# Security monitoring per web server

> Monitoraggio di sicurezza dei server: sorvegliamo file, processi, accessi e connessioni dei Suoi web server e segnaliamo le anomalie con un chiaro inquadramento.

Fonte: https://phpsos.de/it/leistungen/security-monitoring/  
Stato: 25/10/2026  
Fornitore: PHP SOS, Assistenza di emergenza PHP e sicurezza dei server. Assistenza immediata su WhatsApp: https://wa.me/491736494914?text=Buongiorno%20PHP%20SOS%2C%20abbiamo%20bisogno%20di%20aiuto%20con%20il%20nostro%20server%20PHP.%20Azienda%3A%20%E2%80%A6%20Sito%20web%3A%20%E2%80%A6

**In breve:** il monitoraggio di sicurezza dei server significa osservare in modo continuativo i web server alla ricerca di segni di un attacco, invece di reagire solo quando i clienti si lamentano. Sorvegliamo file, processi, accessi, connessioni e log dei Suoi server PHP e inquadriamo ogni anomalia in modo comprensibile. Così riconosce i problemi prima e, nel caso peggiore, dispone delle tracce necessarie.

## Perché il monitoraggio di sicurezza dei server conta proprio adesso

PHP2Shell ha mostrato con quale rapidità una nuova vulnerabilità possa diventare una minaccia per milioni di server. Unit 42 ha contato più di 22,6 milioni di istanze esposte e potenzialmente vulnerabili. Allo stesso tempo non esistono Indicators of Compromise pubblicati e confermati. Chi vuole sapere se sul proprio server accada qualcosa deve osservare il comportamento.

Molte intrusioni vengono scoperte tardi, spesso da terzi: un avviso di Google, un blocco dell'hoster per invio di spam, la segnalazione di un cliente. Fino ad allora i log sono spesso già stati ruotati e le tracce perse. Il security monitoring accorcia questo tempo e fa in modo che i registri ci siano ancora quando servono. Per la direzione significa soprattutto una cosa: le decisioni nel caso peggiore si basano su fatti anziché su supposizioni.

## Che cosa sorvegliamo

| Ambito | A che cosa prestiamo attenzione |
|---|---|
| File | file PHP nuovi o modificati, codice eseguibile nelle cartelle di upload, modifiche a `.htaccess` e alla configurazione |
| Processi | comandi avviati da worker PHP, processi permanenti sconosciuti, worker che vanno in crash |
| Accessi | login SSH e al pannello, nuovi account admin nel CMS, tentativi falliti ripetuti |
| Rete | connessioni in uscita insolite, invio improvviso di posta, nuove porte aperte |
| Log | schemi di richiesta anomali, accumuli di errori, lacune nella registrazione |
| Stato | versioni di PHP, CMS e pacchetti a confronto con gli aggiornamenti di sicurezza noti |

Come verificare manualmente tali segnali è descritto alla pagina [Analizzare i log del web server dopo un attacco](https://phpsos.de/it/ratgeber/logfiles-auswerten/). Per gli accessi admin raccomandiamo inoltre le misure di [Proteggere i login admin dagli attacchi brute force](https://phpsos.de/it/ratgeber/brute-force-login-schutz/).

## Come aiuta concretamente PHP SOS?

1. **Rilevare la situazione di partenza:** prendiamo in esame server, applicazioni, registri esistenti e sorveglianza finora attiva e stabiliamo che cosa sia normale. Senza questo stato di partenza le anomalie non si riconoscono con certezza.
2. **Configurare la sorveglianza:** configuriamo la verifica dell'integrità dei file, l'inoltro dei log a una sede separata e regole per le conseguenze tipiche di un attacco. I log vengono collocati in modo che un aggressore sul web server non possa semplicemente cancellarli.
3. **Messa a punto:** nelle prime settimane adattiamo le regole, affinché non sia sommerso da falsi allarmi, ad esempio dovuti ad aggiornamenti o deployment regolari.
4. **Segnalare e inquadrare:** segnaliamo le anomalie con un inquadramento: che cosa è stato osservato, quanto sia probabile un attacco e che cosa fare dopo.
5. **Riferire:** a intervalli regolari riceve una sintesi con eventi, aggiornamenti aperti e raccomandazioni.

