vaak is af te bakenen tot welke gegevens een aanvaller toegang had en of er aanwijzingen zijn voor uitstroom. Een zekere uitsluiting is niet altijd mogelijk, vooral als logs ontbreken. Het resultaat wordt daarom gescheiden in aangetoond, waarschijnlijk en onbekend.
Hoe lang moeten logs worden bewaard?
Voor het onderzoek zo lang mogelijk, in elk geval tot het onderzoek is afgerond. Bij PHP2Shell adviseert de vakpers serverlogs vanaf 20 oktober 2026 te bewaren. Wettelijke bewaar- en verwijderplichten bespreekt u met uw functionaris voor gegevensbescherming.
Mag ik de server vóór de forensica herstarten of patchen?
Een herstart wist vluchtige sporen in het werkgeheugen, een patch wijzigt bestanden. Als u kunt, maak eerst een kopie of overleg kort met ons. Is het gevaar acuut, dan gaat de beperking van de aanval voor, en dat wordt gedocumenteerd.