Ukratko: Sigurnosni nadzor poslužitelja znači stalno promatrati web-poslužitelje zbog znakova napada umjesto da se reagira tek kad se klijenti požale. Nadziremo datoteke, procese, prijave, veze i zapisnike Vaših PHP poslužitelja i svaku upadljivost razumljivo procjenjujemo. Tako probleme prepoznajete ranije, a u ozbiljnom slučaju imate potrebne tragove.
Zašto je sigurnosni nadzor poslužitelja upravo sada važan
PHP2Shell je pokazao koliko brzo nova ranjivost može postati prijetnja za milijune poslužitelja. Unit 42 izbrojio je više od 22,6 milijuna izloženih, potencijalno ranjivih instanci. Istodobno nema objavljenih, potvrđenih indikatora kompromitacije (Indicators of Compromise). Tko želi znati događa li se nešto na vlastitom poslužitelju, mora paziti na ponašanje.
Mnoge se provale otkriju kasno, često preko trećih: Googleovo upozorenje, blokada pružatelja hostinga zbog slanja spama, napomena klijenta. Do tada su zapisnici često rotirani, a tragovi izgubljeni. Sigurnosni nadzor skraćuje to vrijeme i brine da zapisnici još postoje kad zatrebaju. Za upravu to prije svega znači jedno: odluke u ozbiljnom slučaju temelje se na činjenicama, a ne na pretpostavkama.
Što nadziremo
| Područje | Na što pazimo |
|---|---|
| Datoteke | nove ili izmijenjene PHP datoteke, izvršni kod u mapama za prijenos, promjene u .htaccess i konfiguraciji |
| Procesi | naredbe pokrenute iz PHP workera, nepoznati trajni procesi, rušenje workera |
| Prijave | SSH i panel prijave, novi administratorski računi u CMS-u, nagomilani neuspjeli pokušaji |
| Mreža | neuobičajene odlazne veze, iznenadno slanje e-pošte, novi otvoreni portovi |
| Zapisnici | upadljivi obrasci zahtjeva, nakupine pogrešaka, praznine u bilježenju |
| Stanje | verzije PHP-a, CMS-a i paketa u usporedbi s poznatim sigurnosnim ažuriranjima |
Kako se takvi signali mogu ručno provjeriti, opisuje Analiza zapisnika web-poslužitelja nakon napada. Za administratorske pristupe dodatno preporučujemo mjere iz Zaštita administratorskih prijava od brute force napada.
Kako PHP SOS konkretno pomaže?
- Utvrditi polazno stanje: Bilježimo poslužitelje, aplikacije, postojeće zapisnike i dosadašnji nadzor te utvrđujemo što je normalno. Bez tog polaznog stanja upadljivosti se ne mogu pouzdano prepoznati.
- Postaviti nadzor: Postavljamo provjeru cjelovitosti datoteka, prosljeđivanje zapisnika na odvojeno mjesto pohrane i pravila za tipične posljedice napada. Zapisnici se nalaze tako da ih napadač na web-poslužitelju ne može jednostavno obrisati.
- Fino podešavanje: U prvim tjednima prilagođavamo pravila kako Vas ne bi preplavili lažni alarmi, primjerice zbog redovitih ažuriranja ili deploymenta.
- Prijaviti i procijeniti: Upadljivosti prijavljujemo s procjenom: što je uočeno, koliko je napad vjerojatan i što je sljedeći korak.
- Izvješćivati: U redovitim razmacima dobivate sažetak s događajima, otvorenim ažuriranjima i preporukama.
Zapisnike čuvajte na odvojenom sustavu. Kod PHP2Shella stručni tisak savjetuje osiguravanje zapisnika poslužitelja od 20. 10. 2026. Tko ih pohranjuje središnje, ima ih i onda kad se web-poslužitelj mora postaviti iznova.
Kako izgleda naša poruka
Upozorenje koristi samo ako se razumije. Zato svaka poruka sadrži iste sastavnice:
- Što je uočeno? Na primjer: u mapi za prijenos jedne web-stranice nastala je nova PHP datoteka, a ubrzo nakon toga PHP worker je uspostavio odlaznu vezu prema nepoznatoj adresi.
- Kako to procjenjujemo? Dokazani su nova datoteka i veza. Vjerojatna je povezanost. Nepoznato je jesu li podaci preneseni.
- Što smo već učinili? Na primjer osigurali datoteku i, ako je dogovoreno, stavili web-stranicu u način održavanja.
- Što morate odlučiti Vi? Na primjer ostaje li web-stranica izvan mreže dok se uzrok ne razjasni.
Bezazlene događaje, primjerice redovito ažuriranje dodatka, prepoznajemo prema polaznom stanju i sažimamo u izvješću umjesto da Vas njima pojedinačno opterećujemo. S vremenom nadzor bolje upoznaje Vaše sustave.
Što dobivate i što trebamo
Dobivate postavljen nadzor s dokumentiranim pravilima, razumljive poruke s preporukom za postupanje, redovita izvješća i središnju pohranu zapisnika. Kod potvrđenog incidenta podaci izravno teku u Incident Response.
Od Vas trebamo:
- Administratorski pristup poslužiteljima radi postavljanja agenata i prosljeđivanja zapisnika
- pregled aplikacija, planiranih deploymenta i prozora za održavanje
- kontakt osobu koja prima poruke i može donositi odluke
- usklađivanje sa službenikom za zaštitu podataka, jer zapisnici mogu sadržavati osobne podatke poput IP adresa
Što ne obećavamo
Nadzor ne prepoznaje svaki napad. Vješti napadači nastoje ostati neprimijećeni, a neke ranjivosti ostavljaju jedva ikakve tragove. Nadzor povećava vjerojatnost da se provala rano uoči i osigurava pouzdane podatke. Ne zamjenjuje ni ažuriranja ni ojačavanje.
Ni vremena odgovora ne utvrđujemo paušalno; ona ovise o dogovorenoj skrbi. Nadzor najbolje djeluje kao dio sigurnosnog ugovora o održavanju, u kojem su ažuriranja, sigurnosne kopije i nadzor uređeni zajedno.
Česta pitanja
Koja je razlika između običnog nadzora i sigurnosnog nadzora?
Obični nadzor provjerava je li poslužitelj dostupan i ima li dovoljno resursa. Sigurnosni nadzor pazi na znakove napada, primjerice nove izvršne datoteke, neuobičajene procese ili strane prijave. Oboje se nadopunjuje.
Prepoznaje li nadzor napad putem PHP2Shella?
Ne postoje objavljeni, potvrđeni indikatori kompromitacije (Indicators of Compromise) za PHP2Shell. Nadzor ipak može učiniti vidljivima tipične posljedice provale, primjerice nove PHP datoteke ili naredbe pokrenute iz PHP procesa. Jamstva uspjeha nema.
Moram li za to instalirati softver na poslužitelj?
Najčešće da, primjerice agent za cjelovitost datoteka i prosljeđivanje zapisnika. Koje alate koristimo, usklađujemo s Vama i po potrebi s Vašim pružateljem hostinga kako bi se uklopili rad i zaštita podataka.
Radi li sigurnosni nadzor i kod shared hostinga?
Samo ograničeno. Bez pristupa procesima i sistemskim zapisnicima ostaje uglavnom izvanjski nadzor datoteka i sadržaja. Za potpun nadzor potreban je vlastiti ili upravljani poslužitelj.