# DDoS, nebo hackerský útok? Jak útoky správně zařadit

> DDoS, nebo hackerský útok? Typické příznaky ve srovnání, první kontrolní příkazy pro server a to, co konkrétně udělat v prvních hodinách po útoku.

Zdroj: https://phpsos.de/cs/ratgeber/ddos-oder-exploit/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** Zda jde o DDoS, nebo o hackerský útok, ukazují stopy. DDoS vyvolá velmi mnoho požadavků a web zpomalí nebo znedostupní, nic ale nemění. Exploit často potřebuje jen málo požadavků a zanechá nové soubory, účty, procesy nebo spojení. Správné zařazení rozhoduje o tom, zda musíte odrážet zátěž, nebo zvládnout incident.

## Rozdíl jednoduše řečeno

**Útok DDoS** (Distributed Denial of Service) je jako dav lidí, který zablokuje vchod do obchodu. Nikdo se nedostane dovnitř, ale v obchodě se nic nekrade. Cílem je přetížit váš web nebo server, aby se skuteční zákazníci už nedostali.

**Exploit** je naproti tomu vloupání otevřenými dveřmi. Útočník využije slabinu, například v PHP, v CMS nebo v rozšíření, aby na vašem serveru spustil kód. Může se to stát potichu, aniž by se web zpomalil. Následky sahají od spamových stránek přes krádež dat po převzetí serveru.

Pro vedení je rozdíl zásadní: DDoS je problém dostupnosti, který s útokem končí. Úspěšný exploit je bezpečnostní incident, který trvá, dokud není nalezen, vyčištěn a zdokumentován.

## DDoS, nebo hackerský útok: příznaky ve srovnání

Následující tabulka pomáhá při prvním zařazení. Analýzu nenahrazuje, ukazuje ale, kam se podívat nejdřív.

| Znak | Spíš DDoS | Spíš exploit nebo průnik |
|---|---|---|
| Dostupnost | pomalá nebo vypadlá | často normální |
| Požadavky v logu | velmi mnoho, často jednotvárných | málo cílených požadavků |
| Soubory | beze změny | nové nebo změněné soubory PHP |
| Účty | beze změny | noví správci, změněná hesla |
| Procesy | webový server a PHP na plný výkon | neznámé procesy, těžba, rozesílání spamu |
| Síť | mnoho příchozího provozu | neobvyklá odchozí spojení |
| Po skončení | vše jako dříve | stopy zůstávají |

Pozor na překryvy: masové skenování kvůli zranitelnosti může vypadat jako malý DDoS. Přesně to se kolem PHP2Shell dalo očekávat, když útočníci hledali zranitelné servery. Vysoká zátěž tedy může znamenat i to, že se někdo právě pokouší proniknout.

## První kontroly na serveru

Následující příkazy nic v systému nemění a dají rychlý přehled. Při podezření na průnik zajistěte logy dříve, než provedete větší zásahy.

```bash
# Zátěž a doba běhu
uptime

# Souhrn spojení a nejčastější protistrany
ss -s
ss -tn state established | awk 'NR>1 {print $4}' | cut -d: -f1 | sort | uniq -c | sort -rn | head

# Nejčastější adresy klientů v access logu (upravte cestu)
awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20

# Soubory PHP změněné za posledních 7 dní
find /var/www -type f -name '*.php' -mtime -7 -printf '%TY-%Tm-%Td %TH:%TM %p\n' | sort

# Procesy s nejvyšší zátěží CPU
ps aux --sort=-%cpu | head -15
```

V přehledu spojení ukazuje čtvrtý sloupec protistranu. Mnoho spojení z několika málo adres nebo nárůst na násobek běžné hodnoty ukazuje na přetížení. Nové soubory PHP ve složkách pro uploady nebo cache, procesy pod uživatelem webového serveru s cizími názvy nebo odchozí spojení na neznámé cíle ukazují spíš na průnik. Podrobný seznam najdete v článku [Příznaky kompromitace po PHP2Shell](https://phpsos.de/cs/php2shell/bin-ich-gehackt-anzeichen/).

## Proč může vysoká zátěž být i odvedením pozornosti

Stává se, že útočníci vyvolají přetížení a současně cíleně pronikají. Tým je pak zaměstnán dostupností a skutečné stopy se ztratí v šumu logů. Proto platí: i když je DDoS zjevný, zkontrolujte po jeho skončení soubory, účty a odchozí spojení.

U PHP2Shell navíc podle php.net a bezpečnostních firem neexistují zveřejněné potvrzené indikátory kompromitace. Detekce se opírá o analýzu chování. Server, který byl v době skenování od poloviny října nezáplatovaný, by se proto měl zkontrolovat bez ohledu na pozorovanou zátěž.

