Накратко: Преди да преинсталирате компрометиран сървър, запазете доказателствата по реда на тяхната летливост: първо процеси, връзки и влезли потребители, после логове и конфигурация, после пълен образ на системата и данните от предходните услуги. Всяко копие получава контролна сума и се съхранява извън сървъра. За целта сървърът се изключва от мрежата, но не се изключва от захранването.
Рефлексът да преинсталирате веднага
Който открие пробив, иска да го прекрати възможно най-бързо. Нова система, чисто инсталирана, с нови пароли: това създава усещане за контрол. Технически преинсталирането често е и правилният път, особено когато нападателят е имал root права.
Проблемът е моментът. Със старата система изчезват всички отговори на въпросите, които идват в следващите дни. През каква уязвимост е влязъл нападателят? От кога е бил в системата? Имал ли е достъп до данни на клиенти? Засегнат ли е и съседният сървър с базата данни? Без следи остават само предположения, а те не помагат нито при защитата на данните, нито при застрахователя.
След PHP2Shell има допълнителен момент: няма публикувани, потвърдени Indicators of Compromise. Дали и как сървърът е бил засегнат, може да се установи само от поведението, тоест точно от следите, които прибързаната преинсталация изтрива. Специализираната преса съветва логовете на сървъра да се пазят от 20.10.2026 г.
Запазване на доказателства на сървъра: редът е важен
Следите са летливи в различна степен. Което е в оперативната памет, изчезва при следващото рестартиране. Логовете оцеляват по-дълго, но се ротират. Данните в предходните услуги изчезват след техните собствени срокове. От това следва редът:
| Следа | Летливост | Как да се запази |
|---|---|---|
| Процеси, мрежови връзки, влезли потребители | изчезва при рестартиране | запишете изхода на системните команди във файлове |
| Оперативна памет | изчезва при рестартиране | само със специален инструмент, задача за форензик специалисти |
Временни файлове в /tmp или /dev/shm |
често се изтриват при рестартиране | копирайте, без да изпълнявате |
| Логове на уеб сървъра, PHP и системата | ротират се | копирайте изцяло, спрете ротацията |
| Файлова система и база данни | стабилни до новата инсталация | моментна снимка или образ на носителя, експорт на базата данни |
| CDN, WAF, защитна стена, хостинг доставчик | съхранение по сроковете на доставчика | поискайте експорт, потвърдете писмено |
Оперативната памет я запазвате само ако има готов човек с подходящ инструмент и опит. При системи с чувствителни данни или предвидим правен спор това трябва да поеме ИТ форензика.
Запазване на летливите данни за няколко минути
Следните команди не променят нищо в системата. Те записват текущото състояние във файлове, които след това се съхраняват извън сървъра. Създайте целевата директория по възможност на свързан, отделен носител:
ZIEL=/mnt/sicherung/fall-$(date -u +%Y%m%dT%H%MZ)
mkdir -p "$ZIEL"
date -u > "$ZIEL/zeitpunkt-utc.txt"
ps auxwwf > "$ZIEL/prozesse.txt"
ss -tunap > "$ZIEL/verbindungen.txt"
who -a > "$ZIEL/angemeldet.txt"
last -F > "$ZIEL/anmeldungen.txt"
ip addr > "$ZIEL/netz.txt"; ip route >> "$ZIEL/netz.txt"
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done > "$ZIEL/cronjobs.txt"
sha256sum "$ZIEL"/* > "$ZIEL.sha256"
Как да запазите после логовете изцяло и да ги анализирате, описва ръководството Анализ на логовете на уеб сървъра след атака. При виртуални сървъри моментната снимка през управлението на доставчика е най-простият път към пълен образ. Тя обхваща системата, без да се налага да стартирате допълнителни инструменти на компрометирания сървър.
За да има запазеното по-късно стойност
Едно копие е толкова добро, колкото е доказателството за него. Три правила го правят надеждно:
- Контролни суми: всеки запазен файл получава контролна сума SHA-256. Така по-късно може да се покаже, че копието е непроменено.
