# Nodrošiniet pierādījumus, pirms pārinstalējat serveri

> Pierādījumu nodrošināšana pirms pārinstalēšanas: kuras pēdas serverī ir gaistošas, kādā secībā tās saglabāt un kā nodrošinājums paliek ticams.

Avots: https://phpsos.de/lv/blog/beweise-sichern-vor-neuinstallation/  
Aktuāls uz: 25.10.2026  
Pakalpojuma sniedzējs: PHP SOS, PHP ārkārtas palīdzība un serveru drošība. Tūlītēja palīdzība pa WhatsApp: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20nepiecie%C5%A1ama%20pal%C4%ABdz%C4%ABba%20ar%20m%C5%ABsu%20PHP%20serveri.%20Uz%C5%86%C4%93mums%3A%20%E2%80%A6%20Vietne%3A%20%E2%80%A6

**Īsi sakot:** Pirms kompromitēta servera pārinstalēšanas nodrošiniet pierādījumus to gaistamības secībā: vispirms procesus, savienojumus un pieteikušos lietotājus, tad žurnālus un konfigurāciju, tad pilnīgu sistēmas attēlu un priekšā novietoto pakalpojumu datus. Katram nodrošinājumam pievieno kontrolsummu, un tas tiek glabāts ārpus servera. Šim nolūkam serveri atvieno no tīkla, bet neizslēdz.

## Instinkts nekavējoties pārinstalēt

Kas atklāj ielaušanos, grib to pārtraukt pēc iespējas ātrāk. Svaiga sistēma, tīri instalēta, ar jaunām parolēm: tas rada kontroles sajūtu. Tehniski pārbūve bieži ir arī pareizais ceļš, īpaši, ja uzbrucējam bija root tiesības.

Problēma ir laika brīdis. Ar veco sistēmu pazūd visas atbildes uz jautājumiem, kas parādīsies nākamajās dienās. Pa kuru ievainojamību uzbrucējs iekļuva? Kopš kura laika viņš bija sistēmā? Vai viņam bija piekļuve klientu datiem? Vai blakus esošais datubāzes serveris arī ir skarts? Bez pēdām paliek tikai pieņēmumi, un tie nepalīdz ne datu aizsardzībā, ne apdrošināšanā.

Pēc PHP2Shell pievienojas īpašs punkts: nav publicētu, apstiprinātu Indicators of Compromise. Vai un kā serveris bija skarts, var nolasīt tikai no uzvedības, tātad tieši no tām pēdām, ko pārsteidzīga pārbūve izdzēš. Speciālā prese iesaka glabāt servera žurnālus no 2026. gada 20. oktobra.

## Pierādījumu nodrošināšana serverī: secībai ir nozīme

Pēdas ir dažādi gaistošas. Kas atrodas darba atmiņā, ar nākamo pārstartēšanu ir prom. Žurnāli pārdzīvo ilgāk, bet tiek rotēti. Priekšā novietoto pakalpojumu dati izzūd pēc to pašu termiņiem. No tā izriet secība:

| Pēda | Gaistamība | Kā nodrošināt |
|---|---|---|
| Procesi, tīkla savienojumi, pieteikušies lietotāji | izzūd pārstartējot | sistēmas komandu izvadus ierakstīt failos |
| Darba atmiņa | izzūd pārstartējot | tikai ar speciālu rīku, forenzikas speciālistu uzdevums |
| Pagaidu faili `/tmp` vai `/dev/shm` | bieži izdzēsti pārstartējot | kopēt, neizpildot |
| Tīmekļa servera, PHP, sistēmas žurnāli | tiek rotēti | kopēt pilnībā, apturēt rotāciju |
| Failu sistēma un datubāze | stabili līdz jaunai instalēšanai | momentuzņēmums vai datu nesēja attēls, datubāzes eksports |
| CDN, WAF, ugunsmūris, hostinga sniedzējs | glabāšana pēc pakalpojuma sniedzēja termiņiem | pieprasīt eksportu, saņemt rakstisku apstiprinājumu |

Darba atmiņu nodrošiniet tikai tad, ja gatavībā ir kāds ar piemērotu rīku un pieredzi. Sistēmām ar jutīgiem datiem vai paredzamu tiesvedību to vajadzētu uzņemties [IT forenzikai](https://phpsos.de/lv/leistungen/it-forensik/).

