Trumpai: IT kriminalistika serveriui atsako į klausimą, kas atakos metu iš tikrųjų įvyko: kada, kaip ir su kokiomis pasekmėmis. Kartu su specializuotais kriminalistikos partneriais saugome pėdsakus įrodymams tinkamai, vertiname žurnalus, failų sistemas ir duomenų bazes ir pateikiame atsekamą ataskaitą. Ji tarnauja kaip pagrindas pranešimams, draudimui ir prireikus baudžiamajam persekiojimui.
Kada jums reikia IT kriminalistikos savo serveriui
Ne kiekvienam incidentui reikia kriminalistinio tyrimo. Prasminga ji visų pirma tada, kai galėjo būti paveikti asmens duomenys, mokėjimo duomenys ar verslo paslaptys, kai numatomas pareiškimas ar teisminis ginčas arba kai draudikas tikisi patikimo įrodymo. Ir svarstant, ar reikia pranešti priežiūros institucijai, įrodyti faktai padeda labiau nei spėjimai.
Po PHP2Shell atsiranda ypatingas aspektas. Spragos CVE-2026-109618 ir CVE-2026-109619 leidžia vykdyti kodą be prisijungimo, o paskelbtų, patvirtintų kompromitavimo rodiklių (Indicators of Compromise) nėra. Ar serveris buvo paveiktas, todėl nepavyksta patikrinti kontroliniu sąrašu, o tik elgsenos analize: kokie procesai veikė, kokie failai atsirado, kokie ryšiai ėjo į išorę? Pirmų užuominų pateikia Ar jau esu kompromituotas?.
Kuo kriminalistika skiriasi nuo greito išvalymo
Išvalymas nori serverį vėl padaryti švarų. Kriminalistika nori suprasti ir įrodyti. Vienas klausimas skamba „Ar serveris vėl saugus?“, kitas „Kas tiksliai įvyko ir kurie duomenys buvo pasiekiami?“. Pranešimams, draudimui ir klientų informavimui paprastai lemia antrasis klausimas. Abu dera, jei seka teisinga: pirma išsaugoti, tada keisti. Kas pirma ištrina, pataiso ar paleidžia iš naujo, praranda trumpalaikius pėdsakus ir vėliau dažnai nebegali parodyti, ką užpuolikas matė.
Saugokite visus serverio žurnalus nuo 2026 m. spalio 20 d. ir paprašykite talpintojo nerotuoti ir neištrinti protokolų. Trūkstami žurnalai yra dažniausia atvirų klausimų ataskaitoje priežastis.
Kurie pėdsakai PHP žiniatinklio serveryje svarbūs
Tipiniame žiniatinklio serveryje pėdsakų yra daugiau, nei daugelis operatorių mano. Ar jie naudotini, priklauso nuo to, kiek laiko jie saugomi ir ar buvo išsaugoti prieš įsikišimą.
- Prieigos ir klaidų protokolai žiniatinklio serverio ir PHP-FPM, įskaitant sugedusius darbinius procesus (worker)
- Failų sistema: nauji ar pakeisti failai, jų laiko žymos ir savininkai, vykdomas kodas įkėlimų aplankuose
- Duomenų bazė: naujos naudotojų paskyros, pakeisti nustatymai, įterptas turinys
- Sistema: cron užduotys, naudotojai, SSH raktai, prisijungimų protokolai, veikiantys procesai ir tinklo ryšiai
- Prieš tai esančios sistemos: CDN, WAF, ugniasienės, apkrovos paskirstytuvo (load balancer) ir pašto serverio protokolai
Būtent prieš tai esančios sistemos dažnai pamirštamos. Jos yra už žiniatinklio serverio ribų, todėl užpuolikui jas sunkiau manipuliuoti. Kai kurie teikėjai jas saugo tik trumpai, todėl jas reikėtų eksportuoti anksti.
Kaip PHP SOS padeda konkrečiai?
- Išsiaiškinti užsakymą: Su jumis nustatome, į kuriuos klausimus turi būti atsakyta, pavyzdžiui, įsilaužimo kelias, laikotarpis, paveikti duomenys ar judėjimas tinkle. Iš to išplaukia, kurios sistemos tiriamos.
- Saugoti įrodymams tinkamai: Mes ir mūsų specializuoti partneriai kuriame duomenų nešiklių, žurnalų, duomenų bazių ir, kur įmanoma, darbinės atminties kopijas. Kiekviena kopija gauna kontrolinę sumą, kiekvienas perdavimas dokumentuojamas.
