# Sikkerhedsovervågning for webservere

> Servermonitorering for sikkerhed: Vi overvåger filer, processer, logins og forbindelser på jeres webservere og melder det påfaldende med klar vurdering.

Kilde: https://phpsos.de/da/leistungen/security-monitoring/  
Status: 25.10.2026  
Udbyder: PHP SOS, PHP-nødhjælp og serversikkerhed. Akut hjælp på WhatsApp: https://wa.me/491736494914?text=Hej%20PHP%20SOS%2C%20vi%20har%20brug%20for%20hj%C3%A6lp%20med%20vores%20PHP-server.%20Firma%3A%20%E2%80%A6%20Website%3A%20%E2%80%A6

**Kort sagt:** Servermonitorering for sikkerhed betyder løbende at holde øje med webservere for tegn på et angreb i stedet for først at reagere, når kunderne klager. Vi overvåger filer, processer, logins, forbindelser og logs på jeres PHP-servere og vurderer hver påfaldende hændelse på en letforståelig måde. Så opdager I problemer tidligere og har de nødvendige spor i en alvorlig situation.

## Hvorfor servermonitorering for sikkerhed tæller netop nu

PHP2Shell har vist, hvor hurtigt en ny sårbarhed kan blive en trussel mod millioner af servere. Unit 42 talte mere end 22,6 millioner eksponerede, potentielt sårbare instanser. Samtidig findes der ingen offentliggjorte, bekræftede Indicators of Compromise. Den, der vil vide, om der sker noget på ens egen server, må kigge på adfærden.

Mange indbrud opdages først sent, ofte af tredjepart: en Google-advarsel, en spærring fra hostingudbyderen på grund af spamudsendelse, en henvendelse fra en kunde. Indtil da er logs ofte roteret og spor tabt. Sikkerhedsovervågning forkorter denne tid og sørger for, at protokollerne stadig findes, når man har brug for dem. For direktionen betyder det frem for alt ét: Beslutninger i en alvorlig situation bygger på fakta frem for på formodninger.

## Hvad vi overvåger

| Område | Hvad vi holder øje med |
|---|---|
| Filer | nye eller ændrede PHP-filer, eksekverbar kode i upload-mapper, ændringer i `.htaccess` og konfiguration |
| Processer | kommandoer, der startes fra PHP-workers, ukendte vedvarende processer, workers der går ned |
| Logins | SSH- og panel-logins, nye administratorkonti i CMS'et, gentagne mislykkede forsøg |
| Netværk | usædvanlige udgående forbindelser, pludselig mailudsendelse, nye åbne porte |
| Logs | påfaldende forespørgselsmønstre, fejlophobninger, huller i logningen |
| Status | PHP-, CMS- og pakkeversioner sammenholdt med kendte sikkerhedsopdateringer |

Hvordan sådanne signaler kan efterprøves manuelt, beskriver [Analysér webserverlogs efter et angreb](https://phpsos.de/da/ratgeber/logfiles-auswerten/). Til administratoradgange anbefaler vi desuden foranstaltningerne fra [Beskyt admin-logins mod brute force](https://phpsos.de/da/ratgeber/brute-force-login-schutz/).

## Hvordan hjælper PHP SOS konkret?

1. **Registrere udgangssituationen:** Vi optager servere, applikationer, eksisterende protokoller og hidtidig overvågning og fastlægger, hvad der er normalt. Uden denne udgangstilstand kan det påfaldende ikke genkendes sikkert.
2. **Opsætte overvågningen:** Vi opsætter filintegritetskontrol, videresendelse af logs til et adskilt lagringssted og regler for typiske følger af angreb. Logs ligger, så en angriber på webserveren ikke bare kan slette dem.
3. **Finjustering:** I de første uger tilpasser vi reglerne, så I ikke oversvømmes af falske alarmer, f.eks. fra almindelige opdateringer eller deployments.
4. **Melde og vurdere:** Påfaldende hændelser melder vi med vurdering: hvad der er observeret, hvor sandsynligt et angreb er, og hvad der skal gøres som det næste.
5. **Rapportere:** Med regelmæssige mellemrum får I et resumé med hændelser, åbne opdateringer og anbefalinger.

