Stručne: Časová os IT incidentu zoraďuje všetky pozorovania, rozhodnutia a opatrenia chronologicky v jednotnom časovom pásme, ideálne v UTC. Každý riadok uvádza zdroj, pozorovanie, doklad a hodnotenie ako preukázané, pravdepodobné alebo neznáme. Vznikne tak zrozumiteľný obraz o tom, kedy bol útočník v systéme, čo mohol dosiahnuť a kedy ste sa o tom dozvedeli.
Prečo sa na konci všetci pýtajú, kedy
Po incidente prichádzajú otázky zo všetkých strán. Zodpovedná osoba pre ochranu údajov chce vedieť, odkedy boli osobné údaje dostupné. Poisťovňa sa pýta, kedy sa škoda zistila a nahlásila. Vedenie spoločnosti chce vedieť, či bola zraniteľnosť otvorená už pred poslednou aktualizáciou. Všetky tieto otázky majú spoločné jedno: točia sa okolo okamihov.
Bez časovej osi odpovedá každý z pamäti a odpovede si protirečia. So spoľahlivo vedenou časovou osou existuje spoločný základ, na ktorý sa odvolávajú všetci zúčastnení. Zároveň je kostrou pre záverečnú správu.
Pri PHP2Shell je časová os obzvlášť výpovedná, pretože verejné kľúčové údaje sú dobre zdokumentované. Dajú sa položiť ako kotviace body vedľa vlastných pozorovaní. Úplný sled verejných udalostí opisuje sprievodca PHP2Shell: chronológia.
Štruktúra: aké stĺpce časová os potrebuje
Stačí tabuľka, v tabuľkovom kalkulátore alebo v spoločnom dokumente. Dôležité sú pevné stĺpce, ktoré sa vypĺňajú pri každom riadku. Nasledujúca vzorka ukazuje verejné kľúčové údaje o PHP2Shell ako kotvy a pod nimi typické vlastné záznamy v podobe zástupných textov:
| Čas (UTC) | Zdroj | Pozorovanie | Doklad | Hodnotenie |
|---|---|---|---|---|
| 17. 10. 2026 | správy médií | prvý pozorovaný pokus o útok cez PHP2Shell | tlačová správa | preukázané ako správa médií |
| 20. 10. 2026 | php.net | vopred oznámené bezpečnostné aktualizácie | oznam na php.net | preukázané |
| 21. 10. 2026, 14:00 | php.net | zverejnenie verzií 8.5.12, 8.4.27, 8.3.36, 8.2.35 | oznam na php.net | preukázané |
| vlastný čas | prístupový protokol | nárast chýb 500 na bežných stránkach | úryvok protokolu, číslo riadku | pravdepodobne relevantné |
| vlastný čas | súborový systém | nový súbor PHP v priečinku s uploadmi | kópia s kontrolným súčtom | preukázané, čas neistý |
| vlastný čas | interne | incident zistený, vedenie informované | e-mail, poznámka z rozhovoru | preukázané |
| vlastný čas | interne | aktualizácia nasadená, všetci workeri reštartovaní | protokol balíkov, zoznam procesov | preukázané |
Stĺpec Hodnotenie je najdôležitejšia časť. Oddeľuje, čo je preukázané, čo pôsobí hodnoverne a čo ostáva otvorené. Neskorší čitatelia tak okamžite vidia, kde časová os nesie a kde sú medzery.
Časová os IT incidentu: zlúčenie zdrojov
Záznamy pochádzajú z mnohých zdrojov, ktoré majú vlastné formáty a časové pásma. Postupujte v tomto poradí:
- Určiť časové pásmo: všetko viesť v UTC. Prechod na zimný čas 25. 10. 2026 posúva nemecké miestne časy uprostred sledovaného obdobia o jednu hodinu. Kto mieša miestne časy, nepozorovane posúva udalosti.
- Skontrolovať hodiny: išli hodiny servera správne? Porovnanie so známou udalosťou, napríklad s vlastným prihlásením, ukáže odchýlky.
- Najprv externé zdroje: protokoly z CDN, WAF, poskytovateľa hostingu alebo firewallu ležia mimo servera a ťažko sa zmanipulujú. Tvoria kostru.
