Kort sagt: It-forensik for servere besvarer spørgsmålet om, hvad der faktisk skete ved et angreb: hvornår, hvordan og med hvilke følger. Sammen med specialiserede forensikpartnere sikrer vi spor bevismæssigt holdbart, analyserer logs, filsystemer og databaser og leverer en rapport, der kan følges. Den danner grundlag for anmeldelser, forsikring og eventuelt strafforfølgelse.
Hvornår I har brug for it-forensik til jeres server
Ikke enhver hændelse kræver en forensisk undersøgelse. Den er især fornuftig, hvis personoplysninger, betalingsdata eller forretningshemmeligheder kan være berørt, hvis en anmeldelse eller en retssag kan forudses, eller hvis et forsikringsselskab forventer et holdbart bevis. Også ved spørgsmålet om, hvorvidt en anmeldelse til tilsynsmyndigheden er nødvendig, hjælper dokumenterede fakta mere end formodninger.
Efter PHP2Shell kommer der et særligt punkt til. Sårbarhederne CVE-2026-109618 og CVE-2026-109619 tillader kodeudførelse uden login, og der findes ingen offentliggjorte, bekræftede Indicators of Compromise. Om en server var berørt, lader sig derfor ikke afkrydse med en tjekliste, men kun gennem adfærdsanalyse: Hvilke processer kørte, hvilke filer opstod, hvilke forbindelser gik udad? Første holdepunkter giver Er jeg allerede kompromitteret?.
Hvad der adskiller forensik fra hurtig oprydning
Oprydning vil gøre serveren ren igen. Forensik vil forstå og dokumentere. Det ene spørgsmål lyder »Er serveren sikker igen?«, det andet »Hvad er der præcis sket, og hvilke data var tilgængelige?«. Til anmeldelser, forsikring og kundeinformation er det andet spørgsmål som regel afgørende. Begge dele kan forenes, når rækkefølgen er rigtig: først sikre, så ændre. Den, der først sletter, retter eller genstarter, mister flygtige spor og kan senere ofte ikke længere vise, hvad angriberen har set.
Gem alle serverlogs fra og med 20.10.2026, og bed jeres hostingudbyder om ikke at rotere eller slette protokoller. Manglende logs er den hyppigste årsag til åbne spørgsmål i rapporten.
Hvilke spor på en PHP-webserver der tæller
På en typisk webserver findes der flere spor, end mange driftsansvarlige forestiller sig. Om de kan bruges, afhænger af, hvor længe de opbevares, og om de blev sikret før indgrebet.
- Adgangs- og fejlprotokoller fra webserveren og PHP-FPM, inklusive nedbrudte workers
- Filsystem: nye eller ændrede filer, deres tidsstempler og ejere, eksekverbar kode i upload-mapper
- Database: nye brugerkonti, ændrede indstillinger, indsmuglet indhold
- System: cronjobs, brugere, SSH-nøgler, loginprotokoller, kørende processer og netværksforbindelser
- Forudgående systemer: protokoller fra CDN, WAF, firewall, load balancer og mailserver
Netop de forudgående systemer glemmes ofte. De ligger uden for webserveren og er derfor sværere for en angriber at manipulere. Hos nogle udbydere opbevares de kun kort, så I bør eksportere dem tidligt.
Hvordan hjælper PHP SOS konkret?
- Afklare opgaven: Vi fastlægger med jer, hvilke spørgsmål der skal besvares, f.eks. indgang, tidsrum, berørte data eller videre bevægelse i netværket. Heraf fremgår det, hvilke systemer der undersøges.
- Sikre bevismæssigt holdbart: Vi og vores specialiserede partnere opretter kopier af datalagre, logs, databaser og, hvor det er muligt, arbejdshukommelse. Hver sikring får en kontrolsum, og hver overdragelse dokumenteres.
- Analysere: Vi analyserer adgangs- og fejlprotokoller, filændringer, brugerkonti, cronjobs, processer og udgående forbindelser. Metodikken for logs beskriver Analysér webserverlogs efter et angreb.
- Udarbejde tidslinje: Af fundene opstår en tidslinje over hændelsen, hvor hvert udsagn henviser til et konkret bevis.
- Overdrage rapport: I får en teknisk rapport og et letforståeligt resumé til direktionen.
Hvad I får, og hvad vi har brug for
Rapporten indeholder de sikrede bevismidler med kontrolsummer, dokumentationen af overdragelseskæden, tidslinjen, den fastslåede eller sandsynlige indgang, de berørte systemer og datatyper samt anbefalinger. Hvert udsagn er mærket som dokumenteret, sandsynligt eller ukendt.
Vi har brug for fra jer:
- adgang til de berørte systemer eller tilladelse til, at jeres hostingudbyder stiller kopier til rådighed
- en person med beslutningskompetence, som fastlægger omfang og prioriteter
- oplysninger om systemlandskab, tjenesteudbydere og kendte ændringer i de seneste uger
- eksisterende protokoller, også fra firewalls, CDN, WAF eller mailservere
- oplysning om, hvorvidt forsikringsselskab, politi eller advokat allerede er inddraget
Hvis I vil anmelde, finder I henvisninger under Anmeld: centrale kontaktpunkter for cyberkriminalitet. Hvad forsikringsselskaber typisk forventer i en skadessag, forklarer Cyberforsikring: hvad der tæller i en skadessag.
Hvad vi ikke lover
Forensik kan kun analysere de spor, der findes. Hvis logs mangler, er overskrevet eller blev manipuleret af angriberen, bliver der huller, og dem nævner vi. Vi lover ikke, at en domstol vurderer vores resultater på en bestemt måde, og vi giver ingen juridisk vurdering. Vi nævner ingen gerningsmænd, men beskriver, hvad sporene viser. Også udsagn som »der er med sikkerhed ikke sluppet data ud« fremsætter vi kun, hvis dokumentationen bærer dem.
Hvis angrebet stadig pågår, har inddæmning forrang. Så begynder vi med incident response og sikrer parallelt så mange spor som muligt.
Ofte stillede spørgsmål
Hvad betyder bevissikring, der kan holde i retten?
Spor sikres, så det senere kan dokumenteres, at de er uændrede. Dertil hører kontrolsummer, en dokumenteret overdragelseskæde og arbejde på kopier i stedet for originalen. Om en domstol anvender et bevismiddel, afgør dog domstolen.
Kan it-forensik afklare, om kundedata er sluppet ud?
Ofte kan man afgrænse, hvilke data en angriber havde adgang til, og om der er tegn på udsivning. En sikker udelukkelse er ikke altid mulig, især hvis logs mangler. Resultatet opdeles derfor i dokumenteret, sandsynligt og ukendt.
Hvor længe skal logs gemmes?
Til opklaringen så længe som muligt, mindst indtil undersøgelsen er afsluttet. Ved PHP2Shell anbefaler fagpressen at gemme serverlogs fra og med 20.10.2026. Lovbestemte opbevarings- og sletningspligter afklarer I med jeres databeskyttelsesrådgiver.
Må jeg genstarte eller rette serveren før forensikken?
En genstart sletter flygtige spor i arbejdshukommelsen, en rettelse ændrer filer. Hvis I kan, så sikr først eller tal kort med os. Er faren akut, har inddæmning forrang, og det dokumenteres.