# Säkerhetsövervakning för webbservrar

> Servermonitorering för säkerhet: Vi övervakar filer, processer, inloggningar och förbindelser på webbservrar och rapporterar avvikelser med klar bedömning.

Källa: https://phpsos.de/sv/leistungen/security-monitoring/  
Aktualitet: 2026-10-25  
Leverantör: PHP SOS, PHP-nödhjälp och serversäkerhet. Omedelbar hjälp via WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20beh%C3%B6ver%20hj%C3%A4lp%20med%20v%C3%A5r%20PHP-server.%20F%C3%B6retag%3A%20%E2%80%A6%20Webbplats%3A%20%E2%80%A6

**Kort sagt:** Servermonitorering för säkerhet innebär att löpande bevaka webbservrar efter tecken på ett angrepp i stället för att först reagera när kunder klagar. Vi övervakar filer, processer, inloggningar, förbindelser och loggar på era PHP-servrar och bedömer varje avvikelse på ett begripligt sätt. Så upptäcker ni problem tidigare och har i skarpt läge de spår som behövs.

## Varför servermonitorering för säkerhet är viktig just nu

PHP2Shell har visat hur snabbt en ny sårbarhet kan bli ett hot mot miljontals servrar. Unit 42 räknade mer än 22,6 miljoner exponerade, potentiellt sårbara instanser. Samtidigt finns det inga publicerade, bekräftade Indicators of Compromise. Den som vill veta om något händer på den egna servern måste hålla utkik efter beteendet.

Många intrång upptäcks sent, ofta av tredje part: en Google-varning, en spärr från webbhotellet på grund av utskick av spam, ett tips från en kund. Då har loggar ofta roterats och spår gått förlorade. Säkerhetsövervakning förkortar den tiden och ser till att protokollen finns kvar när man behöver dem. För ledningen betyder det framför allt en sak: Beslut i skarpt läge vilar på fakta i stället för antaganden.

## Vad vi övervakar

| Område | Vad vi tittar på |
|---|---|
| Filer | nya eller ändrade PHP-filer, körbar kod i uppladdningsmappar, ändringar i `.htaccess` och konfiguration |
| Processer | kommandon som startas från PHP-workers, okända långkörande processer, kraschande workers |
| Inloggningar | SSH- och panelinloggningar, nya adminkonton i CMS:et, upprepade felförsök |
| Nätverk | ovanliga utgående förbindelser, plötsliga e-postutskick, nya öppna portar |
| Loggar | avvikande förfrågningsmönster, felansamlingar, luckor i loggningen |
| Status | PHP-, CMS- och paketversioner i jämförelse med kända säkerhetsuppdateringar |

Hur sådana signaler kan kontrolleras manuellt beskrivs i [Analysera webbserverloggar efter ett angrepp](https://phpsos.de/sv/ratgeber/logfiles-auswerten/). För adminåtkomst rekommenderar vi dessutom åtgärderna i [Skydda admininloggningar mot brute force](https://phpsos.de/sv/ratgeber/brute-force-login-schutz/).

## Hur hjälper PHP SOS konkret?

1. **Kartlägga utgångsläget:** Vi tar upp servrar, applikationer, befintliga protokoll och tidigare övervakning och fastställer vad som är normalt. Utan detta utgångsläge går avvikelser inte att känna igen säkert.
2. **Sätta upp övervakning:** Vi sätter upp filintegritetskontroll, loggvidarebefordran till en separat lagringsplats och regler för typiska följder av angrepp. Loggarna lagras så att en angripare på webbservern inte enkelt kan radera dem.
3. **Finjustering:** Under de första veckorna anpassar vi reglerna så att ni inte översköljs av falsklarm, till exempel från reguljära uppdateringar eller driftsättningar.
4. **Rapportera och bedöma:** Avvikelser rapporterar vi med bedömning: vad som observerades, hur sannolikt ett angrepp är och vad som bör göras härnäst.
5. **Redovisa:** Med regelbundna mellanrum får ni en sammanfattning med händelser, öppna uppdateringar och rekommendationer.

