# Incident Response pri útokoch na servery > Incident Response pri útokoch na servery: prevezmeme triedenie, zastavenie, vyčistenie a obnovu s jasnými rolami a zdokumentovaným postupom. Zdroj: https://phpsos.de/sk/leistungen/incident-response/ Stav: 25.10.2026 Poskytovateľ: PHP SOS, Núdzová pomoc pri PHP a bezpečnosť serverov. Okamžitá pomoc cez WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20de%C5%88%2C%20PHP%20SOS%2C%20potrebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20serverom%20s%20PHP.%20Spolo%C4%8Dnos%C5%A5%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6 **Stručne:** Ak útok postihuje viac než jediný web, potrebujete poskytovateľa Incident Response, ktorý incident spracuje štruktúrovane. Prevezmeme obraz situácie, zastavenie, vyčistenie a bezpečnú obnovu, s jasnými rolami a plnou dokumentáciou. Rozhodnutia zostávajú vám, technický základ zabezpečíme my. ## Čo znamená Incident Response pri útokoch na servery Incident Response je usporiadané spracovanie bezpečnostného incidentu. Namiesto hektických jednotlivých akcií sa práca riadi pevnými fázami: rozpoznať a zaradiť, zastaviť, odstrániť, obnoviť, vyhodnotiť. Každé opatrenie sa zaznamenáva s časom a odôvodnením. Práve pri webových serveroch je to dôležité. Server s aplikáciami PHP často obsahuje prístupové údaje k databázam, poskytovateľom platieb, poštovým serverom a rozhraniam. Kto sa tam dostal, môže sa pohybovať ďalej. Situácia po PHP2Shell ukazuje, ako rýchlo môže takáto situácia vzniknúť: spúšťanie kódu bez autentifikácie, podľa Unit 42 viac ako 22,6 milióna exponovaných inštancií a žiadne zverejnené, potvrdené Indicators of Compromise. ## Kedy potrebujete poskytovateľa Incident Response - je dotknutých alebo by mohlo byť dotknutých viac serverov či aplikácií - existuje podozrenie, že unikli osobné alebo platobné údaje - útočník je možno stále aktívny, napríklad prostredníctvom prebiehajúcich spojení alebo nových účtov - ide o vydieranie alebo verejné oznámenie útoku - poisťovňa, orgány alebo obchodní partneri očakávajú zdokumentovaný postup Pri jedinom napadnutom webe často stačí [núdzová pomoc pri hacknutom webe](https://phpsos.de/sk/leistungen/website-gehackt-notfallhilfe/). Prechod k plnému spracovaniu incidentu s vami prerokujeme, hneď ako sa ukáže väčší rozsah. ## Ako konkrétne pomáha PHP SOS? 1. **Triedenie a obraz situácie:** Objasníme, čo sa pozorovalo, ktoré systémy a údaje môžu byť dotknuté a koho treba interne zapojiť. Výsledkom je prvý písomný obraz situácie s otvorenými otázkami. 2. **Zabezpečiť stopy a zastaviť:** Logy, súborové systémy a databázy sa zabezpečia skôr, než zasiahneme. Potom izolujeme dotknuté systémy, zablokujeme kompromitované prístupy a prerušíme rozpoznateľné spojenia útočníka. 3. **Odstrániť:** Uzavrieme vstupnú bránu, napríklad záplatovaním na opravené verzie PHP a reštartom všetkých workerov, odstránime zadné vrátka a vymeníme tajomstvá. Na detailnú analýzu podľa potreby zapojíme špecializovaných partnerov pre [IT forenziku](https://phpsos.de/sk/leistungen/it-forensik/). 4. **Obnoviť:** Systémy sa riadene vracajú do prevádzky, pokiaľ možno z čistých zdrojov alebo na novo nasadených serveroch. Potom ich zvýšene sledujeme z hľadiska opätovných nápadností. 5. **Vyhodnotiť:** Dostanete záverečnú správu s časovou osou, príčinami, opatreniami a odporúčaniami. Spoločne zaznamenáme, čo by malo ísť nabudúce rýchlejšie. > **Konajte hneď:** > Uchovajte logy servera a nemeňte systémy, kým nie je zabezpečený stav. