# Запазете доказателствата, преди да преинсталирате сървъра

> Запазване на доказателства преди преинсталиране: кои следи на сървъра са летливи, в какъв ред да ги запазите и как да остане копието надеждно.

Източник: https://phpsos.de/bg/blog/beweise-sichern-vor-neuinstallation/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** Преди да преинсталирате компрометиран сървър, запазете доказателствата по реда на тяхната летливост: първо процеси, връзки и влезли потребители, после логове и конфигурация, после пълен образ на системата и данните от предходните услуги. Всяко копие получава контролна сума и се съхранява извън сървъра. За целта сървърът се изключва от мрежата, но не се изключва от захранването.

## Рефлексът да преинсталирате веднага

Който открие пробив, иска да го прекрати възможно най-бързо. Нова система, чисто инсталирана, с нови пароли: това създава усещане за контрол. Технически преинсталирането често е и правилният път, особено когато нападателят е имал root права.

Проблемът е моментът. Със старата система изчезват всички отговори на въпросите, които идват в следващите дни. През каква уязвимост е влязъл нападателят? От кога е бил в системата? Имал ли е достъп до данни на клиенти? Засегнат ли е и съседният сървър с базата данни? Без следи остават само предположения, а те не помагат нито при защитата на данните, нито при застрахователя.

След PHP2Shell има допълнителен момент: няма публикувани, потвърдени Indicators of Compromise. Дали и как сървърът е бил засегнат, може да се установи само от поведението, тоест точно от следите, които прибързаната преинсталация изтрива. Специализираната преса съветва логовете на сървъра да се пазят от 20.10.2026 г.

## Запазване на доказателства на сървъра: редът е важен

Следите са летливи в различна степен. Което е в оперативната памет, изчезва при следващото рестартиране. Логовете оцеляват по-дълго, но се ротират. Данните в предходните услуги изчезват след техните собствени срокове. От това следва редът:

| Следа | Летливост | Как да се запази |
|---|---|---|
| Процеси, мрежови връзки, влезли потребители | изчезва при рестартиране | запишете изхода на системните команди във файлове |
| Оперативна памет | изчезва при рестартиране | само със специален инструмент, задача за форензик специалисти |
| Временни файлове в `/tmp` или `/dev/shm` | често се изтриват при рестартиране | копирайте, без да изпълнявате |
| Логове на уеб сървъра, PHP и системата | ротират се | копирайте изцяло, спрете ротацията |
| Файлова система и база данни | стабилни до новата инсталация | моментна снимка или образ на носителя, експорт на базата данни |
| CDN, WAF, защитна стена, хостинг доставчик | съхранение по сроковете на доставчика | поискайте експорт, потвърдете писмено |

Оперативната памет я запазвате само ако има готов човек с подходящ инструмент и опит. При системи с чувствителни данни или предвидим правен спор това трябва да поеме [ИТ форензика](https://phpsos.de/bg/leistungen/it-forensik/).

## Запазване на летливите данни за няколко минути

Следните команди не променят нищо в системата. Те записват текущото състояние във файлове, които след това се съхраняват извън сървъра. Създайте целевата директория по възможност на свързан, отделен носител:

```bash
ZIEL=/mnt/sicherung/fall-$(date -u +%Y%m%dT%H%MZ)
mkdir -p "$ZIEL"
date -u > "$ZIEL/zeitpunkt-utc.txt"
ps auxwwf > "$ZIEL/prozesse.txt"
ss -tunap > "$ZIEL/verbindungen.txt"
who -a > "$ZIEL/angemeldet.txt"
last -F > "$ZIEL/anmeldungen.txt"
ip addr > "$ZIEL/netz.txt"; ip route >> "$ZIEL/netz.txt"
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done > "$ZIEL/cronjobs.txt"
sha256sum "$ZIEL"/* > "$ZIEL.sha256"
```

Как да запазите после логовете изцяло и да ги анализирате, описва ръководството [Анализ на логовете на уеб сървъра след атака](https://phpsos.de/bg/ratgeber/logfiles-auswerten/). При виртуални сървъри моментната снимка през управлението на доставчика е най-простият път към пълен образ. Тя обхваща системата, без да се налага да стартирате допълнителни инструменти на компрометирания сървър.

