Na kratko: IT-forenzika strežnika odgovori na vprašanje, kaj se je ob napadu dejansko zgodilo: kdaj, kako, s kakšnimi posledicami. Skupaj s specializiranimi forenzičnimi partnerji dokazno zavarujemo sledi, analiziramo dnevnike, datotečne sisteme in podatkovne zbirke ter dostavimo razumljivo poročilo. Služi kot podlaga za prijave, zavarovanje in po potrebi kazenski pregon.
Kdaj potrebujete IT-forenziko za svoj strežnik
Vsak incident ne potrebuje forenzične preiskave. Smiselna je predvsem, kadar bi bili lahko prizadeti osebni podatki, plačilni podatki ali poslovne skrivnosti, kadar je ovadba ali pravni spor predvidljiv ali kadar zavarovalnica pričakuje zanesljivo dokazilo. Tudi pri vprašanju, ali je prijava nadzornemu organu potrebna, pomagajo dokazana dejstva bolj kot domneve.
Po PHP2Shell se pridruži posebna točka. Ranljivosti CVE-2026-109618 in CVE-2026-109619 omogočata izvajanje kode brez prijave, objavljenih, potrjenih indikatorjev ogroženosti (Indicators of Compromise) pa ni. Ali je bil strežnik prizadet, zato ni mogoče odkljukati s kontrolnim seznamom, ampak samo z analizo vedenja: kateri procesi so tekli, katere datoteke so nastale, katere povezave so šle navzven? Prve oprijemališče nudi stran Ali sem že ogrožen?.
Po čem se forenzika razlikuje od hitrega čiščenja
Čiščenje želi strežnik znova narediti čist. Forenzika želi razumeti in dokazati. Eno vprašanje se glasi „Je strežnik spet varen?“, drugo „Kaj natanko se je zgodilo in do katerih podatkov je bilo mogoče priti?“. Za prijave, zavarovanje in obveščanje strank je navadno odločilno drugo vprašanje. Oboje je združljivo, če je vrstni red pravi: najprej zavarovati, nato spreminjati. Kdor najprej izbriše, popravi ali znova zažene, izgubi bežne sledi in pozneje pogosto ne more več pokazati, kaj je napadalec videl.
Ohranite vse dnevnike strežnika od 20. 10. 2026 dalje in prosite ponudnika gostovanja, naj zapisnikov ne rotira ali briše. Manjkajoči dnevniki so najpogostejši vzrok odprtih vprašanj v poročilu.
Katere sledi na spletnem strežniku PHP štejejo
Na tipičnem spletnem strežniku je več sledi, kot si mnogi upravljavci mislijo. Ali so uporabne, je odvisno od tega, kako dolgo se hranijo in ali so bile zavarovane pred posegom.
- Dnevniki dostopov in napak spletnega strežnika in PHP-FPM, vključno z sesutimi workerji
- Datotečni sistem: nove ali spremenjene datoteke, njihovi časovni žigi in lastniki, izvedljiva koda v mapah za nalaganje
- Podatkovna zbirka: novi uporabniški računi, spremenjene nastavitve, vnesene vsebine
- Sistem: cron opravila, uporabniki, ključi SSH, dnevniki prijav, tekoči procesi in omrežne povezave
- Predhodni sistemi: zapisniki CDN, WAF, požarnega zidu, load balancerja in poštnega strežnika
Prav predhodni sistemi se pogosto pozabijo. Ležijo zunaj spletnega strežnika in jih je napadalcu zato težje spreminjati. Pri nekaterih ponudnikih se hranijo le kratek čas, zato jih je treba izvoziti zgodaj.
Kako konkretno pomaga PHP SOS?
- Razjasnitev naročila: z vami določimo, na katera vprašanja naj se odgovori, na primer vstopna točka, obdobje, prizadeti podatki ali premikanje po omrežju. Iz tega izhaja, kateri sistemi se preiskujejo.
