Stručně: Než napadený server nainstalujete znovu, zajistěte důkazy v pořadí podle jejich pomíjivosti: nejprve procesy, spojení a přihlášené uživatele, poté logy a konfiguraci, nakonec úplný obraz systému a data předřazených služeb. Každá záloha dostane kontrolní součet a uloží se mimo server. Server se k tomu odpojí od sítě, ale nevypíná se.
Reflex okamžitě instalovat znovu
Kdo objeví průnik, chce ho co nejrychleji ukončit. Čerstvý systém, čistě nainstalovaný, s novými hesly: to působí jako kontrola nad situací. Technicky je nové sestavení často také správná cesta, zejména pokud měl útočník práva root.
Problémem je okamžik. Se starým systémem zmizí všechny odpovědi na otázky, které přijdou v následujících dnech. Kterou zranitelností se útočník dostal dovnitř? Jak dlouho byl v systému? Měl přístup k datům zákazníků? Je dotčen i sousední databázový server? Bez stop zůstávají jen domněnky a ty nepomohou ani při ochraně osobních údajů, ani u pojišťovny.
Po PHP2Shell přibývá zvláštní bod: neexistují zveřejněné, potvrzené indikátory kompromitace (Indicators of Compromise). Zda a jak byl server dotčen, lze vyčíst jen z chování, tedy právě ze stop, které ukvapené nové sestavení smaže. Odborný tisk radí uchovat logy serveru od 20. 10. 2026.
Zajištění důkazů na serveru: pořadí je rozhodující
Stopy jsou různě pomíjivé. Co je v operační paměti, je po dalším restartu pryč. Logy přežijí déle, ale rotují se. Data na předřazených službách zmizí podle jejich vlastních lhůt. Z toho vyplývá pořadí:
| Stopa | Pomíjivost | Jak zajistit |
|---|---|---|
| Procesy, síťová spojení, přihlášení uživatelé | zmizí při restartu | výstupy systémových příkazů zapsat do souborů |
| Operační paměť | zmizí při restartu | jen se speciálním nástrojem, úkol pro forenzní specialisty |
Dočasné soubory v /tmp nebo /dev/shm |
při restartu se často mažou | zkopírovat, aniž by se spustily |
| Logy webového serveru, PHP, systému | rotují se | zkopírovat celé, zastavit rotaci |
| Souborový systém a databáze | stabilní až do nové instalace | snímek nebo obraz datového nosiče, export databáze |
| CDN, WAF, firewall, hoster | uchování podle lhůt poskytovatele | vyžádat export, nechat si písemně potvrdit |
Operační paměť zajišťujte jen tehdy, když je k dispozici někdo s vhodným nástrojem a zkušenostmi. U systémů s citlivými daty nebo předvídatelným soudním sporem by to mělo převzít IT forenzní analýza.
Pomíjivá data zachytit za pár minut
Následující příkazy nic v systému nemění. Zapisují aktuální stav do souborů, které se následně zálohují mimo server. Cílový adresář založte pokud možno na připojeném, samostatném datovém nosiči:
ZIEL=/mnt/sicherung/fall-$(date -u +%Y%m%dT%H%MZ)
mkdir -p "$ZIEL"
date -u > "$ZIEL/zeitpunkt-utc.txt"
ps auxwwf > "$ZIEL/prozesse.txt"
ss -tunap > "$ZIEL/verbindungen.txt"
who -a > "$ZIEL/angemeldet.txt"
last -F > "$ZIEL/anmeldungen.txt"
ip addr > "$ZIEL/netz.txt"; ip route >> "$ZIEL/netz.txt"
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done > "$ZIEL/cronjobs.txt"
sha256sum "$ZIEL"/* > "$ZIEL.sha256"
Jak poté logy kompletně zajistit a vyhodnotit, popisuje průvodce Vyhodnocení logů webového serveru po útoku. U virtuálních serverů je snímek přes správu poskytovatele nejjednodušší cestou k úplnému obrazu. Zachytí systém, aniž byste museli na napadeném serveru spouštět další nástroje.
Aby měla záloha později hodnotu
Záloha má takovou cenu, jako její doklad. Tři pravidla ji činí věrohodnou:
- Kontrolní součty: Každý zajištěný soubor dostane kontrolní součet SHA-256. Tím lze později prokázat, že kopie je nezměněná.