## Gaistošo datu fiksēšana dažās minūtēs

Turpmākās komandas sistēmā neko nemaina. Tās ieraksta pašreizējo stāvokli failos, kurus pēc tam saglabā ārpus servera. Mērķa direktoriju pēc iespējas izveidojiet pievienotā, atsevišķā datu nesējā:

```bash
ZIEL=/mnt/sicherung/fall-$(date -u +%Y%m%dT%H%MZ)
mkdir -p "$ZIEL"
date -u > "$ZIEL/zeitpunkt-utc.txt"
ps auxwwf > "$ZIEL/prozesse.txt"
ss -tunap > "$ZIEL/verbindungen.txt"
who -a > "$ZIEL/angemeldet.txt"
last -F > "$ZIEL/anmeldungen.txt"
ip addr > "$ZIEL/netz.txt"; ip route >> "$ZIEL/netz.txt"
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done > "$ZIEL/cronjobs.txt"
sha256sum "$ZIEL"/* > "$ZIEL.sha256"
```

Kā pēc tam žurnālus pilnībā nodrošināt un izvērtēt, apraksta ceļvedis [Tīmekļa servera žurnālu izvērtēšana pēc uzbrukuma](https://phpsos.de/lv/ratgeber/logfiles-auswerten/). Virtuālajiem serveriem momentuzņēmums, izmantojot pakalpojuma sniedzēja pārvaldību, ir vienkāršākais ceļš uz pilnīgu attēlu. Tas aptver sistēmu, jums nevajag kompromitētajā serverī startēt papildu rīkus.

## Lai nodrošinājumam vēlāk būtu vērtība

Nodrošinājums ir tik labs, cik labs ir tā pierādījums. Trīs noteikumi to padara ticamu:

1. **Kontrolsummas:** katram nodrošinātajam failam pievieno SHA-256 kontrolsummu. Ar to vēlāk var parādīt, ka kopija ir nemainīta.
2. **Protokols:** kurš, kad, ko nodrošināja, ar kādu komandu, kurp? Katra nodošana trešajām personām tiek fiksēta. Speciālisti to sauc par pierādījumu ķēdi.
3. **Atsevišķa glabāšana:** kopijām jāatrodas sistēmā, kurai uzbrucējam nebija piekļuves, un tās tiek turpmāk izmantotas tikai lasāmā režīmā.

Pēc tam strādājiet tikai ar kopijām. Katra analīze oriģinālam maina laika zīmogus un var pārrakstīt pēdas. Aizdomīgus failus nekad neizpildiet un neatveriet pārlūkā.

> **Svarīgi:**
> Pieprasiet CDN, WAF un hostinga sniedzēja žurnālus savlaicīgi. Šie dati atrodas ārpus jūsu servera un uzbrucējam tos grūti manipulēt, taču bieži tiek glabāti tikai īsu laiku.

## Kas iznīcina pierādījumu bāzi

Daudzas pēdas netiek zaudētas uzbrucēja dēļ, bet labi domātas pirmās palīdzības dēļ. Šie soļi pirms nodrošināšanas jāatstāj nedarītus:

- **Pārstartēšana vai izslēgšana:** procesi, savienojumi un darba atmiņa pēc tam ir prom.
- **Antivīrusa programma ar automātisku dzēšanu:** tā noņem failus, pirms kāds tos ir nodrošinājis, un maina laika zīmogus.
- **Žurnālu vai pagaidu mapju sakopšana:** pat ja trūkst vietas, vispirms kopēt, tad dzēst.
- **Jaunu rīku instalēšana no interneta serverī:** katra instalēšana raksta failu sistēmā un var pārklāt pēdas.
- **Pieteikšanās ar privileģētiem piekļuves datiem bez nepieciešamības:** ja serverī vēl darbojas ļaunprātīgs kods, ievadītās paroles var nolasīt.