Další variantou jsou vyděračské e-maily, v nichž se hrozí útokem DDoS, pokud nebude zaplaceno. Takové zprávy uschovejte, neplaťte bez konzultace s odborníky a zvažte [trestní oznámení u Ústředního kontaktního místa pro kybernetickou kriminalitu (ZAC)](https://phpsos.de/cs/compliance/anzeige-polizei-zac/). Souběžně informujte svého poskytovatele hostingu, aby mohl připravit ochranná opatření. Jak k tomu logy vyhodnotit, popisuje příručka [Vyhodnocení logů webového serveru po útoku](https://phpsos.de/cs/ratgeber/logfiles-auswerten/).

## Co udělat v prvních hodinách

**Při podezření na DDoS:**

- Informovat poskytovatele hostingu nebo datové centrum; často tam existují filtry před serverem.
- Aktivovat nebo zpřísnit předřazenou ochrannou službu či [WAF s virtuálním záplatováním](https://phpsos.de/cs/leistungen/waf-virtuelles-patching/).
- Nastavit rate limity ve webovém serveru a zvlášť chránit náročné stránky, jako je vyhledávání nebo košík.
- Uchovat logy, aby bylo možné útok později dohledat.

**Při podezření na průnik:**

- Nic nemazat a server nenasazovat znovu, dokud nejsou zajištěny logy a dotčené soubory.
- Aktualizovat PHP na opravenou verzi a restartovat všechny workery, pokud se tak ještě nestalo.
- Pokud aktualizace není okamžitě možná, web dočasně odpojit od sítě, jak doporučuje BSI (německý spolkový úřad pro informační bezpečnost).
- Přístupové údaje obnovit z čistého zařízení, nikoli z možná dotčeného serveru.
- Nechat ověřit, zda mohly být dotčeny osobní údaje; pak mohou běžet lhůty pro oznámení.

V obou případech pomůže krátká, věcná poznámka pro poskytovatele hostingu a dodavatele: od kdy problém trvá, které weby jsou dotčeny, co jste pozorovali a co už bylo změněno. Poznamenejte si také, kdo které rozhodnutí učinil. Tato časová osa šetří čas při analýze a je později cenná pro pojištění, ochranu osobních údajů i interní vyhodnocení. Pokud není jasné, zda vůbec jde o útok, zacházejte se situací preventivně jako s incidentem, dokud se neprokáže opak.

## Jak konkrétně pomáhá PHP SOS?

- Situaci zařadíme na dálku podle zátěže, logů, souborů a spojení a řekneme vám, s čím se pravděpodobně potýkáte.
- Při přetížení nasadíme filtry, rate limity a předřazená ochranná pravidla, dokud útok neodezní.
- Při podezření na průnik převezmeme strukturovanou [reakci na incident](https://phpsos.de/cs/leistungen/incident-response/): zajistit, zadržet, najít příčinu, vyčistit.
- Nakonec zdokumentujeme, co se stalo a jaká opatření byla provedena, až do uzavření incidentu.


## Časté dotazy

**Může útok DDoS odcizit data?**  
Čistý útok DDoS míří na dostupnost, nikoli na data. Nemění soubory a nečte databáze. Může se ale objevit současně s pokusem o průnik, a proto se přesto vyplatí podívat se na soubory a účty.

**Podle čeho poznám, že byl můj web hacknut?**  
Typické jsou nové nebo změněné soubory PHP, neznámé účty správců, přesměrování na cizí stránky, neočekávaná odchozí spojení a procesy, které k vaší aplikaci nepatří. Jediný příznak není důkaz, více příznaků dohromady je vážný signál.

**Pomůže CDN nebo WAF proti oběma druhům útoků?**  
Proti útokům založeným na objemu pomáhá předřazená služba většinou dobře. Proti exploitům působí pravidla jen tehdy, pokud vzor rozpoznají. U PHP2Shell sám Cloudflare upozorňuje, že pravidla založená jen na datech požadavku nestačí.

**Musím útok DDoS hlásit?**  
Záleží na konkrétním případu a vašem oboru. Bez přístupu k osobním údajům oznamovací povinnost podle GDPR zpravidla neplatí, mohou ale existovat povinnosti specifické pro obor. Ujasněte si to s pověřencem pro ochranu osobních údajů nebo s právníkem.

## Zdroje

- [BSI: situace a doporučení](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)
- [php.net: bezpečnostní oznámení](https://www.php.net/)