# IT-forenzika webszerver-támadás után

> IT-forenzika szerverre: bizonyíték értékűen mentjük a nyomokat, kiértékeljük a naplókat és fájlokat, és szakosodott partnerekkel tisztázzuk, mi történt a támadáskor.

Forrás: https://phpsos.de/hu/leistungen/it-forensik/  
Állapot: 2026. 10. 25.  
Szolgáltató: PHP SOS, PHP-vészhelyzeti segítség és szerverbiztonság. Azonnali segítség WhatsAppon: https://wa.me/491736494914?text=%C3%9Cdv%C3%B6zl%C3%B6m%2C%20PHP%20SOS%21%20Seg%C3%ADts%C3%A9gre%20van%20sz%C3%BCks%C3%A9g%C3%BCnk%20a%20PHP-szerver%C3%BCnkkel.%20C%C3%A9g%3A%20%E2%80%A6%20Weboldal%3A%20%E2%80%A6

**Röviden:** A szerverekre vonatkozó IT-forenzika arra a kérdésre válaszol, mi történt valójában egy támadáskor: mikor, hogyan, milyen következményekkel. Szakosodott forenzikai partnerekkel együtt bizonyíték értékűen mentjük a nyomokat, kiértékeljük a naplókat, fájlrendszereket és adatbázisokat, és követhető jelentést adunk. Ez alapul szolgál a bejelentésekhez, a biztosításhoz és adott esetben a büntetőeljáráshoz.

## Mikor van szüksége IT-forenzikára a szerveréhez

Nem minden incidens igényel forenzikai vizsgálatot. Főként akkor hasznos, ha személyes adatok, fizetési adatok vagy üzleti titkok lehetnek érintettek, ha feljelentés vagy jogvita várható, vagy ha a biztosító megbízható igazolást vár. Annak eldöntéséhez is, hogy szükséges-e bejelentés a felügyeleti hatóságnak, a bizonyított tények többet segítenek a feltételezéseknél.

A PHP2Shell után egy különleges pont is hozzájön. A CVE-2026-109618 és a CVE-2026-109619 rések bejelentkezés nélküli kódfuttatást tesznek lehetővé, és nincsenek közzétett, megerősített Indicators of Compromise. Hogy egy szerver érintett volt-e, ezért nem lehet ellenőrzőlistával kipipálni, csak viselkedéselemzéssel: milyen folyamatok futottak, milyen fájlok keletkeztek, milyen kapcsolatok mentek kifelé? Első támpontokat a [Már feltörték a rendszeremet?](https://phpsos.de/hu/php2shell/bin-ich-gehackt-anzeichen/) ad.

## Miben különbözik a forenzika a gyors tisztítástól

A tisztítás azt akarja, hogy a szerver ismét tiszta legyen. A forenzika megérteni és igazolni akar. Az egyik kérdés: „Biztonságos-e ismét a szerver?“, a másik: „Mi történt pontosan, és mely adatok voltak elérhetők?“. A bejelentésekhez, a biztosításhoz és az ügyfelek tájékoztatásához többnyire a második kérdés a döntő. A kettő megfér egymás mellett, ha a sorrend helyes: előbb mentés, aztán módosítás. Aki előbb töröl, javít vagy újraindít, elveszíti az illékony nyomokat, és később gyakran már nem tudja megmutatni, mit látott a támadó.

> **Fontos:**
> Őrizze meg az összes szervernaplót 2026. 10. 20-tól, és kérje meg a tárhelyszolgáltatót, hogy a naplókat ne rotálja és ne törölje. A hiányzó naplók a jelentésben a nyitott kérdések leggyakoribb okai.

## Mely nyomok számítanak egy PHP-webszerveren

Egy tipikus webszerveren több nyom van, mint amennyit sok üzemeltető sejt. Hogy felhasználhatók-e, az attól függ, mennyi ideig őrzik meg őket, és mentették-e őket a beavatkozás előtt.

- **A webszerver és a PHP-FPM hozzáférési és hibanaplói**, a lefagyott workerekkel együtt
- **Fájlrendszer:** új vagy módosított fájlok, időbélyegeik és tulajdonosaik, futtatható kód a feltöltési mappákban
- **Adatbázis:** új felhasználói fiókok, módosított beállítások, bejuttatott tartalmak
- **Rendszer:** cron-feladatok, felhasználók, SSH-kulcsok, bejelentkezési naplók, futó folyamatok és hálózati kapcsolatok
- **Előtte álló rendszerek:** a CDN, a WAF, a tűzfal, a load balancer és a levelezőszerver naplói

Éppen az előtte álló rendszereket felejtik el gyakran. A webszerveren kívül vannak, ezért egy támadónak nehezebb manipulálni őket. Egyes szolgáltatóknál csak rövid ideig tárolják őket, ezért érdemes korán exportálni.

