# Saugumo stebėsena žiniatinklio serveriams

> Serverio stebėsena saugumui: stebime žiniatinklio serverių failus, procesus, prisijungimus ir ryšius ir pranešame apie neįprastumus su aiškiu įvertinimu.

Šaltinis: https://phpsos.de/lt/leistungen/security-monitoring/  
Būsena: 2026-10-25  
Teikėjas: PHP SOS, PHP avarinė pagalba ir serverio sauga. Skubi pagalba per „WhatsApp“: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20reikia%20pagalbos%20su%20m%C5%ABs%C5%B3%20PHP%20serveriu.%20%C4%AEmon%C4%97%3A%20%E2%80%A6%20Svetain%C4%97%3A%20%E2%80%A6

**Trumpai:** Serverio stebėsena saugumui reiškia nuolat stebėti žiniatinklio serverius dėl atakos požymių, užuot reaguojus tik tada, kai skundžiasi klientai. Stebime jūsų PHP serverių failus, procesus, prisijungimus, ryšius ir žurnalus ir kiekvieną neįprastumą suprantamai įvertiname. Taip problemas pastebite anksčiau, o kritiniu atveju turite reikiamus pėdsakus.

## Kodėl serverio stebėsena saugumui svarbi būtent dabar

PHP2Shell parodė, kaip greitai nauja spraga gali tapti grėsme milijonams serverių. Unit 42 suskaičiavo daugiau nei 22,6 milijono viešai pasiekiamų, potencialiai pažeidžiamų egzempliorių. Kartu nėra paskelbtų, patvirtintų kompromitavimo rodiklių (Indicators of Compromise). Kas nori žinoti, ar savo serveryje kas nors vyksta, privalo stebėti elgseną.

Daug įsilaužimų aptinkama vėlai, dažnai trečiųjų šalių: Google įspėjimas, talpintojo blokavimas dėl šlamšto siuntimo, kliento pastaba. Iki to laiko žurnalai dažnai būna suroti, o pėdsakai prarasti. Saugumo stebėsena šį laiką sutrumpina ir užtikrina, kad protokolai dar išliks, kai jų reikės. Vadovybei tai pirmiausia reiškia vieną dalyką: sprendimai kritiniu atveju grindžiami faktais, o ne spėjimais.

## Ką stebime

| Sritis | Į ką atkreipiame dėmesį |
|---|---|
| Failai | nauji ar pakeisti PHP failai, vykdomas kodas įkėlimų aplankuose, `.htaccess` ir konfigūracijos pakeitimai |
| Procesai | komandos, paleidžiamos iš PHP darbinių procesų (worker), nežinomi nuolat veikiantys procesai, strigę darbiniai procesai |
| Prisijungimai | SSH ir skydelio prisijungimai, naujos administratoriaus paskyros CMS, sankaupos nesėkmingų bandymų |
| Tinklas | neįprasti išeinantys ryšiai, staigus laiškų siuntimas, nauji atviri prievadai |
| Žurnalai | krentantys į akis užklausų šablonai, klaidų sankaupos, protokolavimo spragos |
| Būklė | PHP, CMS ir paketų versijos, palyginamos su žinomais saugumo atnaujinimais |

Kaip tokius signalus galima patikrinti rankiniu būdu, aprašo [Žiniatinklio serverio žurnalų vertinimas po atakos](https://phpsos.de/lt/ratgeber/logfiles-auswerten/). Administratoriaus prieigoms papildomai rekomenduojame priemones iš [Administratoriaus prisijungimų apsauga nuo brutalios jėgos atakų](https://phpsos.de/lt/ratgeber/brute-force-login-schutz/).

## Kaip PHP SOS padeda konkrečiai?

1. **Nustatyti pradinę padėtį:** Užfiksuojame serverius, programas, esamus protokolus ir ankstesnę stebėseną bei nustatome, kas yra normalu. Be šios pradinės būsenos neįprastumų patikimai atpažinti neįmanoma.
2. **Įrengti stebėseną:** Įrengiame failų vientisumo tikrinimą, žurnalų persiuntimą į atskirą saugojimo vietą ir taisykles tipinėms atakos pasekmėms. Žurnalai laikomi taip, kad užpuolikas žiniatinklio serveryje jų negalėtų tiesiog ištrinti.
3. **Tikslus derinimas:** Per pirmąsias savaites taisykles pritaikome, kad jūsų neužtvindytų klaidingi pavojaus signalai, pavyzdžiui, dėl įprastų atnaujinimų ar diegimų.
4. **Pranešti ir įvertinti:** Apie neįprastumus pranešame su įvertinimu: kas buvo pastebėta, kokia atakos tikimybė ir ką daryti toliau.
5. **Teikti ataskaitas:** Reguliariais intervalais gaunate santrauką su įvykiais, neįdiegtais atnaujinimais ir rekomendacijomis.

