Lühidalt: Enne kompromiteeritud serveri uuesti seadistamist kindlustage tõendid lenduvuse järjekorras: esmalt protsessid, ühendused ja sisse logitud kasutajad, seejärel logid ja konfiguratsioon, siis süsteemi täielik kujutis ja eelneva tasandi teenuste andmed. Iga varukoopia saab kontrollsumma ja pannakse serverist väljapoole. Server ühendatakse selleks võrgust lahti, kuid mitte välja ei lülitata.
Refleks seadistada kohe uuesti
Kes avastab sissemurdmise, tahab selle võimalikult kiiresti lõpetada. Värske süsteem, puhtalt paigaldatud, uute paroolidega: see tundub kontrollina. Tehniliselt on uuestiehitus sageli ka õige tee, eriti kui ründajal olid root-õigused.
Probleem on ajastus. Vana süsteemiga kaovad kõik vastused küsimustele, mis tulevad järgmistel päevadel. Millise augu kaudu ründaja sisse tuli? Kui kaua oli ta süsteemis? Kas tal oli ligipääs klientide andmetele? Kas kõrval olev andmebaasiserver on samuti mõjutatud? Ilma jälgedeta jäävad üle vaid oletused ning need ei aita andmekaitse ega kindlustuse puhul.
Pärast PHP2Shelli lisandub eriline punkt: avaldatud ja kinnitatud kompromiteerimistunnuseid (Indicators of Compromise) ei ole. Kas ja kuidas server mõjutatud oli, saab välja lugeda ainult käitumisest, see tähendab just nendest jälgedest, mille ülepeakaela uuestiehitus kustutab. Erialaajakirjandus soovitab serveri logisid säilitada alates 20.10.2026.
Tõendite kindlustamine serveris: järjekord loeb
Jäljed on erineval määral lenduvad. Mis on põhimälus, kaob järgmise taaskäivitusega. Logid elavad kauem, kuid neid roteeritakse. Eelneva tasandi teenuste andmed kaovad nende endi tähtaegade järel. Sellest tuleneb järjekord:
| Jälg | Lenduvus | Kuidas kindlustada |
|---|---|---|
| Protsessid, võrguühendused, sisse logitud kasutajad | kaob taaskäivitamisel | kirjutage süsteemikäskude väljund failidesse |
| Põhimälu | kaob taaskäivitamisel | ainult eririistaga, kohtuekspertiisi spetsialistide ülesanne |
Ajutised failid kaustades /tmp või /dev/shm |
sageli kustutatakse taaskäivitamisel | kopeerige, neid käivitamata |
| Veebiserveri, PHP ja süsteemi logid | roteeritakse | kopeerige täielikult, peatage rotatsioon |
| Failisüsteem ja andmebaas | stabiilne uuestipaigaldamiseni | hetktõmmis või andmekandja kujutis, andmebaasi eksport |
| CDN, WAF, tulemüür, majutaja | säilitamine teenusepakkuja tähtaegade järgi | nõudke eksporti, laske kirjalikult kinnitada |
Põhimälu kindlustage ainult siis, kui valmis on keegi sobiva riistvara ja kogemusega. Tundlike andmete või ettenähtava õigusvaidluse korral peaks selle võtma enda peale IT-kohtuekspertiis.
Lenduvate andmete talletamine mõne minutiga
Järgmised käsud ei muuda süsteemis midagi. Need kirjutavad hetkeseisu failidesse, mis seejärel serverist väljapoole kindlustatakse. Looge sihtkataloog võimaluse korral ühendatud eraldi andmekandjale:
ZIEL=/mnt/sicherung/fall-$(date -u +%Y%m%dT%H%MZ)
mkdir -p "$ZIEL"
date -u > "$ZIEL/zeitpunkt-utc.txt"
ps auxwwf > "$ZIEL/prozesse.txt"
ss -tunap > "$ZIEL/verbindungen.txt"
who -a > "$ZIEL/angemeldet.txt"
last -F > "$ZIEL/anmeldungen.txt"
ip addr > "$ZIEL/netz.txt"; ip route >> "$ZIEL/netz.txt"
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done > "$ZIEL/cronjobs.txt"
sha256sum "$ZIEL"/* > "$ZIEL.sha256"
Kuidas seejärel logid täielikult kindlustada ja analüüsida, kirjeldab juhend Veebiserveri logide analüüs pärast rünnakut. Virtuaalserverite puhul on hetktõmmis teenusepakkuja haldusliidese kaudu lihtsaim tee täieliku kujutiseni. See hõlmab süsteemi, ilma et peaksite kompromiteeritud serveris käivitama täiendavaid tööriistu.
Et kindlustus hiljem midagi väärt oleks
Varukoopia on nii hea kui selle tõend. Kolm reeglit muudavad selle usaldusväärseks:
- Kontrollsummad: iga kindlustatud fail saab SHA-256 kontrollsumma. Sellega saab hiljem näidata, et koopia on muutmata.
