Īsi sakot: IT incidenta laika līnija hronoloģiski sakārto visus novērojumus, lēmumus un pasākumus vienotā laika joslā, ideālā gadījumā UTC. Katra rindiņa min avotu, novērojumu, pierādījumu un vērtējumu kā pierādīts, ticams vai nezināms. Tā rodas izsekojama aina par to, kad uzbrucējs bija sistēmā, ko viņš varēja sasniegt un kad jūs par to uzzinājāt.
Kāpēc beigās visi jautā par laiku
Pēc incidenta jautājumi nāk no visām pusēm. Datu aizsardzības speciālists grib zināt, kopš kura laika personas dati bija sasniedzami. Apdrošinātājs jautā, kad zaudējums tika atklāts un pieteikts. Vadība vēlas zināt, vai ievainojamība bija atvērta jau pirms pēdējā atjauninājuma. Visiem šiem jautājumiem ir kopīgs: tie griežas ap laika brīžiem.
Bez laika līnijas katrs uz šiem jautājumiem atbild no atmiņas, un atbildes viena otrai pretrunā. Ar sakārtotu laika līniju ir kopīgs pamats, uz kuru atsaucas visi iesaistītie. Tā vienlaikus ir noslēguma pārskata karkass.
PHP2Shell gadījumā laika līnija ir īpaši pārliecinoša, jo publiskie pamatdati ir labi dokumentēti. Tos var novietot kā enkurpunktus blakus pašu novērojumiem. Publisko notikumu pilnu secību apraksta ceļvedis PHP2Shell: hronoloģija.
Uzbūve: kādas ailes vajadzīgas laika līnijai
Pietiek ar tabulu, vai nu izklājlapā, vai kopīgā dokumentā. Svarīgas ir nemainīgas ailes, kas tiek aizpildītas katrā rindā. Turpmākais paraugs rāda publiskos PHP2Shell pamatdatus kā enkurpunktus un zem tiem tipiskus pašu ierakstus ar vietturiem:
| Laiks (UTC) | Avots | Novērojums | Pierādījums | Vērtējums |
|---|---|---|---|---|
| 17.10.2026. | plašsaziņas līdzekļu ziņojumi | pirmais novērotais uzbrukuma mēģinājums uz PHP2Shell | preses ziņojums | pierādīts kā plašsaziņas līdzekļu ziņojums |
| 20.10.2026. | php.net | drošības atjauninājumu pirmspaziņojums | ziņojums php.net | pierādīts |
| 21.10.2026., 14:00 | php.net | versiju 8.5.12, 8.4.27, 8.3.36, 8.2.35 publicēšana | ziņojums php.net | pierādīts |
| pašu laiks | Access žurnāls | 500 kļūdu uzkrāšanās parastās lapās | žurnāla izraksts, rindas numurs | ticami būtisks |
| pašu laiks | failu sistēma | jauns PHP fails augšupielāžu mapē | kopija ar kontrolsummu | pierādīts, laiks nenoteikts |
| pašu laiks | iekšējs | incidents pamanīts, vadība informēta | e-pasts, sarunas piezīme | pierādīts |
| pašu laiks | iekšējs | atjauninājums ieviests, visi worker procesi pārstartēti | pakotņu žurnāls, procesu saraksts | pierādīts |
Aile Vērtējums ir svarīgākā daļa. Tā nošķir to, kas pierādīts, kas šķiet ticams un kas paliek atklāts. Vēlāk lasītāji uzreiz redz, kur laika līnija ir izturīga un kur ir robi.
IT incidenta laika līnija: avotu apvienošana
Ieraksti nāk no daudziem avotiem, katram savi formāti un laika joslas. Rīkojieties šādā secībā:
- Noteikt laika joslu: visu veidot UTC. Pāreja uz ziemas laiku 2026. gada 25. oktobrī pārbīda Vācijas vietējos laikus par stundu pašā aplūkojamā laika posma vidū. Kas sajauc vietējos laikus, tas nemanāmi pārbīda notikumus.
- Pārbaudīt pulksteņus: vai servera pulkstenis gāja pareizi? Salīdzinājums ar zināmu notikumu, piemēram, paša pieteikšanos, parāda novirzes.
- Vispirms ārējie avoti: CDN, WAF, hostinga sniedzēja vai ugunsmūra žurnāli atrodas ārpus servera, un tos grūti manipulēt. Tie veido karkasu.
- Papildināt ar servera žurnāliem: tīmekļa serveris, PHP-FPM, pieteikšanās, sistēmas žurnāls. Metodiku šim nolūkam apraksta Tīmekļa servera žurnālu izvērtēšana pēc uzbrukuma.
- Ievietot failu sistēmu: jaunu un mainītu failu laika zīmogus pievienot kā norādes.
- Ierakstīt iekšējos notikumus: kad kaut kas tika pamanīts, kurš tika informēts, kāds lēmums tika pieņemts un kad?