- Dokazno zavarovanje: mi in naši specializirani partnerji ustvarimo kopije nosilcev podatkov, dnevnikov, podatkovnih zbirk in, kjer je mogoče, delovnega pomnilnika. Vsako zavarovanje dobi kontrolno vsoto, vsaka predaja se dokumentira.
- Analiza: analiziramo dnevnike dostopov in napak, spremembe datotek, uporabniške račune, cron opravila, procese in odhodne povezave. Metodologijo za dnevnike opisuje stran Analiza dnevnikov spletnega strežnika po napadu.
- Izdelava časovnice: iz najdb nastane časovnica incidenta, pri kateri se vsaka trditev nanaša na konkreten dokaz.
- Predaja poročila: prejmete tehnično poročilo in razumljiv povzetek za vodstvo.
Kaj dobite in kaj potrebujemo
Poročilo vsebuje zavarovane dokaze s kontrolnimi vsotami, dokumentacijo verige hrambe, časovnico, ugotovljeno ali verjetno vstopno točko, prizadete sisteme in vrste podatkov ter priporočila. Vsaka izjava je označena kot dokazana, verjetna ali neznana.
Od vas potrebujemo:
- dostop do prizadetih sistemov ali dovoljenje, da nam ponudnik gostovanja zagotovi kopije
- osebo s pooblastilom za odločanje, ki določi obseg in prednostne naloge
- informacije o sistemskem okolju, izvajalcih in znanih spremembah zadnjih tednov
- obstoječe zapisnike, tudi iz požarnih zidov, CDN, WAF ali poštnih strežnikov
- podatek, ali so zavarovalnica, policija ali odvetnik že vključeni
Če želite podati ovadbo, najdete napotke na strani Podaja ovadbe: osrednje kontaktne točke za kibernetsko kriminaliteto. Kaj zavarovalnice v primeru škode tipično pričakujejo, razlaga stran Zavarovanje kibernetskih tveganj: kaj šteje v primeru škode.
Česa ne obljubljamo
Forenzika lahko analizira samo sledi, ki obstajajo. Če dnevniki manjkajo, so prepisani ali jih je napadalec spremenil, ostanejo vrzeli, ki jih poimenujemo. Ne obljubljamo, da bo sodišče naše rezultate ocenilo na določen način, in ne podajamo pravne ocene. Ne navajamo storilcev, ampak opisujemo, kaj sledi kažejo. Izjav, kot je „zagotovo ni iztekel noben podatek“, ne podajamo, razen če jih dokazi podpirajo.
Če napad še traja, ima prednost omejitev škode. Takrat začnemo z incident response in vzporedno zavarujemo čim več sledi.
Pogosta vprašanja
Kaj pomeni zavarovanje dokazov, ki obstane pred sodiščem?
Sledi se zavarujejo tako, da je pozneje mogoče dokazati, da so nespremenjene. Sem sodijo kontrolne vsote, dokumentirana veriga hrambe in delo na kopijah namesto na originalu. Ali bo sodišče dokazno gradivo upoštevalo, pa odloča sodišče.
Ali lahko IT-forenzika razjasni, ali so podatki strank iztekli?
Pogosto je mogoče zožiti, do katerih podatkov je imel napadalec dostop in ali obstajajo znaki iztekanja. Zanesljiva izključitev ni vedno mogoča, zlasti če dnevniki manjkajo. Rezultat je zato ločen na dokazano, verjetno in neznano.
Kako dolgo je treba hraniti dnevnike?
Za razjasnitev čim dlje, vsaj do konca preiskave. Pri PHP2Shell strokovni tisk svetuje hranjenje dnevnikov strežnika od 20. 10. 2026. Pravne obveznosti hranjenja in brisanja razjasnite s svojim pooblaščencem za varstvo podatkov.
Ali smem strežnik pred forenziko znova zagnati ali popraviti?
Ponovni zagon izbriše bežne sledi v delovnem pomnilniku, popravek spremeni datoteke. Če le morete, najprej zavarujte ali se na kratko posvetujte z nami. Če je nevarnost akutna, ima prednost omejitev škode, kar se dokumentira.