# IT forensika pēc tīmekļa servera uzbrukuma > IT forensika serveriem: ar pierādījumu vērtību saglabājam pēdas, izvērtējam žurnālus un failus un kopā ar specializētiem partneriem noskaidrojam uzbrukuma norisi. Avots: https://phpsos.de/lv/leistungen/it-forensik/ Aktuāls uz: 25.10.2026 Pakalpojuma sniedzējs: PHP SOS, PHP ārkārtas palīdzība un serveru drošība. Tūlītēja palīdzība pa WhatsApp: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20nepiecie%C5%A1ama%20pal%C4%ABdz%C4%ABba%20ar%20m%C5%ABsu%20PHP%20serveri.%20Uz%C5%86%C4%93mums%3A%20%E2%80%A6%20Vietne%3A%20%E2%80%A6 **Īsi:** IT forensika serveriem atbild uz jautājumu, kas uzbrukuma laikā patiešām noticis: kad, kā un ar kādām sekām. Kopā ar specializētiem forensikas partneriem mēs ar pierādījumu vērtību nodrošinām pēdas, izvērtējam žurnālus, failu sistēmas un datubāzes un sniedzam izsekojamu ziņojumu. Tas kalpo par pamatu ziņojumiem, apdrošināšanai un, ja nepieciešams, kriminālvajāšanai. ## Kad jums vajadzīga IT forensika savam serverim Ne katram incidentam vajadzīga forensiska izmeklēšana. Tā ir lietderīga galvenokārt tad, ja var būt skarti personas dati, maksājumu dati vai komercnoslēpumi, ja ir gaidāms iesniegums vai tiesvedība vai ja apdrošinātājs sagaida pamatotu pierādījumu. Arī jautājumā, vai nepieciešams ziņot uzraudzības iestādei, pierādīti fakti palīdz vairāk nekā minējumi. Pēc PHP2Shell klāt nāk īpašs punkts. Ievainojamības CVE-2026-109618 un CVE-2026-109619 ļauj izpildīt kodu bez pieteikšanās, un nav publicētu, apstiprinātu Indicators of Compromise. Vai serveris bijis skarts, tāpēc nevar atzīmēt ar kontrolsarakstu, bet tikai ar uzvedības analīzi: kādi procesi darbojās, kādi faili radās, kādi savienojumi iet uz āru? Pirmos atbalsta punktus sniedz [Vai mani jau ir uzlauzuši?](https://phpsos.de/lv/php2shell/bin-ich-gehackt-anzeichen/). ## Ar ko forensika atšķiras no ātras attīrīšanas Attīrīšana vēlas serveri atkal padarīt tīru. Forensika vēlas saprast un pierādīt. Viens jautājums skan „Vai serveris atkal ir drošs?“, otrs „Kas tieši noticis un kādi dati bija pieejami?“. Ziņojumiem, apdrošināšanai un klientu informēšanai parasti izšķirošs ir otrais jautājums. Abus var savienot, ja secība ir pareiza: vispirms nodrošināt, tad mainīt. Kas vispirms dzēš, ielāpo vai pārstartē, zaudē gaistošas pēdas un vēlāk bieži vairs nevar parādīt, ko uzbrucējs redzējis. > **Svarīgi:** > Saglabājiet visus servera žurnālus no 20.10.2026 un lūdziet hostinga sniedzēju nerotēt un nedzēst protokolus. Trūkstoši žurnāli ir biežākais atklāto jautājumu cēlonis ziņojumā. ## Kuras pēdas PHP tīmekļa serverī ir svarīgas Tipiskā tīmekļa serverī pēdu ir vairāk, nekā daudzi operatori domā. Vai tās ir izmantojamas, atkarīgs no tā, cik ilgi tās tiek glabātas un vai tās nodrošinātas pirms iejaukšanās. - **Piekļuves un kļūdu žurnāli** tīmekļa serverim un PHP-FPM, ieskaitot avarējušus darbprocesus - **Failu sistēma:** jauni vai mainīti faili, to laika zīmogi un īpašnieki, izpildāms kods augšupielāžu mapēs - **Datubāze:** jauni lietotāju konti, mainīti iestatījumi, ievadīts saturs - **Sistēma:** cron uzdevumi, lietotāji, SSH atslēgas, pieteikšanās protokoli, darbojošies procesi un tīkla savienojumi - **Pirms tā izvietotas sistēmas:** CDN, WAF, ugunsmūra, slodzes sadalītāja (Load Balancer) un pasta servera protokoli Tieši pirms servera izvietotās sistēmas bieži tiek aizmirstas. Tās atrodas ārpus tīmekļa servera, tāpēc uzbrucējam tās grūtāk manipulēt. Dažiem sniedzējiem tās tiek glabātas tikai īsu laiku, tāpēc tās jāeksportē agri. ## Kā PHP SOS palīdz konkrēti? 1. **Precizēt uzdevumu:** Mēs kopā ar jums nosakām, uz kuriem jautājumiem jāatbild, piemēram, ielaušanās ceļš, laika posms, skartie dati vai pārvietošanās tīklā. No tā izriet, kuras sistēmas tiek izmeklētas. 