Lühidalt: Serveri seire turvalisuse jaoks tähendab veebiserverite pidevat jälgimist rünnaku tunnuste suhtes, selle asemel et reageerida alles siis, kui kliendid kaebavad. Jälgime teie PHP serverite faile, protsesse, sisselogimisi, ühendusi ja logisid ning anname igale kõrvalekaldele arusaadava hinnangu. Nii tuvastate probleemid varem ja teil on tõsises olukorras vajalikud jäljed olemas.
Miks serveri seire turvalisuse jaoks loeb just praegu
PHP2Shell on näidanud, kui kiiresti võib uus turvaauk saada ohuks miljonitele serveritele. Unit 42 luges kokku üle 22,6 miljoni avalikult ligipääsetava, potentsiaalselt haavatava instantsi. Samal ajal ei ole avaldatud ega kinnitatud kompromiteerimisnäitajaid (Indicators of Compromise). Kes tahab teada, kas oma serveris midagi toimub, peab jälgima käitumist.
Paljud sissemurdmised avastatakse hilja, sageli kolmandate poolt: Google'i hoiatus, veebimajutaja blokeering rämpsposti saatmise tõttu, kliendi vihje. Selleks ajaks on logid sageli juba rotatsioonis ja jäljed kadunud. Turvaseire lühendab seda aega ja tagab, et protokollid on alles, kui neid vaja on. Juhtkonna jaoks tähendab see eelkõige ühte: otsused tõsises olukorras põhinevad faktidel, mitte oletustel.
Mida me jälgime
| Valdkond | Mille peale tähelepanu pöörame |
|---|---|
| Failid | uued või muudetud PHP failid, käivitatav kood üleslaadimiskaustades, muudatused failis .htaccess ja seadistuses |
| Protsessid | käsud, mis käivitatakse PHP tööprotsessidest, tundmatud püsiprotsessid, kokku jooksvad tööprotsessid |
| Sisselogimised | SSH ja paneeli sisselogimised, uued administraatorikontod CMS-is, korduvad ebaõnnestunud katsed |
| Võrk | ebatavalised väljaminevad ühendused, ootamatu e-kirjade saatmine, uued avatud pordid |
| Logid | silmatorkavad päringumustrid, vigade kuhjumine, lüngad protokollimises |
| Seis | PHP, CMS-i ja pakettide versioonid võrdluses teadaolevate turvauuendustega |
Kuidas selliseid signaale käsitsi kontrollida, kirjeldab Veebiserveri logide analüüs pärast rünnakut. Administraatoriligipääsude jaoks soovitame lisaks meetmeid lehelt Administraatori sisselogimiste kaitse toorjõurünnaku (Brute Force) vastu.
Kuidas PHP SOS konkreetselt aitab?
- Algolukorra kaardistamine: Võtame üles serverid, rakendused, olemasolevad protokollid ja senise jälgimise ning määrame kindlaks, mis on normaalne. Ilma selle algseisundita ei saa kõrvalekaldeid kindlalt tuvastada.
- Seire sisseseadmine: Seadistame failide terviklikkuse kontrolli, logide edastamise eraldi hoiukohta ja reeglid rünnaku tüüpiliste tagajärgede jaoks. Logid asuvad nii, et ründaja veebiserveris ei saa neid lihtsalt kustutada.
- Peenhäälestus: Esimestel nädalatel kohandame reegleid, et teid ei uputataks valehäiretega, näiteks tavaliste uuenduste või juurutuste tõttu.
- Teavitamine ja hindamine: Kõrvalekalletest teatame hinnanguga: mida täheldati, kui tõenäoline on rünnak ja mida edasi teha.
- Aruandlus: Regulaarsete vahemike järel saate kokkuvõtte sündmuste, avatud uuenduste ja soovitustega.
Hoidke logisid eraldi süsteemis. PHP2Shelli puhul soovitab erialaajakirjandus serveri logid kindlustada alates 20.10.2026. Kes need tsentraalselt salvestab, on need olemas ka siis, kui veebiserver tuleb uuesti üles seada.
