Stručne: Skôr než kompromitovaný server nainštalujete odznova, zabezpečte dôkazy v poradí podľa ich prchavosti: najprv procesy, spojenia a prihlásených používateľov, potom protokoly a konfiguráciu, potom úplný obraz systému a údaje predradených služieb. Každé zabezpečenie dostane kontrolný súčet a ukladá sa mimo servera. Server sa na to odpojí od siete, ale nevypne.
Reflex okamžite inštalovať odznova
Kto objaví vlámanie, chce ho ukončiť čo najrýchlejšie. Čerstvý systém, čisto nainštalovaný, s novými heslami: to pôsobí ako kontrola. Technicky je nová inštalácia často aj správnou cestou, najmä ak mal útočník práva root.
Problémom je okamih. So starým systémom zmiznú všetky odpovede na otázky, ktoré prídu v nasledujúcich dňoch. Cez akú zraniteľnosť sa útočník dostal? Odkedy bol v systéme? Mal prístup k údajom zákazníkov? Je dotknutý aj databázový server vedľa? Bez stôp zostávajú len domnienky a tie nepomôžu ani pri ochrane údajov, ani pri poistení.
Po PHP2Shell pribúda jeden osobitný bod: neexistujú zverejnené, potvrdené indikátory kompromitácie (Indicators of Compromise). Či a ako bol server dotknutý, sa dá vyčítať len zo správania, teda práve zo stôp, ktoré unáhlená nová inštalácia vymaže. Odborná tlač radí uchovávať protokoly servera od 20. októbra 2026.
Zabezpečenie dôkazov na serveri: poradie rozhoduje
Stopy sú rôzne prchavé. Čo je v operačnej pamäti, je preč pri najbližšom reštarte. Protokoly prežijú dlhšie, ale rotujú sa. Údaje na predradených službách zmiznú podľa ich vlastných lehôt. Z toho vyplýva poradie:
| Stopa | Prchavosť | Ako zabezpečiť |
|---|---|---|
| Procesy, sieťové spojenia, prihlásení používatelia | zmizne pri reštarte | výstupy systémových príkazov zapísať do súborov |
| Operačná pamäť | zmizne pri reštarte | len so špeciálnym nástrojom, úloha pre forenzných odborníkov |
Dočasné súbory v /tmp alebo /dev/shm |
pri reštarte sa často zmažú | skopírovať bez spustenia |
| Protokoly webového servera, PHP, systému | rotujú sa | skopírovať úplne, rotáciu zastaviť |
| Súborový systém a databáza | stabilné do novej inštalácie | snímka alebo obraz disku, export databázy |
| CDN, WAF, firewall, poskytovateľ hostingu | uchovávanie podľa lehôt poskytovateľa | vyžiadať export, nechať si ho písomne potvrdiť |
Operačnú pamäť zabezpečujete len vtedy, ak je po ruke niekto so vhodným nástrojom a skúsenosťami. Pri systémoch s citlivými údajmi alebo predvídateľným súdnym sporom by to mala prevziať IT forenzná analýza.
Prchavé údaje zaznamenať za pár minút
Nasledujúce príkazy nič nemenia v systéme. Zapisujú aktuálny stav do súborov, ktoré sa následne zálohujú mimo servera. Cieľový adresár vytvorte podľa možnosti na pripojenom, samostatnom nosiči:
ZIEL=/mnt/sicherung/fall-$(date -u +%Y%m%dT%H%MZ)
mkdir -p "$ZIEL"
date -u > "$ZIEL/zeitpunkt-utc.txt"
ps auxwwf > "$ZIEL/prozesse.txt"
ss -tunap > "$ZIEL/verbindungen.txt"
who -a > "$ZIEL/angemeldet.txt"
last -F > "$ZIEL/anmeldungen.txt"
ip addr > "$ZIEL/netz.txt"; ip route >> "$ZIEL/netz.txt"
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done > "$ZIEL/cronjobs.txt"
sha256sum "$ZIEL"/* > "$ZIEL.sha256"
Ako následne protokoly úplne zabezpečiť a vyhodnotiť, opisuje sprievodca Vyhodnotenie protokolov webového servera po útoku. Pri virtuálnych serveroch je snímka cez správu poskytovateľa najjednoduchšou cestou k úplnému obrazu. Zachytí systém bez toho, aby ste na kompromitovanom serveri museli spúšťať ďalšie nástroje.
Aby malo zabezpečenie neskôr hodnotu
Zabezpečenie je také dobré ako jeho preukázanie. Tri pravidlá ho robia preukazným:
- Kontrolné súčty: každý zabezpečený súbor dostane kontrolný súčet SHA-256. Tým sa neskôr dá preukázať, že kópia je nezmenená.
