Stručně: IT forenzní analýza serveru odpovídá na otázku, co se při útoku skutečně stalo: kdy, jak a s jakými důsledky. Společně se specializovanými forenzními partnery důkazně zajistíme stopy, vyhodnotíme logy, souborové systémy a databáze a dodáme srozumitelnou zprávu. Slouží jako podklad pro hlášení, pojištění a případně trestní stíhání.
Kdy potřebujete IT forenzní analýzu svého serveru
Ne každý incident potřebuje forenzní šetření. Smysl má především tehdy, když mohou být dotčeny osobní údaje, platební údaje nebo obchodní tajemství, když se blíží trestní oznámení nebo soudní spor, nebo když pojišťovna očekává spolehlivý doklad. I při otázce, zda je nutné hlášení dozorovému úřadu, pomáhají doložená fakta víc než domněnky.
Po PHP2Shell přibývá zvláštní bod. Zranitelnosti CVE-2026-109618 a CVE-2026-109619 umožňují spuštění kódu bez přihlášení a neexistují zveřejněné potvrzené indikátory kompromitace (IOC). Zda byl server postižen, proto nelze odškrtnout kontrolním seznamem, ale jen analýzou chování: jaké procesy běžely, jaké soubory vznikly, jaká spojení šla ven? První opěrné body poskytuje stránka Jsem už napaden?.
Čím se forenzní analýza liší od rychlého vyčištění
Vyčištění chce server znovu zbavit škodlivého kódu. Forenzní analýza chce pochopit a doložit. Jedna otázka zní „Je server zase bezpečný?“, druhá „Co přesně se stalo a která data byla dosažitelná?“. Pro hlášení, pojištění a informování zákazníků je většinou rozhodující druhá otázka. Obojí se snese, pokud je správné pořadí: nejdřív zajistit, pak měnit. Kdo nejprve maže, záplatuje nebo restartuje, ztrácí pomíjivé stopy a později často nedokáže ukázat, co útočník viděl.
Uchovejte všechny logy serveru od 20. 10. 2026 a požádejte svého poskytovatele hostingu, aby protokoly nerotoval ani nemazal. Chybějící logy jsou nejčastější příčinou otevřených otázek ve zprávě.
Které stopy na webovém serveru PHP mají význam
Na typickém webovém serveru je víc stop, než mnoho provozovatelů tuší. Zda jsou použitelné, závisí na tom, jak dlouho se uchovávají a zda byly zajištěny před zásahem.
- Přístupové a chybové protokoly webového serveru a PHP-FPM, včetně zhroucených workerů
- Souborový systém: nové nebo změněné soubory, jejich časová razítka a vlastníci, spustitelný kód ve složkách s nahranými soubory
- Databáze: nové uživatelské účty, změněná nastavení, vložený obsah
- Systém: cron úlohy, uživatelé, klíče SSH, protokoly přihlášení, běžící procesy a síťová spojení
- Předřazené systémy: protokoly CDN, WAF, firewallu, load balanceru a poštovního serveru
Právě předřazené systémy se často zapomínají. Leží mimo webový server, a proto je pro útočníka těžší je manipulovat. U některých poskytovatelů se uchovávají jen krátce, proto byste je měli exportovat brzy.
Jak konkrétně pomáhá PHP SOS?
- Ujasnění zakázky: S vámi stanovíme, na které otázky se má odpovědět, například vstupní brána, časové období, dotčená data nebo pohyb v síti. Z toho vyplývá, které systémy se budou zkoumat.
- Důkazní zajištění: My a naši specializovaní partneři vytvoříme kopie datových nosičů, logů, databází a, kde je to možné, operační paměti. Každé zajištění dostane kontrolní součet, každé předání se zdokumentuje.
- Vyhodnocení: Analyzujeme přístupové a chybové protokoly, změny souborů, uživatelské účty, cron úlohy, procesy a odchozí spojení. Metodiku pro logy popisuje stránka Vyhodnocení logů webového serveru po útoku.
- Vytvoření časové osy: Z nálezů vznikne časová osa incidentu, v níž každé tvrzení odkazuje na konkrétní doklad.
- Předání zprávy: Obdržíte technickou zprávu a srozumitelné shrnutí pro vedení.
Co získáte a co potřebujeme
Zpráva obsahuje zajištěné důkazní prostředky s kontrolními součty, dokumentaci řetězce předání, časovou osu, zjištěnou nebo pravděpodobnou vstupní bránu, dotčené systémy a druhy dat a doporučení. Každé tvrzení je označeno jako doložené, pravděpodobné nebo neznámé.
Od vás potřebujeme:
- přístup k dotčeným systémům nebo svolení, aby nám váš poskytovatel hostingu poskytl kopie
- osobu s pravomocí rozhodovat, která stanoví rozsah a priority
- informace o systémovém prostředí, dodavatelích a známých změnách za poslední týdny
- existující protokoly, i z firewallů, CDN, WAF nebo poštovních serverů
- údaj, zda už je zapojena pojišťovna, policie nebo právník
Pokud chcete podat trestní oznámení, najdete pokyny na stránce Trestní oznámení: ústřední kontaktní místa pro kybernetickou kriminalitu. Co pojišťovny v případě škody typicky očekávají, vysvětluje stránka Kyberpojištění: na čem v případě škody záleží.
Co neslibujeme
Forenzní analýza může vyhodnotit jen to, jaké stopy existují. Pokud logy chybí, byly přepsány nebo je útočník zmanipuloval, zůstanou mezery a my je pojmenujeme. Neslibujeme, že soud naše výsledky ocení určitým způsobem, a neposkytujeme právní posouzení. Nejmenujeme pachatele, popisujeme, co stopy ukazují. Výroky jako „určitě nebyla unikla žádná data“ také děláme jen tehdy, když je doložení unese.
Pokud útok stále probíhá, má přednost omezení škod. Pak začínáme reakcí na incidenty (incident response) a souběžně zajišťujeme co nejvíce stop.
Časté dotazy
Co znamená soudně použitelné zajištění důkazů?
Stopy se zajišťují tak, aby bylo možné později doložit, že jsou nezměněné. Patří k tomu kontrolní součty, zdokumentovaný řetězec předání a práce na kopiích místo na originálu. Zda soud důkazní prostředek použije, ale rozhoduje soud.
Dokáže IT forenzní analýza objasnit, zda unikla data zákazníků?
Často lze vymezit, ke kterým datům měl útočník přístup a zda existují indicie úniku. Jisté vyloučení není vždy možné, zejména když chybí logy. Výsledek se proto dělí na doložené, pravděpodobné a neznámé.
Jak dlouho se musí uchovávat logy?
Pro objasnění co nejdéle, minimálně do ukončení šetření. U PHP2Shell odborný tisk radí uchovat logy serveru od 20. 10. 2026. Zákonné povinnosti uchovávání a mazání ujasněte s pověřencem pro ochranu osobních údajů.
Smím server před forenzní analýzou restartovat nebo záplatovat?
Restart smaže pomíjivé stopy v operační paměti, záplata mění soubory. Pokud můžete, nejprve zajistěte data nebo se s námi krátce domluvte. Pokud je nebezpečí akutní, má přednost omezení škod a to se zdokumentuje.