Ko failu laika zīmogi atklāj un ko ne
Linux katram failam saglabā vairākus laika brīžus, cita starpā satura pēdējo izmaiņu (mtime) un metadatu pēdējo izmaiņu (ctime). Abus var izvadīt lasāmi, šeit kā kopš noteikta datuma mainīto PHP failu sarakstu, sakārtotu pēc laika UTC:
# Satura izmaiņas kopš 17.10.2026, sakārtotas, UTC
TZ=UTC find /var/www -type f -name '*.php' -newermt '2026-10-17' -printf '%TY-%Tm-%Td %TH:%TM %p\n' | sort
# Visi viena faila laika zīmogi
TZ=UTC stat /var/www/ihre-website/verdaechtig.php
Strādājiet tikai ar kopiju vai nodrošinātu attēlu, kā aprakstīts sadaļā Nodrošiniet pierādījumus, pirms pārinstalējat serveri. Ņemiet vērā divus ierobežojumus. Pirmkārt, uzbrucējs faila izmaiņu datumu var ar vienkāršiem līdzekļiem atiestatīt; neuzkrītošs mtime nav attaisnojums. Otrkārt, kopēšanas darbības un daži rīki maina laika zīmogus. Tāpēc spēkā ir: failu laiki ir norādes, žurnālu ieraksti no ārpuses ir pierādījumi.
Ierakstiet brīdi, kad jūsu uzņēmums uzzināja par iespējamu datu noplūdi. Saskaņā ar VDAR 33. pantu 72 stundu termiņš ziņošanai principā sākas ar uzzināšanu. Vērtējums ir jūsu datu aizsardzības speciālista vai jurista ziņā.
Tipiskas kļūdas un kā no tām izvairīties
Biežākās kļūdas ir neuzkrītošas. Laika līniju beigās rekonstruē no atmiņas, nevis veido nepārtraukti. Ieraksti satur secinājumus novērojumu vietā, piemēram, „uzbrucējs nāca caur veidlapu" nevis „POST pieprasījums uz veidlapu, pēc tam jauns fails". Un pierādījumu trūkst, jo neviens nav pierakstījis, no kura žurnāla faila un kuras rindas ieraksts nāk.
Tāpēc nozīmējiet vienu personu, kas veido laika līniju, un ierakstiet notikumus, tiklīdz tie parādās. Secinājumiem jābūt savā ailē vai pārskatā, nevis novērojumā.
Turklāt laika līniju uzskatiet par konfidenciālu dokumentu. Tā bieži satur IP adreses, lietotājvārdus un norādes uz ievainojamībām. Nosakiet, kas to drīkst lasīt un mainīt, un saglabājiet iepriekšējos stāvokļus. Ja vērtējums mainās, piemēram, parādoties jaunam žurnāla izrakstam, vecā rindiņa netiek pārrakstīta, bet papildināta. Tā paliek izsekojams, kas kurā brīdī bija zināms un uz kāda pamata tika lemts.
Kā PHP SOS palīdz konkrēti?
- Mēs veidojam laika līniju nepārtraukti no pirmā kontakta un UTC, katram ierakstam norādot avotu un pierādījumu.
- Mēs kopīgi izvērtējam ārējos žurnālus, servera žurnālus un failu sistēmu un katru apgalvojumu atzīmējam kā pierādītu, ticamu vai nezināmu.
- Vajadzības gadījumā kopā ar specializētiem partneriem uzņemamies IT forenziku tiesā izmantojamai izvērtēšanai.
- Mēs nododam laika līniju kā daļu no pārskata vadībai, datu aizsardzībai un apdrošināšanai.
Biežāk uzdotie jautājumi
Kam man pēc drošības incidenta vajadzīga laika līnija?
Tā sakārto visus novērojumus secībā un parāda, kad uzbrucējs bija sistēmā, ko viņš varēja sasniegt un kad jūs par to uzzinājāt. Šos datus lēmumiem vajadzīgi datu aizsardzības speciālistiem, apdrošinātājiem, iestādēm un vadībai.
Kādā laika joslā man jāveido laika līnija?
Vienotā UTC. Serveri, pakalpojumi un ziņojumi izmanto dažādas laika joslas, un pāreja uz ziemas laiku oktobra beigās papildus pārbīda vietējos laikus. Kas visu pārrēķina UTC un vietējo laiku tikai pievieno, tas izvairās no kļūdām salīdzināšanā.
Vai varu paļauties uz failu laika zīmogiem?
Tikai ar ierobežojumiem. Faila izmaiņu datumu var ar vienkāršiem līdzekļiem viltot. Uzticamāki ir ieraksti žurnālos, īpaši žurnālos ārpus skartā servera. Failu laika zīmogi ir norādes, kas jāapstiprina ar citiem avotiem.
Kas bez tehniskiem notikumiem jāiekļauj laika līnijā?
Arī lēmumi un komunikācija: kad incidents tika pamanīts, kurš tika informēts, kad serveris tika atvienots no tīkla, kad tika uzlikts ielāps. Tieši uzzināšanas brīdis ir svarīgs ziņošanas termiņiem.