Īsi: servera monitorings drošībai nozīmē tīmekļa serverus pastāvīgi novērot, vai nav uzbrukuma pazīmju, nevis reaģēt tikai tad, kad sūdzas klienti. Mēs uzraugām jūsu PHP serveru failus, procesus, pieteikšanās, savienojumus un žurnālus un katru neparastu parādību saprotami vērtējam. Tā problēmas atpazīstat agrāk un ārkārtas gadījumā jums ir vajadzīgās pēdas.
Kāpēc servera monitorings drošībai ir svarīgs tieši tagad
PHP2Shell parādīja, cik ātri jauna ievainojamība var kļūt par draudu miljoniem serveru. Unit 42 saskaitīja vairāk nekā 22,6 miljonus publiski pieejamu, potenciāli ievainojamu instanču. Vienlaikus nav publicētu, apstiprinātu Indicators of Compromise. Kas grib zināt, vai savā serverī kaut kas notiek, tam jāseko uzvedībai.
Daudzas ielaušanās tiek atklātas vēlu, bieži trešo personu: Google brīdinājums, hostinga sniedzēja bloķēšana surogātpasta sūtīšanas dēļ, klienta norāde. Līdz tam žurnāli bieži jau ir rotēti un pēdas zudušas. Drošības monitorings šo laiku saīsina un gādā, lai protokoli vēl ir pieejami, kad tie vajadzīgi. Vadībai tas nozīmē galvenokārt vienu: lēmumi ārkārtas gadījumā balstās uz faktiem, nevis minējumiem.
Ko mēs uzraugām
| Joma | Uz ko mēs pievēršam uzmanību |
|---|---|
| Faili | jauni vai mainīti PHP faili, izpildāms kods augšupielāžu mapēs, izmaiņas .htaccess un konfigurācijā |
| Procesi | komandas, kas tiek startētas no PHP darbprocesiem, nezināmi pastāvīgi procesi, avarējoši darbprocesi |
| Pieteikšanās | SSH un paneļa pieteikšanās, jauni administratora konti CMS, uzkrājušies neveiksmīgi mēģinājumi |
| Tīkls | neparasti izejoši savienojumi, pēkšņa pasta sūtīšana, jauni atvērti porti |
| Žurnāli | neparasti pieprasījumu modeļi, kļūdu uzkrāšanās, nepilnības reģistrēšanā |
| Stāvoklis | PHP, CMS un pakotņu versijas salīdzinājumā ar zināmajiem drošības atjauninājumiem |
Kā šādus signālus var pārbaudīt manuāli, aprakstīts rakstā Tīmekļa servera žurnālu izvērtēšana pēc uzbrukuma. Administratora piekļuvēm papildus iesakām pasākumus no raksta Administratora pieteikšanās aizsardzība pret Brute Force.
Kā PHP SOS palīdz konkrēti?
- Noskaidrot sākotnējo situāciju: Mēs apkopojam serverus, lietojumprogrammas, esošos protokolus un līdzšinējo uzraudzību un nosakām, kas ir normāli. Bez šī sākotnējā stāvokļa neparasto nevar droši atpazīt.
- Ieviest uzraudzību: Mēs iestatām failu integritātes pārbaudi, žurnālu pārsūtīšanu uz atsevišķu glabāšanas vietu un noteikumus tipiskām uzbrukuma sekām. Žurnāli atrodas tā, ka uzbrucējs tīmekļa serverī tos nevar vienkārši izdzēst.
- Smalkā noregulēšana: Pirmajās nedēļās pielāgojam noteikumus, lai jūs neapplūstu ar viltus trauksmēm, piemēram, regulāru atjauninājumu vai izvietojumu dēļ.
- Ziņot un vērtēt: Neparastas parādības paziņojam ar vērtējumu: kas novērots, cik ticams ir uzbrukums un kas darāms tālāk.
- Ziņot regulāri: Regulāros intervālos saņemat kopsavilkumu ar notikumiem, neinstalētajiem atjauninājumiem un ieteikumiem.
Glabājiet žurnālus atsevišķā sistēmā. PHP2Shell gadījumā speciālistu prese iesaka saglabāt servera žurnālus no 20.10.2026. Kas tos glabā centralizēti, tam tie ir arī tad, ja tīmekļa serveris jāuzstāda no jauna.