- Protokol: Kdo kdy co zajistil, jakým příkazem, kam? Každé předání třetím osobám se zaznamená. Odborníci tomu říkají řetězec důkazů.
- Oddělené uložení: Kopie patří na systém, ke kterému útočník neměl přístup, a dál se používají jen pro čtení.
Poté pracujte už jen s kopiemi. Každá analýza na originálu mění časová razítka a může přepsat stopy. Podezřelé soubory nikdy nespouštějte a neotvírejte je v prohlížeči.
Logy z CDN, WAF a od hostera si vyžádejte brzy. Tato data leží mimo váš server a útočník je jen obtížně zmanipuluje, ale často se uchovávají jen krátce.
Co důkazní situaci ničí
Mnoho stop nezničí útočník, ale dobře míněná první pomoc. Těmto krokům je třeba se před zajištěním vyhnout:
- Restart nebo vypnutí: Procesy, spojení a operační paměť jsou poté pryč.
- Antivirový skener s automatickým mazáním: Odstraní soubory dříve, než je někdo zajistí, a změní časová razítka.
- Úklid logů nebo dočasných složek: I když se nedostává místa, nejdřív kopírovat, teprve pak mazat.
- Instalace nových nástrojů z internetu na server: Každá instalace zapisuje do souborového systému a může stopy překrýt.
- Přihlašování s privilegovanými přístupovými údaji bez nutnosti: Pokud na serveru stále běží škodlivý kód, mohou být zadaná hesla odposlechnuta.
Právě pojišťovny se později ptají, co bylo kdy zajištěno. Upozornění na typické povinnosti najdete v článku Kyberpojištění: co se počítá při škodě.
Zvážení: kolik času je na zajištění k dispozici?
Ne každý incident dovolí dlouhé zajišťování. Pokud právě probíhá únik dat nebo jsou napadáni návštěvníci, má přednost omezení škod. Odpojení od sítě za běhu systému obojí spojuje: útočník ztratí přístup, stopy zůstanou zachovány. U většiny webových serverů pak stačí přiměřeně krátká doba na pomíjivá data a snímek.
Rozhodněte se vědomě a rozhodnutí zaznamenejte: Kdo rozhodl, kdy se bude instalovat znovu, a co bylo předtím zajištěno? Tato poznámka je později součástí časové osy incidentu. Zda je správnou cestou nové sestavení, nebo vyčištění, osvětluje článek Nainstalovat server znovu, nebo vyčistit?.
Jak konkrétně pomáhá PHP SOS?
- Pomíjivá data, logy a obrazy systému zajistíme ve správném pořadí, s kontrolními součty a protokolem.
- Data předřazených služeb vyžádáme dříve, než uplynou jejich lhůty uchování.
- Podle potřeby provedeme se specializovanými partnery forenzní zajištění a vyhodnocení.
- Teprve poté server nově sestavíme, uzavřeme vstupní bránu a incident zdokumentujeme, dokud není uzavřen.
Časté dotazy
Proč bych měl před novou instalací zajistit důkazy?
Protože jen stopy ukážou, jak se útočník dostal dovnitř, jak dlouho v systému byl a ke kterým datům se mohl dostat. Tyto odpovědi potřebujete pro ochranu osobních údajů, pojištění i otázku, zda jsou dotčeny další systémy. Po novém sestavení jsou ztraceny.
Co je při zajišťování nejnaléhavější?
Pomíjivá data, jako jsou běžící procesy, síťová spojení a přihlášení uživatelé, zmizí při vypnutí. Zachycují se jako první. Poté následují logy, obraz systému a data z předřazených služeb.
Stačí běžná záloha jako zajištění důkazů?
Většinou ne. Mnoho záloh neobsahuje logy, systémové soubory ani metadata, jako jsou časová razítka a vlastníci. Pro zajištění důkazů potřebujete úplnou, nezměněnou kopii s kontrolním součtem, ideálně snímek nebo obraz datového nosiče.
Smím server před zajištěním odpojit od sítě?
Ano, pokud přitom dál běží. Odpojení od sítě zastaví únik dat a vzdálené ovládání, aniž by zničilo pomíjivé stopy. Restart nebo vypnutí naopak smaže operační paměť a běžící procesy.