> **Tips:**
> Förvara loggar på ett separat system. Vid PHP2Shell rekommenderar facktidningarna att säkra serverloggar från och med den 20 oktober 2026. Den som lagrar dem centralt har dem kvar även om webbservern måste sättas upp på nytt.

## Hur ett larm från oss ser ut

En varning är bara till nytta om man förstår den. Därför innehåller varje meddelande samma delar:

- **Vad observerades?** Till exempel: I en webbplats uppladdningsmapp har en ny PHP-fil uppstått, och strax därefter har en PHP-worker upprättat en utgående förbindelse till en okänd adress.
- **Hur bedömer vi det?** Belagd är den nya filen och förbindelsen. Sannolikt finns ett samband. Okänt är om data har överförts.
- **Vad har vi redan gjort?** Till exempel säkrat filen och, om överenskommet, satt webbplatsen i underhållsläge.
- **Vad måste ni besluta?** Till exempel om webbplatsen ska förbli offline tills orsaken är klarlagd.

Ofarliga händelser, till exempel en vanlig plugin-uppdatering, känner vi igen utifrån utgångsläget och sammanfattar dem i rapporten i stället för att belasta er med dem en och en. Med tiden lär sig övervakningen känna era system bättre.

## Vad ni får och vad vi behöver

Ni får en uppsatt övervakning med dokumenterade regler, spårbara larm med handlingsrekommendation, regelbundna rapporter och en central lagring av protokollen. Vid en bekräftad incident flödar uppgifterna direkt in i [incident response](https://phpsos.de/sv/leistungen/incident-response/).

Vi behöver från er:

- **Administratörsåtkomst** till servrarna för att sätta upp agenter och loggvidarebefordran
- **en översikt** över applikationer, planerade driftsättningar och underhållsfönster
- **en kontaktperson** som tar emot larm och kan fatta beslut
- **Samråd med ert dataskyddsombud**, eftersom loggar kan innehålla personuppgifter som IP-adresser

## Vad vi inte lovar

Övervakning upptäcker inte varje angrepp. Skickliga angripare försöker förbli oupptäckta, och vissa sårbarheter lämnar knappt några spår. Övervakning ökar sannolikheten att tidigt märka ett intrång och ger tillförlitliga data. Den ersätter varken uppdateringar eller härdning.

Inte heller reaktionstider fastställer vi generellt; de beror på den avtalade bevakningen. Övervakning gör störst nytta som del av ett [säkerhetsunderhållsavtal](https://phpsos.de/sv/leistungen/security-wartungsvertrag/) där uppdateringar, säkerhetskopior och övervakning regleras tillsammans.


## Vanliga frågor

**Vad är skillnaden mellan vanlig övervakning och säkerhetsövervakning?**  
Vanlig övervakning kontrollerar om en server är nåbar och har tillräckligt med resurser. Säkerhetsövervakning håller utkik efter tecken på ett angrepp, till exempel nya körbara filer, ovanliga processer eller främmande inloggningar. De kompletterar varandra.

**Upptäcker övervakning ett angrepp via PHP2Shell?**  
Det finns inga publicerade, bekräftade Indicators of Compromise för PHP2Shell. Övervakning kan dock göra typiska följder av ett intrång synliga, till exempel nya PHP-filer eller kommandon som startas från en PHP-process. Någon framgångsgaranti finns inte.

**Måste jag installera programvara på servern för det?**  
Oftast ja, till exempel en agent för filintegritet och loggvidarebefordran. Vilka verktyg vi använder stämmer vi av med er och i förekommande fall ert webbhotell så att drift och dataskydd passar.

**Fungerar säkerhetsövervakning även vid delat webbhotell?**  
Bara begränsat. Utan åtkomst till processer och systemloggar återstår framför allt övervakning av filer och innehåll utifrån. För en fullständig övervakning behövs en egen eller managed server.

## Källor

- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)
- [BSI: Tysklands federala myndighet för informationssäkerhet](https://www.bsi.bund.de/)