> **Tip:**
> Opbevar logs på et adskilt system. Ved PHP2Shell anbefaler fagpressen at sikre serverlogs fra og med 20.10.2026. Den, der gemmer dem centralt, har dem også, hvis webserveren skal sættes op påny.

## Hvordan en melding fra os ser ud

En advarsel nytter kun, hvis man forstår den. Derfor indeholder hver melding de samme byggesten:

- **Hvad er observeret?** F.eks.: I upload-mappen på et website er der opstået en ny PHP-fil, kort efter har en PHP-worker oprettet en udgående forbindelse til en ukendt adresse.
- **Hvordan vurderer vi det?** Dokumenteret er den nye fil og forbindelsen. Sandsynligt er en sammenhæng. Ukendt er, om der er overført data.
- **Hvad har vi allerede gjort?** F.eks. sikret filen og, hvis aftalt, sat websitet i vedligeholdelsestilstand.
- **Hvad skal I beslutte?** F.eks. om websitet forbliver offline, til årsagen er afklaret.

Harmløse hændelser, f.eks. en almindelig plugin-opdatering, genkender vi ud fra udgangssituationen og sammenfatter dem i rapporten i stedet for at belaste jer med dem enkeltvis. Med tiden lærer overvågningen jeres systemer bedre at kende.

## Hvad I får, og hvad vi har brug for

I får en opsat overvågning med dokumenterede regler, forståelige meldinger med handlingsanbefaling, regelmæssige rapporter og en central opbevaring af protokollerne. Ved en bekræftet hændelse indgår dataene direkte i [incident response](https://phpsos.de/da/leistungen/incident-response/).

Vi har brug for fra jer:

- **administratoradgang** til serverne for at opsætte agenter og videresendelse af logs
- **et overblik** over applikationer, planlagte deployments og vedligeholdelsesvinduer
- **en kontaktperson**, som modtager meldinger og kan træffe beslutninger
- **afstemning med jeres databeskyttelsesrådgiver**, fordi logs kan indeholde personoplysninger som IP-adresser

## Hvad vi ikke lover

Monitorering opdager ikke ethvert angreb. Dygtige angribere forsøger at forblive upåfaldende, og nogle sårbarheder efterlader næsten ingen spor. Monitorering øger sandsynligheden for tidligt at bemærke et indbrud og sørger for pålidelige data. Den erstatter hverken opdateringer eller hærdning.

Reaktionstider fastlægger vi heller ikke generelt; de afhænger af den aftalte betjening. Monitorering udfolder sin nytte bedst som en del af en [sikkerhedsvedligeholdelsesaftale](https://phpsos.de/da/leistungen/security-wartungsvertrag/), hvor opdateringer, backups og overvågning er regulerede samlet.


## Ofte stillede spørgsmål

**Hvad er forskellen på almindelig monitorering og sikkerhedsovervågning?**  
Almindelig monitorering kontrollerer, om en server er tilgængelig og har ressourcer nok. Sikkerhedsovervågning holder øje med tegn på et angreb, f.eks. nye eksekverbare filer, usædvanlige processer eller fremmede logins. De to supplerer hinanden.

**Opdager monitorering et angreb via PHP2Shell?**  
Der findes ingen offentliggjorte, bekræftede Indicators of Compromise for PHP2Shell. Monitorering kan dog gøre typiske følger af et indbrud synlige, f.eks. nye PHP-filer eller kommandoer, der startes fra en PHP-proces. Der er ingen garanti for succes.

**Skal jeg installere software på serveren til det?**  
Som regel ja, f.eks. en agent til filintegritet og videresendelse af logs. Hvilke værktøjer vi bruger, afstemmer vi med jer og eventuelt jeres hostingudbyder, så drift og databeskyttelse passer.

**Fungerer sikkerhedsovervågning også ved shared hosting?**  
Kun i begrænset omfang. Uden adgang til processer og systemprotokoller bliver det især overvågning af filer og indhold udefra. Til en fuldstændig overvågning kræves en egen eller administreret server.

## Kilder

- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)
- [BSI: det tyske forbundsagentur for informationssikkerhed](https://www.bsi.bund.de/)