## За да има запазеното по-късно стойност

Едно копие е толкова добро, колкото е доказателството за него. Три правила го правят надеждно:

1. **Контролни суми:** всеки запазен файл получава контролна сума SHA-256. Така по-късно може да се покаже, че копието е непроменено.
2. **Протокол:** кой кога какво е запазил, с каква команда, къде? Всяко предаване на трети лица се записва. Специалистите наричат това верига на доказателствата.
3. **Отделно съхранение:** копията принадлежат на система, до която нападателят не е имал достъп, и се използват по-нататък само за четене.

След това работете само с копия. Всеки анализ върху оригинала променя времевите печати и може да презапише следи. Никога не изпълнявайте съмнителни файлове и не ги отваряйте през браузъра.

> **Важно:**
> Поискайте рано логовете от CDN, WAF и хостинг доставчика. Тези данни са извън Вашия сървър и трудно могат да бъдат манипулирани от нападател, но често се пазят само за кратко.

## Какво унищожава доказателствата

Много следи се губят не заради нападателя, а заради добронамерена първа помощ. Тези стъпки трябва да се пропуснат преди запазването:

- **Рестартиране или изключване:** процесите, връзките и оперативната памет след това са изчезнали.
- **Антивирусна програма с автоматично изтриване:** тя премахва файлове, преди някой да ги е запазил, и променя времевите печати.
- **Почистване на логове или временни папки:** дори когато мястото свършва, първо копирайте, после изтривайте.
- **Инсталиране на нови инструменти от интернет на сървъра:** всяка инсталация пише във файловата система и може да засени следи.
- **Влизане с привилегировани данни за достъп без нужда:** ако на сървъра още работи зловреден код, въведените пароли могат да бъдат прочетени.

Именно застрахователите по-късно питат какво е запазено и кога. Насоки за типичните задължения ще намерите в [Киберзастраховка: какво е важно при щета](https://phpsos.de/bg/compliance/cyberversicherung/).

## Преценка: колко време има за запазването?

Не всеки инцидент позволява дълго запазване. Ако в момента тече изтичане на данни или се атакуват посетители, ограничаването има предимство. Изключването от мрежата при работеща система съчетава двете: нападателят губи достъпа, следите се запазват. За повечето уеб сървъри след това е достатъчен обозрим период за летливите данни и моментната снимка.

Вземете решението съзнателно и го запишете: кой е решил кога да се преинсталира и какво е запазено преди това? Тази бележка по-късно е част от [времевата линия на инцидента](https://phpsos.de/bg/blog/zeitleiste-eines-vorfalls/). Дали преинсталиране или почистване е правилният път, разглежда статията [Да преинсталирате ли сървъра или да го почистите?](https://phpsos.de/bg/blog/neu-aufsetzen-oder-bereinigen/).

## Как помага PHP SOS конкретно?

- Запазваме летливи данни, логове и образи на системата в правилния ред, с контролни суми и протокол.
- Изискваме данните от предходните услуги, преди да изтекат сроковете им за съхранение.
- При нужда със специализирани партньори поемаме форензичното запазване и анализ.
- Едва след това изграждаме сървъра наново, затваряме входа за нападателя и документираме инцидента, докато бъде приключен.


## Често задавани въпроси

**Защо да запазвам доказателства, преди да преинсталирам?**  
Защото само следите показват как е влязъл нападателят, колко дълго е бил в системата и до какви данни е могъл да стигне. Тези отговори са Ви нужни за защитата на данните, за застрахователя и за въпроса дали са засегнати други системи. След новата инсталация те са загубени.

**Кое е най-спешно при запазването?**  
Летливите данни като работещи процеси, мрежови връзки и влезли потребители изчезват при изключване. Те се запазват първи. След това следват логовете, образ на системата и данните от предходните услуги.

**Достатъчно ли е обикновено резервно копие като запазване на доказателства?**  
Обикновено не. Много резервни копия не съдържат логове, системни файлове и метаданни като времеви печати и собственици. За запазването на доказателства е нужно пълно, непроменено копие с контролна сума, в идеалния случай моментна снимка (snapshot) или образ на носителя.

**Мога ли да изключа сървъра от мрежата преди запазването?**  
Да, ако при това той продължава да работи. Прекъсването на мрежата спира изтичането на данни и дистанционното управление, без да унищожава летливите следи. Рестартиране или изключване обаче изтрива оперативната памет и работещите процеси.

## Източници

- [BSI (Федерална служба за информационна сигурност на Германия): указания при инциденти със сигурността](https://www.bsi.bund.de/)
- [ОРЗД чл. 33: уведомяване на надзорния орган](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [Полиция: Централни контактни точки за киберпрестъпност](https://www.polizei.de/)