In breve: l'analisi forense IT dei server risponde alla domanda su che cosa sia davvero accaduto in un attacco: quando, come, con quali conseguenze. Insieme a partner specializzati in analisi forense conserviamo le tracce con valore probatorio, analizziamo log, file system e database e consegniamo un rapporto verificabile. Serve da base per notifiche, assicurazione e, se del caso, azione penale.
Quando Le serve l'analisi forense IT per il Suo server
Non ogni incidente richiede un'indagine forense. È sensata soprattutto quando possono essere coinvolti dati personali, dati di pagamento o segreti aziendali, quando una denuncia o una controversia legale sono prevedibili o quando un assicuratore si aspetta una prova solida. Anche per la questione se sia necessaria una notifica all'autorità di controllo, fatti documentati aiutano più delle supposizioni.
Dopo PHP2Shell si aggiunge un aspetto particolare. Le vulnerabilità CVE-2026-109618 e CVE-2026-109619 consentono l'esecuzione di codice senza autenticazione, e non esistono Indicators of Compromise pubblicati e confermati. Se un server fosse interessato non si può quindi spuntare con una checklist, ma solo con l'analisi del comportamento: quali processi giravano, quali file sono comparsi, quali connessioni sono uscite? I primi punti di riferimento si trovano alla pagina Sono già stato compromesso?.
Che cosa distingue l'analisi forense da una bonifica rapida
La bonifica vuole rendere di nuovo pulito il server. L'analisi forense vuole comprendere e dimostrare. Una domanda è «il server è di nuovo sicuro?», l'altra «che cosa è successo esattamente e quali dati erano raggiungibili?». Per le notifiche, l'assicurazione e l'informazione ai clienti di solito è decisiva la seconda. Le due cose sono compatibili se l'ordine è giusto: prima salvare, poi modificare. Chi prima cancella, applica patch o riavvia perde le tracce volatili e spesso non può più mostrare in seguito che cosa abbia visto l'aggressore.
Conservi tutti i log del server a partire dal 20/10/2026 e chieda al Suo hoster di non ruotare né cancellare i registri. I log mancanti sono la causa più frequente di domande rimaste aperte nel rapporto.
Quali tracce contano su un web server PHP
Su un tipico web server ci sono più tracce di quante molti gestori supponga. Se siano utilizzabili dipende da quanto a lungo vengono conservate e se sono state salvate prima dell'intervento.
- Registri di accesso e di errore del web server e di PHP-FPM, compresi i worker andati in crash
- File system: file nuovi o modificati, relativi timestamp e proprietari, codice eseguibile nelle cartelle di upload
- Database: nuovi account utente, impostazioni modificate, contenuti introdotti
- Sistema: cronjob, utenti, chiavi SSH, registri di accesso, processi in esecuzione e connessioni di rete
- Sistemi a monte: registri di CDN, WAF, firewall, load balancer e server di posta
Proprio i sistemi a monte vengono spesso dimenticati. Si trovano fuori dal web server e sono perciò più difficili da manipolare per un aggressore. Presso alcuni fornitori vengono conservati solo per poco tempo, per questo andrebbero esportati presto.
Come aiuta concretamente PHP SOS?
- Chiarire l'incarico: stabiliamo con Lei a quali domande si debba rispondere, ad esempio punto d'ingresso, periodo, dati coinvolti o spostamento laterale nella rete. Da ciò risulta quali sistemi vengano esaminati.
- Salvare con valore probatorio: noi e i nostri partner specializzati creiamo copie di supporti di memoria, log, database e, dove possibile, memoria di lavoro. Ogni salvataggio riceve una checksum, ogni consegna viene documentata.
- Analizzare: analizziamo registri di accesso e di errore, modifiche ai file, account utente, cronjob, processi e connessioni in uscita. La metodologia per i log è descritta alla pagina Analizzare i log del web server dopo un attacco.
- Creare la linea temporale: dai reperti nasce una linea temporale dell'incidente in cui ogni affermazione rimanda a una prova concreta.
- Consegnare il rapporto: riceve un rapporto tecnico e una sintesi comprensibile per la direzione.
Che cosa riceve e che cosa ci serve
Il rapporto contiene gli elementi di prova salvati con le checksum, la documentazione della catena di custodia, la linea temporale, il punto d'ingresso accertato o probabile, i sistemi e i tipi di dati coinvolti e le raccomandazioni. Ogni affermazione è contrassegnata come provata, probabile o sconosciuta.
Da Lei ci servono:
- accesso ai sistemi coinvolti oppure l'autorizzazione a che il Suo hoster ci metta a disposizione delle copie
- una persona con potere decisionale, che stabilisca portata e priorità
- informazioni su panorama dei sistemi, fornitori e modifiche note delle ultime settimane
- registri esistenti, anche di firewall, CDN, WAF o server di posta
- l'indicazione se assicuratore, polizia o avvocato siano già stati coinvolti
Se desidera presentare una denuncia, trova indicazioni alla pagina Presentare denuncia: punti di contatto centrali Cybercrime. Che cosa gli assicuratori si aspettano di solito in caso di sinistro è spiegato alla pagina Assicurazione cyber: che cosa conta in caso di sinistro.
Che cosa non promettiamo
L'analisi forense può valutare solo le tracce presenti. Se i log mancano, sono stati sovrascritti o manipolati dall'aggressore, restano delle lacune, e le indichiamo. Non promettiamo che un tribunale valuti i nostri risultati in un certo modo e non forniamo alcuna valutazione giuridica. Non indichiamo colpevoli, ma descriviamo ciò che le tracce mostrano. Anche affermazioni come «non sono sicuramente fuoriusciti dati» le facciamo solo se le prove le sostengono.
Se l'attacco è ancora in corso, il contenimento ha la precedenza. In tal caso iniziamo con l'incident response e salviamo in parallelo quante più tracce possibile.
Domande frequenti
Che cosa significa conservazione delle prove valida in tribunale?
Le tracce vengono salvate in modo da poter dimostrare in seguito che sono rimaste invariate. Ne fanno parte checksum, una catena di custodia documentata e il lavoro su copie anziché sull'originale. Se un tribunale utilizzi un elemento di prova, però, lo decide il tribunale.
L'analisi forense IT può chiarire se sono fuoriusciti dati dei clienti?
Spesso si può circoscrivere a quali dati un aggressore abbia avuto accesso e se vi siano indizi di fuoriuscita. Un'esclusione certa non è sempre possibile, soprattutto se mancano i log. Il risultato viene quindi distinto in provato, probabile e sconosciuto.
Per quanto tempo vanno conservati i log?
Per il chiarimento il più a lungo possibile, almeno fino alla conclusione dell'indagine. Per PHP2Shell la stampa specializzata consiglia di conservare i log del server a partire dal 20/10/2026. Gli obblighi giuridici di conservazione e cancellazione li chiarisca con il Suo responsabile della protezione dei dati.
Posso riavviare o aggiornare il server prima dell'analisi forense?
Un riavvio cancella le tracce volatili nella memoria di lavoro, una patch modifica dei file. Se può, prima faccia un salvataggio o ci contatti brevemente. Se il pericolo è acuto, il contenimento ha la precedenza e ciò viene documentato.