> **Patarimas:**
> Žurnalus laikykite atskiroje sistemoje. Dėl PHP2Shell specializuota spauda pataria saugoti serverio žurnalus nuo 2026 m. spalio 20 d. Kas juos saugo centralizuotai, tas juos turės ir tada, kai žiniatinklio serverį teks įrengti iš naujo.

## Kaip atrodo mūsų pranešimas

Įspėjimas naudingas tik tada, kai jį suprantame. Todėl kiekviename pranešime yra tie patys elementai:

- **Kas buvo pastebėta?** Pavyzdžiui: svetainės įkėlimų aplanke atsirado naujas PHP failas, netrukus po to PHP darbinis procesas užmezgė išeinantį ryšį su nežinomu adresu.
- **Kaip tai vertiname?** Įrodytas naujas failas ir ryšys. Tikėtinas ryšys tarp jų. Nežinoma, ar buvo perduota duomenų.
- **Ką jau padarėme?** Pavyzdžiui, išsaugojome failą ir, jei sutarta, perjungėme svetainę į priežiūros režimą.
- **Ką turite nuspręsti jūs?** Pavyzdžiui, ar svetainė lieka be tinklo, kol bus išaiškinta priežastis.

Nekenksmingus įvykius, pavyzdžiui, įprastą įskiepio atnaujinimą, atpažįstame pagal pradinę padėtį ir sujungiame ataskaitoje, užuot jus apkrovę po vieną. Laikui bėgant stebėsena geriau pažįsta jūsų sistemas.

## Ką gausite ir ko mums reikia

Gaunate įrengtą stebėseną su dokumentuotomis taisyklėmis, suprantamus pranešimus su veiksmų rekomendacija, reguliarias ataskaitas ir centralizuotą protokolų saugyklą. Patvirtinto incidento atveju duomenys tiesiogiai perduodami [incidentų valdymui (Incident Response)](https://phpsos.de/lt/leistungen/incident-response/).

Iš jūsų mums reikia:

- **administratoriaus prieigos** prie serverių agentams ir žurnalų persiuntimui įrengti
- **apžvalgos** apie programas, planuojamus diegimus ir priežiūros langus
- **kontaktinio asmens**, priimančio pranešimus ir galinčio spręsti
- **suderinimo su jūsų duomenų apsaugos pareigūnu**, nes žurnaluose gali būti asmens duomenų, pavyzdžiui, IP adresų

## Ko neapsiimame

Stebėsena neaptinka kiekvienos atakos. Sumanūs užpuolikai stengiasi likti nepastebėti, o kai kurios spragos palieka vos kokių pėdsakų. Stebėsena padidina tikimybę anksti pastebėti įsilaužimą ir užtikrina patikimus duomenis. Ji nepakeičia nei atnaujinimų, nei sustiprinimo.

Reagavimo laikų taip pat neapibrėžiame bendrai; jie priklauso nuo sutartos priežiūros. Stebėsena geriausiai atskleidžia naudą kaip [saugumo priežiūros sutarties](https://phpsos.de/lt/leistungen/security-wartungsvertrag/) dalis, kurioje kartu sureguliuoti atnaujinimai, atsarginės kopijos ir stebėsena.


## Dažni klausimai

**Kuo skiriasi įprasta stebėsena ir saugumo stebėsena?**  
Įprasta stebėsena tikrina, ar serveris pasiekiamas ir ar turi pakankamai išteklių. Saugumo stebėsena atkreipia dėmesį į atakos požymius, pavyzdžiui, naujus vykdomus failus, neįprastus procesus ar svetimus prisijungimus. Abu papildo vienas kitą.

**Ar stebėsena aptinka ataką per PHP2Shell?**  
PHP2Shell paskelbtų, patvirtintų kompromitavimo rodiklių (Indicators of Compromise) nėra. Tačiau stebėsena gali padaryti matomas tipines įsilaužimo pasekmes, pavyzdžiui, naujus PHP failus ar komandas, paleidžiamas iš PHP proceso. Sėkmės garantijos nėra.

**Ar tam reikia serveryje diegti programinę įrangą?**  
Dažniausiai taip, pavyzdžiui, failų vientisumo agentą ir žurnalų persiuntimą. Kokias priemones naudojame, suderiname su jumis ir prireikus su jūsų talpintoju, kad tiktų eksploatacija ir duomenų apsauga.

**Ar saugumo stebėsena veikia ir bendrame talpinime (shared hosting)?**  
Tik ribotai. Neturint prieigos prie procesų ir sistemos protokolų lieka daugiausia failų ir turinio stebėsena iš išorės. Visiškai stebėsenai reikia savo ar valdomo serverio.

## Šaltiniai

- [BSI IT-Grundschutz (Vokietijos IT pagrindinės apsaugos katalogas)](https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/it-grundschutz_node.html)
- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)
- [BSI (Vokietijos federalinė informacijos saugumo tarnyba)](https://www.bsi.bund.de/)