2. **Nodrošināt ar pierādījumu vērtību:** Mēs un mūsu specializētie partneri izveidojam datu nesēju, žurnālu, datubāzu un, kur iespējams, darbmemorijas kopijas. Katrai kopijai tiek piešķirta kontrolsumma, katra nodošana tiek dokumentēta. 3. **Izvērtēt:** Mēs analizējam piekļuves un kļūdu protokolus, failu izmaiņas, lietotāju kontus, cron uzdevumus, procesus un izejošos savienojumus. Žurnālu metodiku apraksta [Tīmekļa servera žurnālu izvērtēšana pēc uzbrukuma](https://phpsos.de/lv/ratgeber/logfiles-auswerten/). 4. **Izveidot laika joslu:** No atradumiem rodas incidenta laika josla, kurā katrs apgalvojums norāda uz konkrētu pierādījumu. 5. **Nodot ziņojumu:** Jūs saņemat tehnisku ziņojumu un saprotamu kopsavilkumu vadībai. ## Ko jūs saņemat un ko mums vajag Ziņojumā ir nodrošinātie pierādījumi ar kontrolsummām, nodošanas ķēdes dokumentācija, laika josla, noskaidrotais vai iespējamais ielaušanās ceļš, skartās sistēmas un datu veidi, kā arī ieteikumi. Katrs apgalvojums ir atzīmēts kā apliecināts, iespējams vai nezināms. No jums mums vajag: - **piekļuvi** skartajām sistēmām vai atļauju, ka jūsu hostinga sniedzējs mums nodod kopijas - **personu ar lēmuma pieņemšanas tiesībām**, kas nosaka apjomu un prioritātes - **informāciju** par sistēmu ainavu, pakalpojumu sniedzējiem un zināmajām izmaiņām pēdējās nedēļās - **esošos protokolus**, arī no ugunsmūriem, CDN, WAF vai pasta serveriem - **norādi**, vai apdrošinātājs, policija vai advokāts jau ir iesaistīts Ja vēlaties iesniegt iesniegumu, norādes atradīsiet rakstā [Iesnieguma iesniegšana: centrālie kontaktpunkti kibernoziegumu jomā](https://phpsos.de/lv/compliance/anzeige-polizei-zac/). Ko apdrošinātāji zaudējumu gadījumā parasti sagaida, izskaidro [Kiberapdrošināšana: kas svarīgi zaudējumu gadījumā](https://phpsos.de/lv/compliance/cyberversicherung/). ## Ko mēs nesolām Forensika var izvērtēt tikai to, kas pēdu ziņā ir pieejams. Ja žurnālu trūkst, tie ir pārrakstīti vai uzbrucēja manipulēti, paliek nepilnības, un mēs tās nosaucam. Mēs nesolām, ka tiesa mūsu rezultātus vērtēs noteiktā veidā, un nesniedzam juridisku vērtējumu. Mēs nenosaucam vainīgos, bet aprakstām, ko pēdas rāda. Arī apgalvojumus kā „droši neviens dati nav aizplūduši“ izsakām tikai tad, ja pierādījumi to pamato. Ja uzbrukums vēl turpinās, prioritāte ir ierobežošanai. Tad sākam ar [Incident Response](https://phpsos.de/lv/leistungen/incident-response/) un paralēli nodrošinām pēc iespējas vairāk pēdu. ## Biežāk uzdotie jautājumi **Ko nozīmē tiesā izmantojama pierādījumu nodrošināšana?** Pēdas tiek nodrošinātas tā, lai vēlāk varētu pierādīt, ka tās nav mainītas. Tas ietver kontrolsummas, dokumentētu nodošanas ķēdi un darbu ar kopijām, nevis oriģinālu. Vai tiesa pierādījumu izmantos, tomēr izlemj pati tiesa. **Vai IT forensika var noskaidrot, vai klientu dati ir aizplūduši?** Bieži var norobežot, kuriem datiem uzbrucējam bija piekļuve un vai ir norādes uz aizplūšanu. Droša izslēgšana ne vienmēr ir iespējama, īpaši, ja trūkst žurnālu. Tāpēc rezultāts tiek nošķirts pēc kategorijām: apliecināts, iespējams un nezināms. **Cik ilgi žurnāli jāglabā?** Izmeklēšanai pēc iespējas ilgāk, vismaz līdz izmeklēšanas beigām. PHP2Shell gadījumā speciālistu prese iesaka saglabāt servera žurnālus no 20.10.2026. Juridiskos glabāšanas un dzēšanas pienākumus noskaidrojiet ar savu datu aizsardzības speciālistu. **Vai pirms forensikas drīkstu serveri pārstartēt vai ielāpot?** Pārstartēšana dzēš gaistošas pēdas darbmemorijā, ielāps maina failus. Ja varat, vispirms izveidojiet drošu kopiju vai īsi aprunājieties ar mums. Ja apdraudējums ir akūts, prioritāte ir ierobežošanai, un tas tiek dokumentēts. ## Avoti - [BSI: Vācijas Federālais informācijas drošības birojs](https://www.bsi.bund.de/) - [Policija: centrālie kontaktpunkti kibernoziegumu jomā](https://www.polizei.de/) - [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)