> **Consiglio:**
> Conservi i log su un sistema separato. Per PHP2Shell la stampa specializzata consiglia di salvare i log del server a partire dal 20/10/2026. Chi li memorizza in modo centralizzato li ha ancora anche quando il web server deve essere reinstallato.

## Come si presenta una nostra segnalazione

Un avviso serve solo se lo si capisce. Per questo ogni segnalazione contiene gli stessi elementi:

- **Che cosa è stato osservato?** Ad esempio: nella cartella di upload di un sito web è comparso un nuovo file PHP e poco dopo un worker PHP ha aperto una connessione in uscita verso un indirizzo sconosciuto.
- **Come lo inquadriamo?** Sono provati il nuovo file e la connessione. È probabile un nesso. È sconosciuto se siano stati trasferiti dati.
- **Che cosa abbiamo già fatto?** Ad esempio salvato il file e, se concordato, messo il sito web in modalità manutenzione.
- **Che cosa deve decidere Lei?** Ad esempio se il sito web resti offline finché la causa non è chiarita.

Gli eventi innocui, come un normale aggiornamento di un plugin, li riconosciamo grazie allo stato di partenza e li riassumiamo nel rapporto, invece di disturbarLa uno per uno. Con il tempo la sorveglianza impara a conoscere meglio i Suoi sistemi.

## Che cosa riceve e che cosa ci serve

Riceve una sorveglianza configurata con regole documentate, segnalazioni verificabili con raccomandazione di azione, rapporti periodici e un archivio centrale dei registri. In caso di incidente confermato, i dati confluiscono direttamente nell'[incident response](https://phpsos.de/it/leistungen/incident-response/).

Da Lei ci servono:

- **accesso di amministratore** ai server, per configurare agenti e inoltro dei log
- **una panoramica** di applicazioni, deployment pianificati e finestre di manutenzione
- **un referente** che riceva le segnalazioni e possa prendere decisioni
- **un coordinamento con il Suo responsabile della protezione dei dati**, perché i log possono contenere dati personali come gli indirizzi IP

## Che cosa non promettiamo

Il monitoraggio non riconosce ogni attacco. Aggressori abili cercano di passare inosservati, e alcune vulnerabilità lasciano appena tracce. Il monitoraggio aumenta la probabilità di accorgersi presto di un'intrusione e fornisce dati affidabili. Non sostituisce né gli aggiornamenti né l'hardening.

Neppure i tempi di reazione li fissiamo in modo generico; dipendono dall'assistenza concordata. Il monitoraggio dà il meglio di sé come parte di un [contratto di manutenzione della sicurezza](https://phpsos.de/it/leistungen/security-wartungsvertrag/), in cui aggiornamenti, backup e sorveglianza sono disciplinati insieme.


## Domande frequenti

**Qual è la differenza tra monitoraggio normale e security monitoring?**  
Il monitoraggio normale verifica se un server è raggiungibile e ha risorse sufficienti. Il security monitoring cerca segni di un attacco, come nuovi file eseguibili, processi insoliti o accessi estranei. Le due cose si completano.

**Il monitoraggio riconosce un attacco tramite PHP2Shell?**  
Per PHP2Shell non esistono Indicators of Compromise pubblicati e confermati. Il monitoraggio può però rendere visibili conseguenze tipiche di un'intrusione, come nuovi file PHP o comandi avviati da un processo PHP. Non esiste una garanzia di successo.

**Devo installare del software sul server?**  
Di solito sì, ad esempio un agente per l'integrità dei file e l'inoltro dei log. Quali strumenti usiamo lo concordiamo con Lei ed eventualmente con il Suo hoster, in modo che operatività e protezione dei dati siano adeguate.

**Il security monitoring funziona anche con l'hosting condiviso?**  
Solo in modo limitato. Senza accesso a processi e log di sistema resta soprattutto la sorveglianza di file e contenuti dall'esterno. Per una sorveglianza completa serve un server proprio o gestito.

## Fonti

- [BSI IT-Grundschutz](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)
- [BSI: Ufficio federale tedesco per la sicurezza informatica](https://www.bsi.bund.de/)