Kort gezegd: Servermonitoring voor beveiliging betekent webservers doorlopend op tekenen van een aanval bewaken, in plaats van pas te reageren als klanten klagen. Wij bewaken bestanden, processen, aanmeldingen, verbindingen en logs van uw PHP-servers en duiden elke afwijking begrijpelijk. Zo herkent u problemen eerder en hebt u in het ergste geval de nodige sporen.
Waarom servermonitoring voor beveiliging nu juist telt
PHP2Shell heeft laten zien hoe snel een nieuw lek een bedreiging voor miljoenen servers kan worden. Unit 42 telde meer dan 22,6 miljoen blootgestelde, mogelijk kwetsbare instanties. Tegelijk zijn er geen gepubliceerde, bevestigde Indicators of Compromise. Wie wil weten of er op de eigen server iets gebeurt, moet op het gedrag letten.
Veel inbraken worden pas laat ontdekt, vaak door derden: een Google-waarschuwing, een blokkade van de hoster wegens spamverzending, een melding van een klant. Tot dan zijn logs vaak geroteerd en sporen verloren. Security-monitoring verkort die tijd en zorgt ervoor dat de logs er nog zijn als men ze nodig heeft. Voor de directie betekent dat vooral één ding: beslissingen in het ergste geval berusten op feiten in plaats van op vermoedens.
Wat wij bewaken
| Gebied | Waar wij op letten |
|---|---|
| Bestanden | nieuwe of gewijzigde PHP-bestanden, uitvoerbare code in uploadmappen, wijzigingen in .htaccess en configuratie |
| Processen | opdrachten die vanuit PHP-workers worden gestart, onbekende permanente processen, crashende workers |
| Aanmeldingen | SSH- en paneellogins, nieuwe beheerdersaccounts in het CMS, opeenvolgende mislukte pogingen |
| Netwerk | ongebruikelijke uitgaande verbindingen, plotselinge mailverzending, nieuwe open poorten |
| Logs | opvallende verzoekpatronen, foutenclusters, hiaten in de registratie |
| Stand | PHP-, CMS- en pakketversies afgezet tegen bekende beveiligingsupdates |
Hoe zulke signalen handmatig na te controleren zijn, beschrijft Webserverlogs na een aanval analyseren. Voor beheertoegangen adviseren we aanvullend de maatregelen uit Beheerlogins tegen brute force beschermen.
Hoe helpt PHP SOS concreet?
- Uitgangssituatie vastleggen: wij nemen servers, toepassingen, bestaande logs en eerdere bewaking op en leggen vast wat normaal is. Zonder deze uitgangstoestand zijn afwijkingen niet betrouwbaar te herkennen.
- Bewaking inrichten: wij richten een bestandsintegriteitscontrole, logdoorsturing naar een gescheiden opslaglocatie en regels voor typische aanvalsgevolgen in. Logs staan zo dat een aanvaller op de webserver ze niet zomaar kan wissen.
- Fijnafstemming: in de eerste weken passen we de regels aan, zodat u niet wordt overspoeld met valse alarmen, bijvoorbeeld door reguliere updates of deployments.
- Melden en duiden: afwijkingen melden wij met duiding: wat is waargenomen, hoe waarschijnlijk is een aanval en wat is de volgende stap.
- Rapporteren: met regelmatige tussenpozen ontvangt u een samenvatting met gebeurtenissen, openstaande updates en aanbevelingen.
Bewaar logs op een gescheiden systeem. Bij PHP2Shell adviseert de vakpers serverlogs vanaf 20 oktober 2026 veilig te stellen. Wie ze centraal opslaat, heeft ze ook nog als de webserver opnieuw moet worden opgezet.
Hoe een melding van ons eruitziet
Een waarschuwing is alleen nuttig als men haar begrijpt. Daarom bevat elke melding dezelfde bouwstenen:
- Wat is waargenomen? Bijvoorbeeld: in de uploadmap van een website is een nieuw PHP-bestand ontstaan, kort daarna heeft een PHP-worker een uitgaande verbinding met een onbekend adres opgebouwd.
- Hoe duiden wij het? Aangetoond zijn het nieuwe bestand en de verbinding. Waarschijnlijk is er een verband. Onbekend is of er gegevens zijn overgedragen.
- Wat hebben we al gedaan? Bijvoorbeeld het bestand veiliggesteld en, indien afgesproken, de website in onderhoudsmodus gezet.
- Wat moet u beslissen? Bijvoorbeeld of de website offline blijft tot de oorzaak is opgehelderd.
Onschuldige gebeurtenissen, zoals een reguliere pluginupdate, herkennen wij aan de uitgangssituatie en vatten we samen in het rapport, in plaats van u er afzonderlijk mee te belasten. Na verloop van tijd leert de bewaking uw systemen beter kennen.
Wat u krijgt en wat wij nodig hebben
U krijgt een ingerichte bewaking met gedocumenteerde regels, navolgbare meldingen met handelingsadvies, regelmatige rapporten en een centrale opslag van de logs. Bij een bevestigd incident vloeien de gegevens rechtstreeks in de incident response.
Wij hebben van u nodig:
- beheerderstoegang tot de servers om agents en logdoorsturing in te richten
- een overzicht van de toepassingen, geplande deployments en onderhoudsvensters
- een aanspreekpunt dat meldingen ontvangt en beslissingen kan nemen
- afstemming met uw functionaris voor gegevensbescherming, omdat logs persoonsgegevens zoals IP-adressen kunnen bevatten
Wat we niet beloven
Monitoring herkent niet elke aanval. Slimme aanvallers proberen onopvallend te blijven, en sommige kwetsbaarheden laten nauwelijks sporen na. Monitoring vergroot de kans een inbraak vroeg op te merken en zorgt voor betrouwbare gegevens. Het vervangt noch updates noch hardening.
Ook reactietijden leggen we niet algemeen vast; ze hangen af van de afgesproken begeleiding. Monitoring heeft het meeste nut als onderdeel van een beveiligingsonderhoudscontract, waarin updates, back-ups en bewaking samen zijn geregeld.
Veelgestelde vragen
Wat is het verschil tussen gewoon monitoring en security-monitoring?
Gewoon monitoring controleert of een server bereikbaar is en voldoende middelen heeft. Security-monitoring let op tekenen van een aanval, zoals nieuwe uitvoerbare bestanden, ongebruikelijke processen of vreemde aanmeldingen. Beide vullen elkaar aan.
Herkent monitoring een aanval via PHP2Shell?
Er zijn geen gepubliceerde, bevestigde Indicators of Compromise voor PHP2Shell. Monitoring kan wel typische gevolgen van een inbraak zichtbaar maken, zoals nieuwe PHP-bestanden of opdrachten die vanuit een PHP-proces worden gestart. Een succesgarantie bestaat niet.
Moet ik daarvoor software op de server installeren?
Meestal wel, bijvoorbeeld een agent voor bestandsintegriteit en logdoorsturing. Welke hulpmiddelen wij inzetten, stemmen we met u en zo nodig uw hoster af, zodat bedrijfsvoering en gegevensbescherming passen.
Werkt security-monitoring ook bij shared hosting?
Slechts beperkt. Zonder toegang tot processen en systeemlogs blijft vooral de bewaking van bestanden en inhoud van buitenaf over. Voor een volledige bewaking is een eigen of beheerde server nodig.