- Vertinti: Analizuojame prieigos ir klaidų protokolus, failų pakeitimus, naudotojų paskyras, cron užduotis, procesus ir išeinančius ryšius. Žurnalų metodiką aprašo Žiniatinklio serverio žurnalų vertinimas po atakos.
- Sudaryti laiko juostą: Iš radinių sudaroma incidento laiko juosta, kurioje kiekvienas teiginys remiasi konkrečiu įrodymu.
- Perduoti ataskaitą: Gaunate techninę ataskaitą ir vadovybei suprantamą santrauką.
Ką gausite ir ko mums reikia
Ataskaitoje pateikiami išsaugoti įrodymai su kontrolinėmis sumomis, perdavimo grandinės dokumentacija, laiko juosta, nustatytas ar tikėtinas įsilaužimo kelias, paveiktos sistemos ir duomenų rūšys bei rekomendacijos. Kiekvienas teiginys pažymėtas kaip įrodytas, tikėtinas ar nežinomas.
Iš jūsų mums reikia:
- prieigos prie paveiktų sistemų arba leidimo, kad jūsų talpintojas pateiktų mums kopijas
- sprendimų teisę turinčio asmens, nustatančio apimtį ir prioritetus
- informacijos apie sistemų aplinką, paslaugų teikėjus ir žinomus pastarųjų savaičių pakeitimus
- esamų protokolų, taip pat iš ugniasienių, CDN, WAF ar pašto serverių
- nurodymo, ar draudikas, policija ar teisininkas jau įtraukti
Jei norite teikti pareiškimą, nuorodų rasite puslapyje Pareiškimo teikimas: centriniai kibernetinių nusikaltimų kontaktiniai punktai. Ko draudikai paprastai tikisi žalos atveju, paaiškina Kibernetinis draudimas: kas svarbu žalos atveju.
Ko neapsiimame
Kriminalistika gali vertinti tik tai, kas išliko iš pėdsakų. Jei žurnalų trūksta, jie perrašyti ar užpuoliko pakeisti, lieka spragų, ir mes jas įvardijame. Neapsiimame, kad teismas mūsų rezultatus įvertins tam tikru būdu, ir neteikiame teisinio vertinimo. Nevardijame kaltininkų, o aprašome, ką rodo pėdsakai. Teiginius, pavyzdžiui, „tikrai nenutekėjo jokių duomenų“, darome tik jei įrodymai juos palaiko.
Jei ataka dar vyksta, pirmenybė teikiama sulaikymui. Tuomet pradedame nuo incidentų valdymo (Incident Response) ir lygiagrečiai išsaugome kuo daugiau pėdsakų.
Dažni klausimai
Ką reiškia teisme priimtinas įrodymų saugojimas?
Pėdsakai saugomi taip, kad vėliau būtų galima įrodyti, jog jie nepakitę. Tam priklauso kontrolinės sumos, dokumentuota perdavimo grandinė ir darbas su kopijomis, o ne originalu. Ar teismas įrodymą panaudos, vis dėlto sprendžia teismas.
Ar IT kriminalistika gali išsiaiškinti, ar nutekėjo klientų duomenys?
Dažnai galima apriboti, prie kokių duomenų užpuolikas turėjo prieigą ir ar yra požymių, kad duomenys nutekėjo. Patikimai paneigti ne visada įmanoma, ypač kai trūksta žurnalų. Todėl rezultatas skirstomas į įrodytą, tikėtiną ir nežinomą.
Kiek laiko reikia saugoti žurnalus?
Išaiškinimui kuo ilgiau, bent kol tyrimas bus baigtas. Dėl PHP2Shell specializuota spauda pataria saugoti serverio žurnalus nuo 2026 m. spalio 20 d. Teisinius saugojimo ir ištrynimo reikalavimus išsiaiškinkite su savo duomenų apsaugos pareigūnu.
Ar prieš kriminalistinį tyrimą galiu paleisti serverį iš naujo arba jį pataisyti?
Paleidimas iš naujo ištrina trumpalaikius pėdsakus darbinėje atmintyje, pataisa keičia failus. Jei galite, pirmiausia sukurkite kopiją arba trumpai pasitarkite su mumis. Jei pavojus ūmus, pirmenybė teikiama sulaikymui, ir tai dokumentuojama.