Röviden: A biztonsági szerver-monitoring azt jelenti, hogy a webszervereket folyamatosan figyelik egy támadás jeleire, ahelyett hogy csak akkor reagálnának, amikor az ügyfelek panaszkodnak. Felügyeljük a PHP-szervereinek fájljait, folyamatait, bejelentkezéseit, kapcsolatait és naplóit, és minden feltűnő jelet érthetően értékelünk. Így hamarabb észreveszi a problémákat, és vészhelyzetben megvannak a szükséges nyomok.
Miért számít a biztonsági szerver-monitoring éppen most
A PHP2Shell megmutatta, milyen gyorsan válhat egy új rés milliónyi szerver fenyegetésévé. A Unit 42 több mint 22,6 millió kitett, potenciálisan sebezhető példányt számolt össze. Ugyanakkor nincsenek közzétett, megerősített Indicators of Compromise. Aki tudni akarja, történik-e valami a saját szerverén, a viselkedésre kell figyelnie.
Sok behatolást csak későn fedeznek fel, gyakran harmadik felek: egy Google-figyelmeztetés, a tárhelyszolgáltató zárolása spamküldés miatt, egy ügyfél jelzése. Addigra a naplókat gyakran már rotálták, és a nyomok elvesztek. A biztonsági monitoring lerövidíti ezt az időt, és gondoskodik róla, hogy a naplók még megvannak, amikor szükség van rájuk. A vezetés számára ez mindenekelőtt egyet jelent: a döntések vészhelyzetben tényeken alapulnak, nem feltételezéseken.
Mit felügyelünk
| Terület | Mire figyelünk |
|---|---|
| Fájlok | új vagy módosított PHP-fájlok, futtatható kód a feltöltési mappákban, a .htaccess és a konfiguráció változásai |
| Folyamatok | PHP-workerekből indított parancsok, ismeretlen tartós folyamatok, összeomló workerek |
| Bejelentkezések | SSH- és panel-bejelentkezések, új rendszergazdai fiókok a CMS-ben, halmozott sikertelen kísérletek |
| Hálózat | szokatlan kimenő kapcsolatok, hirtelen levélküldés, új nyitott portok |
| Naplók | feltűnő kérésminták, hibahalmozódások, hézagok a naplózásban |
| Állapot | PHP-, CMS- és csomagverziók összevetése az ismert biztonsági frissítésekkel |
Hogy az ilyen jelek hogyan ellenőrizhetők manuálisan, azt a Webszerver-naplók kiértékelése támadás után írja le. A rendszergazdai hozzáférésekhez emellett a Rendszergazdai bejelentkezések védelme a brute force ellen intézkedéseit ajánljuk.
Hogyan segít konkrétan a PHP SOS?
- A kiinduló helyzet felmérése: Felvesszük a szervereket, az alkalmazásokat, a meglévő naplókat és az eddigi felügyeletet, és meghatározzuk, mi számít normálisnak. E kiindulóállapot nélkül a feltűnőt nem lehet biztosan felismerni.
- A felügyelet beállítása: Beállítjuk a fájlintegritás-ellenőrzést, a naplók továbbítását egy különálló tárolóhelyre és a támadások tipikus következményeire vonatkozó szabályokat. A naplók úgy vannak elhelyezve, hogy a webszerveren lévő támadó ne tudja őket egyszerűen törölni.
- Finomhangolás: Az első hetekben igazítjuk a szabályokat, hogy ne árassza el téves riasztások tömege, például rendes frissítések vagy deploymentek miatt.
- Jelzés és értékelés: A feltűnő jeleket értékeléssel jelezzük: mit figyeltek meg, mennyire valószínű egy támadás, és mi a következő teendő.
- Jelentés: Rendszeres időközönként összefoglalót kap az eseményekről, a nyitott frissítésekről és a javaslatokról.
Őrizze a naplókat egy különálló rendszeren. A PHP2Shell esetében a szakmai sajtó azt tanácsolja, hogy a szervernaplókat 2026. 10. 20-tól mentsék. Aki központilag tárolja őket, annak akkor is megvannak, ha a webszervert újra kell építeni.
