Lyhyesti: Palvelinvalvonta tietoturvaa varten tarkoittaa verkkopalvelinten jatkuvaa tarkkailua hyökkäyksen merkkien varalta sen sijaan, että reagoitaisiin vasta asiakkaiden valittaessa. Valvomme PHP-palvelimienne tiedostoja, prosesseja, kirjautumisia, yhteyksiä ja lokeja ja arvioimme jokaisen poikkeaman ymmärrettävästi. Näin havaitsette ongelmat aiemmin ja teillä on hätätilanteessa tarvittavat jäljet.
Miksi palvelinvalvonta tietoturvaa varten on tärkeää juuri nyt
PHP2Shell on osoittanut, kuinka nopeasti uusi haavoittuvuus voi muuttua uhaksi miljoonille palvelimille. Unit 42 laski yli 22,6 miljoonaa julkisesti tavoitettavissa olevaa, mahdollisesti haavoittuvaa instanssia. Samalla vahvistettuja, julkaistuja Indicators of Compromise -tunnisteita ei ole. Joka haluaa tietää, tapahtuuko omalla palvelimella jotain, joutuu seuraamaan käyttäytymistä.
Moni murto havaitaan myöhään, usein kolmannen osapuolen kautta: Googlen varoitus, hosting-yrityksen asettama esto roskapostin lähettämisen vuoksi, asiakkaan vihje. Siihen mennessä lokit on usein kierrätetty ja jäljet menetetty. Tietoturvavalvonta lyhentää tätä aikaa ja huolehtii siitä, että pöytäkirjat ovat vielä olemassa, kun niitä tarvitaan. Johdolle tämä tarkoittaa ennen kaikkea yhtä asiaa: päätökset hätätilanteessa perustuvat tosiasioihin eikä oletuksiin.
Mitä valvomme
| Alue | Mihin kiinnitämme huomiota |
|---|---|
| Tiedostot | uudet tai muuttuneet PHP-tiedostot, suoritettava koodi latauskansioissa, muutokset tiedostoissa .htaccess ja konfiguraatio |
| Prosessit | komennot, jotka käynnistetään PHP-workereista, tuntemattomat pysyvät prosessit, kaatuvat workerit |
| Kirjautumiset | SSH- ja paneelikirjautumiset, uudet ylläpitäjätilit CMS:ssä, runsaat epäonnistuneet yritykset |
| Verkko | epätavalliset lähtevät yhteydet, äkillinen sähköpostin lähetys, uudet avoimet portit |
| Lokit | poikkeavat pyyntömallit, virheiden kasautuminen, aukot lokituksessa |
| Tila | PHP-, CMS- ja pakettiversiot verrattuna tunnettuihin tietoturvapäivityksiin |
Miten tällaiset signaalit voi tarkistaa manuaalisesti, kuvataan sivulla Verkkopalvelimen lokien analysointi hyökkäyksen jälkeen. Ylläpitopääsyille suosittelemme lisäksi sivun Ylläpitäjän kirjautumisten suojaus brute force -hyökkäyksiltä toimenpiteitä.
Miten PHP SOS auttaa konkreettisesti?
- Lähtötilanteen kartoitus: Kokoamme palvelimet, sovellukset, olemassa olevat pöytäkirjat ja aiemman valvonnan ja määrittelemme, mikä on normaalia. Ilman tätä lähtötilaa poikkeamia ei voi tunnistaa varmasti.
- Valvonnan käyttöönotto: Otamme käyttöön tiedostojen eheystarkistuksen, lokien välityksen erilliseen säilytyspaikkaan ja säännöt tyypillisille hyökkäyksen seurauksille. Lokit säilytetään niin, ettei verkkopalvelimella oleva hyökkääjä voi helposti poistaa niitä.
- Hienosäätö: Ensimmäisinä viikkoina sovitamme säännöt, jotta ette hukkuisi väärien hälytysten alle, esimerkiksi säännöllisistä päivityksistä tai käyttöönotoista johtuen.
- Ilmoitus ja arviointi: Poikkeamat ilmoitamme arvioineen: mitä havaittiin, kuinka todennäköinen hyökkäys on ja mitä on tehtävä seuraavaksi.
- Raportointi: Säännöllisin väliajoin saatte yhteenvedon tapahtumista, avoimista päivityksistä ja suosituksista.
Säilyttäkää lokit erillisessä järjestelmässä. PHP2Shellin osalta ammattilehdistö neuvoo turvaamaan palvelinlokit 20.10.2026 alkaen. Joka tallentaa ne keskitetysti, saa ne talteen silloinkin, kun verkkopalvelin on pystytettävä uudelleen.