Tieši apdrošinātāji vēlāk jautā, kas un kad tika nodrošināts. Norādes par tipiskiem pienākumiem atradīsit sadaļā [Kiberapdrošināšana: kas skaitās zaudējumu gadījumā](https://phpsos.de/lv/compliance/cyberversicherung/).

## Izvērtēšana: cik daudz laika ir nodrošināšanai?

Ne katrs incidents pieļauj ilgu nodrošināšanu. Ja tieši notiek datu aizplūšana vai tiek uzbrukts apmeklētājiem, ierobežošanai ir prioritāte. Atvienošana no tīkla, sistēmai turpinot darboties, savieno abus: uzbrucējs zaudē piekļuvi, pēdas saglabājas. Lielākajai daļai tīmekļa serveru pēc tam gaistošajiem datiem un momentuzņēmumam pietiek ar pārskatāmu laika posmu.

Pieņemiet lēmumu apzināti un to fiksējiet: kurš nolēma, kad pārinstalēt, un kas pirms tam tika nodrošināts? Šī piezīme vēlāk kļūst par daļu no [incidenta laika līnijas](https://phpsos.de/lv/blog/zeitleiste-eines-vorfalls/). Vai pārbūve vai attīrīšana ir pareizais ceļš, apskata raksts [Pārinstalēt serveri vai attīrīt?](https://phpsos.de/lv/blog/neu-aufsetzen-oder-bereinigen/).

## Kā PHP SOS palīdz konkrēti?

- Mēs nodrošinām gaistošos datus, žurnālus un sistēmas attēlus pareizā secībā, ar kontrolsummām un protokolu.
- Mēs pieprasām priekšā novietoto pakalpojumu datus, pirms beidzas to glabāšanas termiņi.
- Vajadzības gadījumā kopā ar specializētiem partneriem uzņemamies forenzisko nodrošināšanu un izvērtēšanu.
- Tikai pēc tam mēs pārbūvējam serveri, aizveram ieejas vārtus un dokumentējam incidentu, līdz tas ir slēgts.


## Biežāk uzdotie jautājumi

**Kāpēc pirms pārinstalēšanas man jānodrošina pierādījumi?**  
Tāpēc, ka tikai pēdas rāda, kā uzbrucējs iekļuva, cik ilgi viņš bija sistēmā un kādiem datiem viņš varēja piekļūt. Šīs atbildes jums vajadzīgas datu aizsardzībai, apdrošināšanai un jautājumam, vai skartas arī citas sistēmas. Pēc pārbūves tās ir zaudētas.

**Kas nodrošināšanā ir visneatliekamākais?**  
Gaistošie dati, piemēram, darbojošies procesi, tīkla savienojumi un pieteikušies lietotāji, izzūd izslēdzot. Tos fiksē vispirms. Pēc tam seko žurnāli, sistēmas attēls un priekšā novietoto pakalpojumu dati.

**Vai parastas rezerves kopijas pietiek kā pierādījumu nodrošinājumam?**  
Parasti nē. Daudzas rezerves kopijas nesatur žurnālus, sistēmas failus un metadatus, piemēram, laika zīmogus un īpašniekus. Pierādījumu nodrošināšanai vajadzīga pilnīga, nemainīta kopija ar kontrolsummu, ideālā gadījumā momentuzņēmums vai datu nesēja attēls.

**Vai pirms nodrošināšanas drīkstu serveri atvienot no tīkla?**  
Jā, ja tas turpina darboties. Atvienošana no tīkla aptur datu aizplūšanu un tālvadību, neiznīcinot gaistošās pēdas. Savukārt pārstartēšana vai izslēgšana izdzēš darba atmiņu un darbojošos procesus.

## Avoti

- [BSI: norādes par IT drošības incidentiem](https://www.bsi.bund.de/)
- [VDAR 33. pants: ziņošana uzraudzības iestādei](https://dsgvo-gesetz.de/art-33-dsgvo/)
- [Policija: centrālie kontaktpunkti kibernoziegumu jomā](https://www.polizei.de/)