- Protokoll: kes kindlustas millal mida, millise käsuga, kuhu? Iga üleandmine kolmandatele isikutele fikseeritakse. Asjatundjad nimetavad seda tõendusahelaks.
- Eraldi hoiustamine: koopiad kuuluvad süsteemi, millele ründajal ligipääsu ei olnud, ning neid kasutatakse edasi ainult lugemiseks.
Töötage seejärel ainult koopiatega. Iga analüüs originaalil muudab ajatempleid ja võib jälgi üle kirjutada. Ärge kunagi käivitage kahtlaseid faile ega avage neid brauseris.
Nõudke CDN-i, WAF-i ja majutaja logisid varakult. Need andmed asuvad väljaspool teie serverit ja neid on ründajal raske manipuleerida, kuid sageli säilitatakse neid vaid lühikest aega.
Mis tõendid hävitab
Paljud jäljed lähevad kaduma mitte ründaja, vaid heatahtliku esmaabi tõttu. Need sammud peaksid enne kindlustamist ära jääma:
- Taaskäivitamine või väljalülitamine: protsessid, ühendused ja põhimälu on pärast seda kadunud.
- Automaatse kustutamisega viirusetõrje: see eemaldab failid enne, kui keegi on need kindlustanud, ja muudab ajatempleid.
- Logide või ajutiste kaustade koristamine: isegi kui ruumi napib, kopeerige esmalt, kustutage alles siis.
- Uute tööriistade paigaldamine internetist serverisse: iga paigaldus kirjutab failisüsteemi ja võib jälgi katta.
- Sisselogimine privilegeeritud ligipääsuandmetega ilma vajaduseta: kui serveris töötab veel kahjulik kood, saab sisestatud paroole kaasa lugeda.
Just kindlustajad küsivad hiljem, mida millal kindlustati. Märkusi tüüpiliste kohustuste kohta leiate artiklist Küberkindlustus: mis loeb kahjujuhtumi korral.
Kaalumine: kui palju aega on kindlustamiseks?
Mitte iga intsident ei võimalda pikka kindlustamist. Kui parasjagu toimub andmete väljavool või rünnatakse külastajaid, on tõkestamine esikohal. Võrgust lahtiühendamine töötava süsteemi juures ühendab mõlemad: ründaja kaotab ligipääsu, jäljed säilivad. Enamiku veebiserverite jaoks piisab seejärel ülevaatlikust ajavahemikust lenduvate andmete ja hetktõmmise jaoks.
Tehke otsus teadlikult ja fikseerige see: kes otsustas, millal uuesti seadistatakse, ja mida enne kindlustati? See märge on hiljem osa intsidendi ajajoonest. Kas õige tee on uuestiehitus või puhastamine, selgitab artikkel Server uuesti seadistada või puhastada?.
Kuidas PHP SOS konkreetselt aitab?
- Kindlustame lenduvad andmed, logid ja süsteemikujutised õiges järjekorras, kontrollsummade ja protokolliga.
- Nõuame eelneva tasandi teenuste andmeid, enne kui nende säilitustähtajad lõppevad.
- Vajaduse korral teeme koos spetsialiseerunud partneritega kohtuekspertiisi kindlustamise ja analüüsi.
- Alles seejärel ehitame serveri uuesti üles, sulgeme sissepääsu ja dokumenteerime intsidendi, kuni see on lõpetatud.
Korduma kippuvad küsimused
Miks peaksin enne uuesti seadistamist tõendeid kindlustama?
Sest ainult jäljed näitavad, kuidas ründaja sisse pääses, kui kaua ta süsteemis oli ja milliste andmeteni ta jõudis. Neid vastuseid vajate andmekaitse, kindlustuse ja küsimuse jaoks, kas on mõjutatud ka teisi süsteeme. Pärast uuestiehitust on need kadunud.
Mis on kindlustamisel kõige kiireloomulisem?
Lenduvad andmed, nagu töötavad protsessid, võrguühendused ja sisse logitud kasutajad, kaovad allalülitamisel. Need talletatakse esimesena. Seejärel tulevad logid, süsteemi kujutis ja eelneva tasandi teenuste andmed.
Kas tavaline varukoopia piisab tõendite kindlustamiseks?
Enamasti mitte. Paljud varukoopiad ei sisalda logisid, süsteemifaile ega metaandmeid, nagu ajatemplid ja omanikud. Tõendite kindlustamiseks vajate täielikku, muutmata koopiat koos kontrollsummaga, ideaalis hetktõmmist või andmekandja kujutist.
Kas tohin serveri enne kindlustamist võrgust lahti ühendada?
Jah, kui see seejuures töötama jääb. Võrgust lahtiühendamine peatab andmete väljavoolu ja kaugjuhtimise, hävitamata lenduvaid jälgi. Taaskäivitamine või väljalülitamine seevastu kustutab põhimälu ja töötavad protsessid.