Pe scurt: Criminalistica IT pentru servere răspunde la întrebarea ce s-a întâmplat de fapt în timpul unui atac: când, cum, cu ce consecințe. Împreună cu parteneri specializați în criminalistică, conservăm urmele cu valoare probatorie, analizăm loguri, sisteme de fișiere și baze de date și livrăm un raport ușor de urmărit. Acesta servește drept bază pentru notificări, asigurare și, după caz, urmărire penală.
Când aveți nevoie de criminalistică IT pentru serverul dumneavoastră
Nu orice incident necesită o investigație criminalistică. Ea este utilă mai ales atunci când ar putea fi afectate date cu caracter personal, date de plată sau secrete comerciale, când o sesizare sau un litigiu sunt previzibile ori când un asigurător așteaptă o dovadă solidă. Și în privința întrebării dacă este necesară o notificare către autoritatea de supraveghere, faptele dovedite ajută mai mult decât presupunerile.
După PHP2Shell se adaugă un aspect aparte. Vulnerabilitățile CVE-2026-109618 și CVE-2026-109619 permit execuția de cod fără autentificare, și nu există Indicators of Compromise publicați și confirmați. Dacă un server a fost afectat nu se poate, de aceea, bifa cu o listă de verificare, ci doar prin analiza comportamentului: ce procese rulau, ce fișiere au apărut, ce conexiuni au plecat spre exterior? Primele repere le oferă Am fost deja compromis?.
Ce diferențiază criminalistica de o curățare rapidă
Curățarea vrea să facă serverul din nou curat. Criminalistica vrea să înțeleagă și să dovedească. Una întreabă „Este serverul din nou sigur?”, cealaltă „Ce anume s-a întâmplat și ce date au fost accesibile?”. Pentru notificări, asigurare și informarea clienților, decisivă este de regulă a doua întrebare. Ambele sunt compatibile dacă ordinea este corectă: mai întâi se salvează, apoi se modifică. Cine șterge, aplică patchuri sau repornește primul pierde urme volatile și adesea nu mai poate arăta ulterior ce a văzut atacatorul.
Păstrați toate logurile serverului începând cu 20.10.2026 și cereți furnizorului de hosting să nu rotească și să nu șteargă jurnalele. Logurile lipsă sunt cauza cea mai frecventă a întrebărilor rămase deschise în raport.
Ce urme contează pe un server web PHP
Pe un server web obișnuit există mai multe urme decât bănuiesc mulți operatori. Dacă pot fi valorificate depinde de cât timp sunt păstrate și de faptul dacă au fost salvate înainte de intervenție.
- Jurnalele de acces și de erori ale serverului web și ale PHP-FPM, inclusiv workerii care s-au prăbușit
- Sistemul de fișiere: fișiere noi sau modificate, marcajele lor de timp și proprietarii, cod executabil în dosarele de încărcare
- Baza de date: conturi noi de utilizator, setări modificate, conținut introdus
- Sistemul: cronjoburi, utilizatori, chei SSH, jurnale de autentificare, procese în execuție și conexiuni de rețea
- Sisteme din amonte: jurnale de la CDN, WAF, firewall, load balancer și server de e-mail
Tocmai sistemele din amonte sunt adesea uitate. Ele se află în afara serverului web și sunt, de aceea, mai greu de manipulat pentru un atacator. La unii furnizori sunt păstrate doar puțin timp, de aceea ar trebui să le exportați din timp.
Cum ajută PHP SOS concret?
- Clarificarea mandatului: Stabilim cu dumneavoastră la ce întrebări trebuie să se răspundă, de exemplu punctul de intrare, perioada, datele afectate sau deplasarea prin rețea. De aici rezultă ce sisteme vor fi investigate.
- Conservare cu valoare probatorie: Noi și partenerii noștri specializați realizăm copii ale suporturilor de date, logurilor, bazelor de date și, unde este posibil, ale memoriei de lucru. Fiecare copie primește o sumă de control, iar fiecare predare este documentată.
- Analiza: Analizăm jurnalele de acces și de erori, modificările de fișiere, conturile de utilizator, cronjobul, procesele și conexiunile spre exterior. Metodologia pentru loguri este descrisă în Cum analizați logurile serverului web după un atac.
- Întocmirea cronologiei: Din constatări rezultă o cronologie a incidentului, în care fiecare afirmație trimite la o dovadă concretă.
- Predarea raportului: Primiți un raport tehnic și un rezumat ușor de înțeles pentru conducere.
Ce primiți și de ce avem nevoie
Raportul conține mijloacele de probă conservate cu sumele de control, documentarea lanțului de custodie, cronologia, punctul de intrare stabilit sau probabil, sistemele și tipurile de date afectate, precum și recomandări. Fiecare afirmație este marcată ca dovedită, probabilă sau necunoscută.
De la dumneavoastră avem nevoie de:
- acces la sistemele afectate sau acordul ca furnizorul dumneavoastră de hosting să ne pună la dispoziție copii
- o persoană cu putere de decizie, care stabilește amploarea și prioritățile
- informații despre peisajul de sisteme, furnizorii de servicii și modificările cunoscute din ultimele săptămâni
- jurnalele existente, inclusiv cele de la firewall, CDN, WAF sau servere de e-mail
- precizarea dacă asigurătorul, poliția sau un avocat sunt deja implicați
Dacă doriți să depuneți o sesizare, găsiți indicații în Cum depuneți o sesizare: punctele centrale de contact Cybercrime. Ce așteaptă de obicei asigurătorii în caz de daună explică Asigurarea cyber: ce contează în caz de daună.
Ce nu promitem
Criminalistica poate analiza doar urmele care există. Dacă logurile lipsesc, au fost suprascrise sau au fost manipulate de atacator, rămân lacune, iar noi le menționăm. Nu promitem că o instanță va aprecia rezultatele noastre într-un anumit fel și nu oferim o evaluare juridică. Nu indicăm făptuitori, ci descriem ce arată urmele. Nici afirmații precum „sigur nu au fost exfiltrate date” nu facem decât dacă dovezile le susțin.
Dacă atacul este încă în desfășurare, izolarea are prioritate. În acest caz începem cu Incident Response și conservăm în paralel cât mai multe urme.
Întrebări frecvente
Ce înseamnă conservarea probelor cu valoare în fața instanței?
Urmele sunt conservate astfel încât să se poată dovedi ulterior că sunt nemodificate. Aici intră sumele de control, un lanț de custodie documentat și lucrul pe copii, nu pe original. Dacă o instanță valorifică un mijloc de probă, decide totuși instanța.
Poate criminalistica IT să clarifice dacă datele clienților au fost exfiltrate?
Adesea se poate circumscrie la ce date a avut acces un atacator și dacă există indicii de exfiltrare. O excludere sigură nu este întotdeauna posibilă, mai ales dacă lipsesc logurile. De aceea, rezultatul este împărțit în dovedit, probabil și necunoscut.
Cât timp trebuie păstrate logurile?
Pentru elucidare, cât mai mult posibil, cel puțin până la încheierea investigației. În cazul PHP2Shell, presa de specialitate recomandă păstrarea logurilor serverului începând cu 20.10.2026. Obligațiile legale de păstrare și de ștergere le clarificați cu responsabilul dumneavoastră cu protecția datelor.
Pot reporni sau actualiza serverul înainte de investigația criminalistică?
O repornire șterge urmele volatile din memoria de lucru, iar un patch modifică fișiere. Dacă puteți, salvați mai întâi sau discutați pe scurt cu noi. Dacă pericolul este acut, izolarea are prioritate, iar acest lucru se documentează.