Miltä ilmoituksemme näyttää
Varoituksesta on hyötyä vain, jos sen ymmärtää. Siksi jokainen ilmoitus sisältää samat osat:
- Mitä havaittiin? Esimerkiksi: verkkosivuston latauskansioon on syntynyt uusi PHP-tiedosto, ja pian sen jälkeen PHP-worker on avannut lähtevän yhteyden tuntemattomaan osoitteeseen.
- Miten arvioimme sen? Todennettu on uusi tiedosto ja yhteys. Todennäköinen on niiden yhteys. Tuntematon on, siirtyikö tietoja.
- Mitä olemme jo tehneet? Esimerkiksi turvanneet tiedoston ja, jos on sovittu, asettaneet verkkosivuston huoltotilaan.
- Mitä teidän täytyy päättää? Esimerkiksi pysyykö verkkosivusto offline-tilassa, kunnes syy on selvitetty.
Vaarattomat tapahtumat, kuten säännöllisen lisäosapäivityksen, tunnistamme lähtötilan perusteella ja kokoamme ne raporttiin sen sijaan, että rasittaisimme teitä niillä yksitellen. Ajan myötä valvonta oppii tuntemaan järjestelmänne paremmin.
Mitä saatte ja mitä tarvitsemme
Saatte käyttöön otetun valvonnan dokumentoituine sääntöineen, jäljitettävät ilmoitukset toimintasuosituksineen, säännölliset raportit ja pöytäkirjojen keskitetyn säilytyksen. Vahvistetussa poikkeamassa tiedot siirtyvät suoraan incident responseen.
Tarvitsemme teiltä:
- ylläpitäjän pääsyn palvelimille agenttien ja lokien välityksen käyttöönottoa varten
- yleiskuvan sovelluksista, suunnitelluista käyttöönotoista ja huoltoikkunoista
- yhteyshenkilön, joka ottaa ilmoitukset vastaan ja voi tehdä päätöksiä
- sopimisen tietosuojavastaavanne kanssa, koska lokit voivat sisältää henkilötietoja, kuten IP-osoitteita
Mitä emme lupaa
Valvonta ei havaitse jokaista hyökkäystä. Taitavat hyökkääjät yrittävät pysyä huomaamattomina, ja jotkin haavoittuvuudet jättävät vain vähän jälkiä. Valvonta lisää todennäköisyyttä huomata murto ajoissa ja tuottaa luotettavaa dataa. Se ei korvaa päivityksiä eikä koventamista.
Emme myöskään määritä vasteaikoja yleispätevästi; ne riippuvat sovitusta tuesta. Valvonta tuottaa parhaan hyödyn osana tietoturvahuoltosopimusta, jossa päivitykset, varmuuskopiot ja valvonta sovitaan yhdessä.
Usein kysytyt kysymykset
Mikä ero on tavallisella valvonnalla ja tietoturvavalvonnalla?
Tavallinen valvonta tarkistaa, onko palvelin tavoitettavissa ja onko sillä riittävästi resursseja. Tietoturvavalvonta seuraa hyökkäyksen merkkejä, kuten uusia suoritettavia tiedostoja, epätavallisia prosesseja tai vieraita kirjautumisia. Ne täydentävät toisiaan.
Havaitseeko valvonta PHP2Shell-hyökkäyksen?
PHP2Shellille ei ole julkaistu vahvistettuja Indicators of Compromise -tunnisteita. Valvonta voi kuitenkin tehdä näkyviksi murron tyypillisiä seurauksia, kuten uusia PHP-tiedostoja tai komentoja, jotka käynnistetään PHP-prosessista. Onnistumistakuuta ei ole.
Pitääkö palvelimelle asentaa ohjelmistoa?
Yleensä kyllä, esimerkiksi agentti tiedostojen eheyttä ja lokien välitystä varten. Mitä työkaluja käytämme, sovimme kanssanne ja tarvittaessa hosting-yrityksenne kanssa, jotta toiminta ja tietosuoja sopivat yhteen.
Toimiiko tietoturvavalvonta myös jaetussa hostingissa?
Vain rajoitetusti. Ilman pääsyä prosesseihin ja järjestelmälokeihin jää lähinnä tiedostojen ja sisältöjen valvonta ulkopuolelta. Täydelliseen valvontaan tarvitaan oma tai hallinnoitu palvelin.