Milline meie teade välja näeb
Hoiatusest on kasu ainult siis, kui sellest aru saadakse. Seetõttu sisaldab iga teade samu osi:
- Mida täheldati? Näiteks: ühe veebisaidi üleslaadimiskaustas tekkis uus PHP fail, mõnda aega hiljem lõi PHP tööprotsess väljamineva ühenduse tundmatule aadressile.
- Kuidas me seda hindame? Tõendatud on uus fail ja ühendus. Tõenäoline on seos. Teadmata on, kas andmeid edastati.
- Mida me oleme juba teinud? Näiteks faili kindlustanud ja, kui kokku lepitud, veebisaidi hooldusrežiimi pannud.
- Mida peate teie otsustama? Näiteks seda, kas veebisait jääb võrgust välja, kuni põhjus on selgitatud.
Kahjutud sündmused, näiteks tavaline plugina uuendus, tunneme ära algolukorra põhjal ja võtame need aruandes kokku, selle asemel et teid nendega eraldi koormata. Aja jooksul õpib seire teie süsteeme paremini tundma.
Mida te saate ja mida me vajame
Saate sisseseatud seire dokumenteeritud reeglitega, jälgitavad teated tegevussoovitusega, regulaarsed aruanded ja protokollide keskse hoiukoha. Kinnitatud intsidendi korral liiguvad andmed otse intsidendile reageerimisse (Incident Response).
Teilt vajame:
- administraatoriligipääsu serveritele, et seadistada agente ja logide edastamist
- ülevaadet rakendustest, planeeritud juurutustest ja hooldusaknatest
- kontaktisikut, kes võtab teateid vastu ja saab otsuseid teha
- kooskõlastust oma andmekaitsespetsialistiga, sest logid võivad sisaldada isikuandmeid, nagu IP-aadressid
Mida me ei luba
Seire ei tuvasta iga rünnakut. Osavad ründajad püüavad jääda märkamatuks ja mõni turvaauk jätab vaevu jälgi. Seire suurendab tõenäosust sissemurdmine varakult märgata ja annab töökindlaid andmeid. See ei asenda uuendusi ega karastamist.
Ka reageerimisaegu me üldiselt ette ei määra; need sõltuvad kokkulepitud hooldusest. Seire annab parima kasu osana turvahoolduslepingust, kus uuendused, varukoopiad ja jälgimine on koos reguleeritud.
Korduma kippuvad küsimused
Mis vahe on tavalisel seirel ja turvaseirel?
Tavaline seire kontrollib, kas server on kättesaadav ja kas ressursse on piisavalt. Turvaseire pöörab tähelepanu rünnaku tunnustele, näiteks uutele käivitatavatele failidele, ebatavalistele protsessidele või võõrastele sisselogimistele. Mõlemad täiendavad teineteist.
Kas seire tuvastab rünnaku PHP2Shelli kaudu?
PHP2Shelli kohta ei ole avaldatud ega kinnitatud kompromiteerimisnäitajaid (Indicators of Compromise). Seire saab aga muuta nähtavaks sissemurdmise tüüpilised tagajärjed, näiteks uued PHP failid või käsud, mis käivitatakse PHP protsessist. Edukuse garantiid ei ole.
Kas pean selleks serverisse tarkvara paigaldama?
Enamasti jah, näiteks failide terviklikkuse ja logide edastamise agendi. Milliseid tööriistu kasutame, lepime kokku teiega ja vajaduse korral teie veebimajutajaga, et töö ja andmekaitse sobiksid.
Kas turvaseire töötab ka jagatud veebimajutuse puhul?
Ainult piiratult. Ilma ligipääsuta protsessidele ja süsteemiprotokollidele jääb peamiselt failide ja sisu jälgimine väljastpoolt. Täielikuks jälgimiseks on vaja oma või hallatavat serverit.