Hogyan néz ki egy jelzésünk
A figyelmeztetés csak akkor hasznos, ha értik. Ezért minden jelzés ugyanazokat az elemeket tartalmazza:
- Mit figyeltek meg? Például: egy weboldal feltöltési mappájában új PHP-fájl keletkezett, majd nem sokkal később egy PHP-worker kimenő kapcsolatot létesített egy ismeretlen címre.
- Hogyan értékeljük? Bizonyított az új fájl és a kapcsolat. Valószínű az összefüggés. Ismeretlen, hogy továbbítottak-e adatokat.
- Mit tettünk már meg? Például elmentettük a fájlt, és ha megállapodtunk benne, a weboldalt karbantartási módba állítottuk.
- Miről kell Önnek döntenie? Például hogy a weboldal offline maradjon-e az ok tisztázásáig.
Az ártalmatlan eseményeket, például egy rendes bővítményfrissítést, a kiinduló helyzet alapján ismerjük fel, és a jelentésben foglaljuk össze, ahelyett hogy egyenként terhelnénk vele. Idővel a felügyelet jobban megismeri a rendszereit.
Mit kap, és mire van szükségünk
Beállított felügyeletet kap dokumentált szabályokkal, követhető jelzéseket teendőjavaslattal, rendszeres jelentéseket és a naplók központi tárolását. Megerősített incidensnél az adatok közvetlenül beáramlanak az incident response folyamatba.
Öntől a következőkre van szükségünk:
- rendszergazdai hozzáférés a szerverekhez az ügynökök és a naplótovábbítás beállításához
- áttekintés az alkalmazásokról, a tervezett deploymentekről és a karbantartási időablakokról
- egy kapcsolattartó, aki fogadja a jelzéseket és dönthet
- egyeztetés az adatvédelmi felelőssel, mert a naplók személyes adatokat, például IP-címeket tartalmazhatnak
Amit nem ígérünk
A monitoring nem ismer fel minden támadást. Az ügyes támadók igyekeznek feltűnés nélkül maradni, és egyes rések alig hagynak nyomot. A monitoring növeli annak valószínűségét, hogy egy behatolást korán észrevesznek, és megbízható adatokat biztosít. Sem a frissítéseket, sem a keményítést nem pótolja.
A reakcióidőket sem rögzítjük általánosan; azok a megállapodott gondozástól függenek. A monitoring a legjobban egy biztonsági karbantartási szerződés részeként hasznosul, amelyben a frissítéseket, a mentéseket és a felügyeletet együtt szabályozzák.
Gyakori kérdések
Mi a különbség a szokásos monitoring és a biztonsági monitoring között?
A szokásos monitoring azt ellenőrzi, hogy egy szerver elérhető-e, és van-e elég erőforrása. A biztonsági monitoring egy támadás jeleire figyel, például új futtatható fájlokra, szokatlan folyamatokra vagy idegen bejelentkezésekre. A kettő kiegészíti egymást.
Felismeri-e a monitoring egy PHP2Shell-en keresztüli támadást?
A PHP2Shell-hez nincsenek közzétett, megerősített Indicators of Compromise. A monitoring viszont láthatóvá teheti egy behatolás tipikus következményeit, például új PHP-fájlokat vagy PHP-folyamatból indított parancsokat. Sikergaranciát nem adunk.
Kell ehhez szoftvert telepítenem a szerverre?
Többnyire igen, például egy ügynököt a fájlintegritáshoz és a naplók továbbításához. Hogy milyen eszközöket használunk, azt egyeztetjük Önnel és adott esetben a tárhelyszolgáltatójával, hogy az üzemeltetés és az adatvédelem megfeleljen.
Működik a biztonsági monitoring megosztott tárhelynél is?
Csak korlátozottan. A folyamatokhoz és a rendszernaplókhoz való hozzáférés nélkül főként a fájlok és tartalmak kívülről való felügyelete marad. A teljes felügyelethez saját vagy menedzselt szerver kell.