- Záznam: kto čo kedy zabezpečil, akým príkazom, kam? Každé odovzdanie tretím stranám sa zaznamená. Odborníci to nazývajú reťazec dôkazov.
- Oddelené uloženie: kópie patria na systém, ku ktorému útočník nemal prístup, a ďalej sa používajú len na čítanie.
Potom pracujte už len s kópiami. Každá analýza na origináli mení časové pečiatky a môže prepísať stopy. Podozrivé súbory nikdy nespúšťajte a neotvárajte ich cez prehliadač.
Protokoly z CDN, WAF a od poskytovateľa hostingu si vyžiadajte včas. Tieto údaje ležia mimo vášho servera a útočník ich len ťažko zmanipuluje, často sa však uchovávajú iba krátko.
Čo zničí dôkazný stav
Mnohé stopy sa nestratia zásahom útočníka, ale dobre mienenou prvou pomocou. Týmto krokom by sa pred zabezpečením malo vyhnúť:
- Reštart alebo vypnutie: procesy, spojenia a operačná pamäť sú potom preč.
- Antivírus s automatickým mazaním: odstráni súbory skôr, než ich niekto zabezpečil, a mení časové pečiatky.
- Upratovanie protokolov alebo dočasných priečinkov: aj keď dochádza miesto, najprv kopírovať, potom mazať.
- Inštalácia nových nástrojov z internetu na server: každá inštalácia zapisuje do súborového systému a môže prekryť stopy.
- Prihlásenie s privilegovanými prístupovými údajmi bez nutnosti: ak na serveri ešte beží škodlivý kód, zadané heslá sa môžu odpočúvať.
Práve poisťovne sa neskôr pýtajú, čo sa kedy zabezpečilo. Pokyny k typickým povinnostiam nájdete v článku Kybernetické poistenie: čo rozhoduje v poistnej udalosti.
Zvážiť: koľko času je na zabezpečenie?
Nie každý incident umožňuje dlhé zabezpečovanie. Ak práve prebieha odtok údajov alebo sa útočí na návštevníkov, prednosť má obmedzenie škôd. Odpojenie od siete pri bežiacom systéme spája oboje: útočník stráca prístup, stopy zostávajú zachované. Pre väčšinu webových serverov stačí potom prehľadný časový úsek na prchavé údaje a snímku.
Rozhodnutie urobte vedome a zaznamenajte ho: kto rozhodol, kedy sa bude inštalovať odznova, a čo sa predtým zabezpečilo? Táto poznámka je neskôr súčasťou časovej osi incidentu. Či je správnou cestou nová inštalácia alebo vyčistenie, osvetľuje príspevok Server nainštalovať odznova alebo vyčistiť?.
Ako konkrétne pomáha PHP SOS?
- Prchavé údaje, protokoly a obrazy systému zabezpečíme v správnom poradí, s kontrolnými súčtami a záznamom.
- Údaje predradených služieb si vyžiadame skôr, než uplynú ich lehoty uchovávania.
- Podľa potreby preberáme so špecializovanými partnermi forenzné zabezpečenie a vyhodnotenie.
- Až potom server postavíme odznova, uzavrieme vstupnú bránu a incident zdokumentujeme, kým nie je uzavretý.
Časté otázky
Prečo mám pred novou inštaláciou zabezpečiť dôkazy?
Pretože len stopy ukazujú, ako sa útočník dostal dnu, ako dlho bol v systéme a ku ktorým údajom sa mohol dostať. Tieto odpovede potrebujete pre ochranu údajov, poistenie a otázku, či sú dotknuté ďalšie systémy. Po novej inštalácii sú stratené.
Čo je pri zabezpečovaní najnaliehavejšie?
Prchavé údaje, ako sú bežiace procesy, sieťové spojenia a prihlásení používatelia, zmiznú pri vypnutí. Zaznamenajú sa ako prvé. Nasledujú protokoly, obraz systému a údaje z predradených služieb.
Stačí ako zabezpečenie dôkazov bežná záloha?
Spravidla nie. Mnohé zálohy neobsahujú protokoly, systémové súbory ani metaúdaje, ako sú časové pečiatky a vlastníci. Na zabezpečenie dôkazov potrebujete úplnú, nezmenenú kópiu s kontrolným súčtom, ideálne snímku alebo obraz disku.
Smiem server pred zabezpečením odpojiť od siete?
Áno, ak pritom naďalej beží. Odpojenie od siete zastaví odtok údajov a diaľkové ovládanie bez zničenia prchavých stôp. Reštart alebo vypnutie naopak vymaže operačnú pamäť a bežiace procesy.