- Протокол: кой кога какво е запазил, с каква команда, къде? Всяко предаване на трети лица се записва. Специалистите наричат това верига на доказателствата.
- Отделно съхранение: копията принадлежат на система, до която нападателят не е имал достъп, и се използват по-нататък само за четене.
След това работете само с копия. Всеки анализ върху оригинала променя времевите печати и може да презапише следи. Никога не изпълнявайте съмнителни файлове и не ги отваряйте през браузъра.
Поискайте рано логовете от CDN, WAF и хостинг доставчика. Тези данни са извън Вашия сървър и трудно могат да бъдат манипулирани от нападател, но често се пазят само за кратко.
Какво унищожава доказателствата
Много следи се губят не заради нападателя, а заради добронамерена първа помощ. Тези стъпки трябва да се пропуснат преди запазването:
- Рестартиране или изключване: процесите, връзките и оперативната памет след това са изчезнали.
- Антивирусна програма с автоматично изтриване: тя премахва файлове, преди някой да ги е запазил, и променя времевите печати.
- Почистване на логове или временни папки: дори когато мястото свършва, първо копирайте, после изтривайте.
- Инсталиране на нови инструменти от интернет на сървъра: всяка инсталация пише във файловата система и може да засени следи.
- Влизане с привилегировани данни за достъп без нужда: ако на сървъра още работи зловреден код, въведените пароли могат да бъдат прочетени.
Именно застрахователите по-късно питат какво е запазено и кога. Насоки за типичните задължения ще намерите в Киберзастраховка: какво е важно при щета.
Преценка: колко време има за запазването?
Не всеки инцидент позволява дълго запазване. Ако в момента тече изтичане на данни или се атакуват посетители, ограничаването има предимство. Изключването от мрежата при работеща система съчетава двете: нападателят губи достъпа, следите се запазват. За повечето уеб сървъри след това е достатъчен обозрим период за летливите данни и моментната снимка.
Вземете решението съзнателно и го запишете: кой е решил кога да се преинсталира и какво е запазено преди това? Тази бележка по-късно е част от времевата линия на инцидента. Дали преинсталиране или почистване е правилният път, разглежда статията Да преинсталирате ли сървъра или да го почистите?.
Как помага PHP SOS конкретно?
- Запазваме летливи данни, логове и образи на системата в правилния ред, с контролни суми и протокол.
- Изискваме данните от предходните услуги, преди да изтекат сроковете им за съхранение.
- При нужда със специализирани партньори поемаме форензичното запазване и анализ.
- Едва след това изграждаме сървъра наново, затваряме входа за нападателя и документираме инцидента, докато бъде приключен.
Често задавани въпроси
Защо да запазвам доказателства, преди да преинсталирам?
Защото само следите показват как е влязъл нападателят, колко дълго е бил в системата и до какви данни е могъл да стигне. Тези отговори са Ви нужни за защитата на данните, за застрахователя и за въпроса дали са засегнати други системи. След новата инсталация те са загубени.
Кое е най-спешно при запазването?
Летливите данни като работещи процеси, мрежови връзки и влезли потребители изчезват при изключване. Те се запазват първи. След това следват логовете, образ на системата и данните от предходните услуги.
Достатъчно ли е обикновено резервно копие като запазване на доказателства?
Обикновено не. Много резервни копия не съдържат логове, системни файлове и метаданни като времеви печати и собственици. За запазването на доказателства е нужно пълно, непроменено копие с контролна сума, в идеалния случай моментна снимка (snapshot) или образ на носителя.
Мога ли да изключа сървъра от мрежата преди запазването?
Да, ако при това той продължава да работи. Прекъсването на мрежата спира изтичането на данни и дистанционното управление, без да унищожава летливите следи. Рестартиране или изключване обаче изтрива оперативната памет и работещите процеси.