## Hogyan segít konkrétan a PHP SOS?

1. **A megbízás tisztázása:** Önnel együtt meghatározzuk, mely kérdésekre kell választ adni, például a behatolási pont, az időszak, az érintett adatok vagy a hálózaton belüli továbbhaladás. Ebből adódik, mely rendszereket vizsgáljuk.
2. **Bizonyíték értékű mentés:** Mi és szakosodott partnereink másolatokat készítünk az adathordozókról, naplókról, adatbázisokról, és ahol lehet, a munkamemóriáról. Minden mentés ellenőrző összeget kap, minden átadást dokumentálnak.
3. **Kiértékelés:** Elemezzük a hozzáférési és hibanaplókat, a fájlváltozásokat, a felhasználói fiókokat, a cron-feladatokat, a folyamatokat és a kimenő kapcsolatokat. A naplók módszertanát a [Webszerver-naplók kiértékelése támadás után](https://phpsos.de/hu/ratgeber/logfiles-auswerten/) írja le.
4. **Idővonal készítése:** A leletekből az incidens idővonala készül, amelyben minden állítás egy konkrét bizonyítékra hivatkozik.
5. **Jelentés átadása:** Műszaki jelentést és a vezetésnek szóló érthető összefoglalót kap.

## Mit kap, és mire van szükségünk

A jelentés tartalmazza a mentett bizonyítékokat ellenőrző összegekkel, az átadási lánc dokumentációját, az idővonalat, a megállapított vagy valószínű behatolási pontot, az érintett rendszereket és adattípusokat, valamint javaslatokat. Minden állítás bizonyítottként, valószínűként vagy ismeretlenként van megjelölve.

Öntől a következőkre van szükségünk:

- **hozzáférés** az érintett rendszerekhez, vagy engedély arra, hogy a tárhelyszolgáltatója másolatokat bocsásson a rendelkezésünkre
- **egy döntési jogkörrel rendelkező személy**, aki meghatározza a terjedelmet és a prioritásokat
- **információk** a rendszertájról, a szolgáltatókról és az utolsó hetek ismert változásairól
- **meglévő naplók**, tűzfalakból, CDN-ből, WAF-ból vagy levelezőszerverekről is
- **annak megjelölése**, hogy a biztosítót, a rendőrséget vagy az ügyvédet már bevonták-e

Ha feljelentést szeretne tenni, tudnivalókat a [Feljelentés: a kiberbűnözés központi kapcsolattartó pontjai](https://phpsos.de/hu/compliance/anzeige-polizei-zac/) oldalon talál. Hogy a biztosítók káresetben jellemzően mit várnak el, azt a [Kiberbiztosítás: mi számít káresetben](https://phpsos.de/hu/compliance/cyberversicherung/) magyarázza.

## Amit nem ígérünk

A forenzika csak azt tudja kiértékelni, ami nyomként megvan. Ha a naplók hiányoznak, felülírták vagy a támadó manipulálta őket, hézagok maradnak, és ezeket megnevezzük. Nem ígérjük, hogy egy bíróság eredményeinket meghatározott módon értékeli, és jogi értékelést nem adunk. Nem nevezünk meg elkövetőket, hanem leírjuk, mit mutatnak a nyomok. Olyan állításokat is csak akkor teszünk, mint „biztosan nem szivárgott ki adat“, ha a bizonyítékok megtámogatják.

Ha a támadás még tart, a megfékezés élvez elsőbbséget. Ilyenkor az [incident response](https://phpsos.de/hu/leistungen/incident-response/) folyamattal kezdünk, és párhuzamosan annyi nyomot mentünk, amennyit csak lehet.


## Gyakori kérdések

**Mit jelent a bíróság előtt is megálló bizonyítékrögzítés?**  
A nyomokat úgy mentik, hogy később igazolható legyen, hogy változatlanok. Ide tartoznak az ellenőrző összegek, a dokumentált átadási lánc, és az eredeti helyett a másolatokon végzett munka. Hogy egy bíróság felhasználja-e a bizonyítékot, azt viszont a bíróság dönti el.

**Tisztázhatja az IT-forenzika, hogy kiszivárogtak-e ügyféladatok?**  
Gyakran be lehet határolni, mely adatokhoz fért hozzá a támadó, és vannak-e jelek a kiszivárgásra. A biztos kizárás nem mindig lehetséges, különösen ha hiányoznak a naplók. Az eredményt ezért bizonyított, valószínű és ismeretlen szerint különítjük el.

**Meddig kell megőrizni a naplókat?**  
A kivizsgáláshoz a lehető legtovább, legalább a vizsgálat lezárultáig. A PHP2Shell esetében a szakmai sajtó azt tanácsolja, hogy a szervernaplókat 2026. 10. 20-tól őrizzék meg. A jogi megőrzési és törlési kötelezettségeket tisztázza az adatvédelmi felelőssel.

**Újraindíthatom vagy javíthatom a szervert a forenzika előtt?**  
Az újraindítás törli a munkamemória illékony nyomait, a javítás pedig módosítja a fájlokat. Ha tudja, előbb készítsen mentést, vagy beszéljen röviden velünk. Ha a veszély akut, a megfékezés élvez elsőbbséget, és ezt dokumentálják.

## Források

- [BSI: a német Szövetségi Információbiztonsági Hivatal](https://www.bsi.bund.de/)
- [Rendőrség: a kiberbűnözés központi kapcsolattartó pontjai](https://www.polizei.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)