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) pri PHP2Shell odporúča webové servery, ktoré sa nedajú hneď záplatovať, dočasne odpojiť od siete. ## Roly a komunikácia počas incidentu Incident potrebuje jasné zodpovednosti. Osvedčila sa malá skupina: osoba s právomocou rozhodovať, technická kontaktná osoba na vašej strane a my ako technické vedenie. Porady o situácii sa konajú v pevných intervaloch, výsledky sa zaznamenávajú písomne. Súbežne prebiehajú úlohy, ktoré neprevezmeme, ale dodáme k nim fakty: preverenie [oznamovacej povinnosti podľa GDPR do 72 hodín](https://phpsos.de/sk/compliance/dsgvo-meldepflicht-72-stunden/), informovanie poisťovateľa, možné trestné oznámenie a [krízová komunikácia](https://phpsos.de/sk/compliance/krisenkommunikation/) voči zákazníkom a partnerom. ## Čo potrebujeme od vás a čo dostanete Potrebujeme administrátorské prístupy k dotknutým systémom, prehľad infraštruktúry a dodávateľov, osobu s právomocou rozhodovať a ochotu systémy v prípade potreby dočasne vypnúť. Užitočné sú existujúce pohotovostné plány, siete načrtnuté v schémach a zálohy s dátumom. Dostanete priebežný protokol incidentu, pravidelné prehľady situácie v zrozumiteľnom jazyku, záverečnú správu pre vedenie, zodpovednú osobu pre ochranu údajov a poisťovateľa a prioritizovaný zoznam zlepšení. Ako sa lepšie pripraviť na ďalší incident, popisuje stránka [Vytvorenie IT pohotovostného plánu pre webové servery](https://phpsos.de/sk/compliance/notfallplan-erstellen/). ## Typické chyby v prvých hodinách Mnohé incidenty sa zhoršia, pretože sa v rozrušení vykonajú dobre myslené kroky v nesprávnom poradí. Tieto vzory vidíme často: - **Okamžite nainštalovať odznova:** Server sa zmaže a nainštaluje nanovo skôr, než sa zabezpečil stav. Potom sa už nedá objasniť, či unikli údaje. - **Meniť heslá z napadnutého systému:** Ak má útočník ešte prístup, vidí aj nové heslá. - **Zmazať iba viditeľný súbor:** Webshell je preč, druhé zadné vrátka v cronjobe zostanú. - **Záplatovať bez reštartu:** Nové súbory PHP ležia na disku, starí workeri bežia ďalej v pamäti. - **Nikto nevedie protokol:** Neskôr nikto nevie, kto kedy čo zmenil. Sťažuje to rozhovory s poisťovateľom a orgánmi. Dohodnutý postup týmto chybám zabráni bez toho, aby sa oddialilo zastavenie útoku. ## Čo nesľubujeme Nesľubujeme, že každý incident sa úplne objasní; bez stôp zostanú otázky otvorené a tak to aj uvedieme v správe. Neposkytujeme právne poradenstvo ani vyjadrenia k zodpovednosti či poistnému krytiu. Naším cieľom je jasný koniec: na incidente pracujeme, kým nie je uzavretý a zdokumentovaný. ## Časté otázky **Aký je rozdiel medzi Incident Response a IT forenzikou?** Incident Response má za cieľ incident zastaviť a bezpečne obnoviť prevádzku. IT forenzika podrobne a s dôkaznou hodnotou objasňuje, čo sa stalo. V praxi do seba zapadajú, forenzika často zabezpečuje stopy súbežne. **Kedy mám prizvať poskytovateľa služieb Incident Response?** Hneď ako vznikne podozrenie, že útočník mal prístup k systémom a vy nedokážete spoľahlivo odhadnúť rozsah. Čím skôr sa začne zabezpečovanie stôp, tým viac sa dá neskôr doložiť. **Kto rozhoduje počas incidentu?** Rozhodnutia robíte vy, napríklad o vypnutiach, komunikácii alebo oznámeniach. My pripravíme technické podklady, ukážeme možnosti s ich dôsledkami a rozhodnutia zrealizujeme. **Musím prizvať políciu?** Trestné oznámenie je v mnohých prípadoch zmysluplné a pre niektoré poisťovne relevantné. Zodpovedné sú za to centrálne kontaktné miesta pre kyberkriminalitu polície. Či a kedy podáte oznámenie, rozhodnite spolu so svojím právnikom. ## Zdroje - [BSI: Spolkový úrad pre informačnú bezpečnosť](https://www.bsi.bund.de/) - [GDPR čl. 33: oznámenie dozornému orgánu](https://dsgvo-gesetz.de/art-33-dsgvo/) - [Polícia: centrálne kontaktné miesta pre kyberkriminalitu](https://www.polizei.de/) - [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)