Kā izskatās mūsu paziņojums
Brīdinājums noder tikai tad, ja to saprot. Tāpēc katrā paziņojumā ir tie paši elementi:
- Kas novērots? Piemēram: vietnes augšupielāžu mapē radies jauns PHP fails, drīz pēc tam PHP darbprocess izveidojis izejošu savienojumu ar nezināmu adresi.
- Kā mēs to vērtējam? Apliecināts ir jaunais fails un savienojums. Iespējama ir saistība. Nezināms ir, vai dati ir pārsūtīti.
- Ko mēs jau esam izdarījuši? Piemēram, nodrošinājuši failu un, ja vienošanās to paredz, pārslēguši vietni uz apkopes režīmu.
- Kas jums jāizlemj? Piemēram, vai vietne paliek bezsaistē, līdz cēlonis ir noskaidrots.
Nekaitīgus notikumus, piemēram, regulāru spraudņa atjauninājumu, atpazīstam pēc sākotnējā stāvokļa un apkopojam ziņojumā, nevis apgrūtinām jūs ar katru atsevišķi. Laika gaitā uzraudzība jūsu sistēmas iepazīst labāk.
Ko jūs saņemat un ko mums vajag
Jūs saņemat ieviestu uzraudzību ar dokumentētiem noteikumiem, izsekojamus paziņojumus ar rīcības ieteikumu, regulārus ziņojumus un centrālu protokolu glabātuvi. Apstiprināta incidenta gadījumā dati tieši nonāk Incident Response.
No jums mums vajag:
- administratora piekļuvi serveriem, lai iestatītu aģentus un žurnālu pārsūtīšanu
- pārskatu par lietojumprogrammām, plānotajiem izvietojumiem un apkopes logiem
- kontaktpersonu, kas pieņem paziņojumus un var pieņemt lēmumus
- saskaņošanu ar jūsu datu aizsardzības speciālistu, jo žurnālos var būt personas dati, piemēram, IP adreses
Ko mēs nesolām
Monitorings neatpazīst katru uzbrukumu. Veikli uzbrucēji cenšas palikt nemanāmi, un dažas ievainojamības atstāj tikko pamanāmas pēdas. Monitorings palielina varbūtību agri pamanīt ielaušanos un nodrošina pamatotus datus. Tas neaizstāj ne atjauninājumus, ne nostiprināšanu.
Arī reakcijas laikus mēs nenosakām vispārīgi; tie ir atkarīgi no vienošanās par apkalpošanu. Monitorings savu ieguvumu sniedz vislabāk kā daļa no drošības apkopes līguma, kurā kopā noregulēti atjauninājumi, rezerves kopijas un uzraudzība.
Biežāk uzdotie jautājumi
Kāda ir atšķirība starp parasto monitoringu un drošības monitoringu?
Parastais monitorings pārbauda, vai serveris ir sasniedzams un vai tam pietiek resursu. Drošības monitorings pievērš uzmanību uzbrukuma pazīmēm, piemēram, jauniem izpildāmiem failiem, neparastiem procesiem vai svešām pieteikšanās. Abi viens otru papildina.
Vai monitorings atpazīst uzbrukumu, izmantojot PHP2Shell?
Nav publicētu, apstiprinātu Indicators of Compromise par PHP2Shell. Taču monitorings var padarīt redzamas tipiskas ielaušanās sekas, piemēram, jaunus PHP failus vai komandas, kas tiek startētas no PHP procesa. Garantijas par sekmēm nav.
Vai šim nolūkam man serverī jāinstalē programmatūra?
Parasti jā, piemēram, aģents failu integritātei un žurnālu pārsūtīšanai. Kādus rīkus izmantojam, saskaņojam ar jums un vajadzības gadījumā ar jūsu hostinga sniedzēju, lai darbība un datu aizsardzība sakristu.
Vai drošības monitorings darbojas arī koplietošanas hostingā?
Tikai ierobežoti. Bez piekļuves procesiem un sistēmas žurnāliem galvenokārt paliek failu un satura uzraudzība no ārpuses. Pilnīgai uzraudzībai vajadzīgs savs vai pārvaldīts serveris.