- Doplniť protokoly servera: webový server, PHP-FPM, prihlásenia, systémový žurnál. Metodiku na to opisuje Vyhodnotenie protokolov webového servera po útoku.
- Zaradiť súborový systém: časové pečiatky nových a zmenených súborov doplniť ako náznaky.
- Zapísať interné udalosti: kedy sa niečo zistilo, kto bol informovaný, aké rozhodnutie padlo kedy?
Čo časové pečiatky súborov prezrádzajú a čo nie
Linux ukladá pri každom súbore niekoľko okamihov, okrem iného poslednú zmenu obsahu (mtime) a poslednú zmenu metaúdajov (ctime). Obe sa dajú vypísať čítacím spôsobom, tu ako zoznam súborov PHP zmenených od určitého dňa, zoradený podľa času v UTC:
# Zmeny obsahu od 17. 10. 2026, zoradené, v UTC
TZ=UTC find /var/www -type f -name '*.php' -newermt '2026-10-17' -printf '%TY-%Tm-%Td %TH:%TM %p\n' | sort
# Všetky časové pečiatky jedného súboru
TZ=UTC stat /var/www/ihre-website/verdaechtig.php
Pracujte pritom len na kópii alebo zabezpečenom obraze, ako je opísané v článku Zabezpečte dôkazy skôr, než server nainštalujete odznova. Majte na pamäti dve hranice. Po prvé, útočník môže dátum zmeny súboru jednoducho vrátiť späť; nenápadný mtime nie je oslobodením. Po druhé, kopírovanie a niektoré nástroje časové pečiatky menia. Preto platí: časy súborov sú náznaky, záznamy v protokoloch zvonka sú doklady.
Zapíšte okamih, kedy sa vaša firma dozvedela o možnom úniku údajov. Podľa čl. 33 GDPR sa 72-hodinová lehota na oznámenie v zásade začína vedomosťou. Posúdenie patrí vašej zodpovednej osobe pre ochranu údajov alebo právnikovi.
Typické chyby a ako sa im vyhnúť
Najčastejšie chyby sú nenápadné. Časová os sa rekonštruuje z pamäti až na konci, namiesto toho, aby sa viedla priebežne. Záznamy obsahujú závery namiesto pozorovaní, napríklad „útočník prišiel cez formulár“ namiesto „požiadavka POST na formulár, potom nový súbor“. A chýbajú doklady, pretože nikto nezapísal, z ktorého súboru protokolu a z ktorého riadku záznam pochádza.
Určte preto jednu osobu, ktorá časovú os vedie, a udalosti zapisujte hneď, ako nastanú. Závery patria do samostatného stĺpca alebo do správy, nie do pozorovania.
Časovú os navyše považujte za dôverný dokument. Často obsahuje adresy IP, používateľské mená a odkazy na zraniteľné miesta. Určte, kto ju smie čítať a meniť, a uchovávajte staršie stavy. Ak sa posúdenie zmení, napríklad pretože sa objaví nový úryvok protokolu, starý riadok sa neprepíše, ale doplní sa. Zostane tak zrozumiteľné, čo bolo v ktorom okamihu známe a na akom základe sa rozhodovalo.
Ako konkrétne pomáha PHP SOS?
- Časovú os vedieme od prvého kontaktu priebežne a v UTC, so zdrojom a dokladom ku každému záznamu.
- Externé protokoly, protokoly servera a súborový systém vyhodnocujeme spoločne a každé tvrdenie označíme ako preukázané, pravdepodobné alebo neznáme.
- Podľa potreby preberáme so špecializovanými partnermi IT forenznú analýzu pre vyhodnotenie použiteľné pred súdom.
- Časovú os odovzdáme ako súčasť správy pre vedenie, ochranu údajov a poisťovňu.
Časté otázky
Na čo potrebujem časovú os po bezpečnostnom incidente?
Zoraďuje všetky pozorovania do poradia a ukazuje, kedy bol útočník v systéme, čo mohol dosiahnuť a kedy ste sa o tom dozvedeli. Tieto údaje potrebujú pre svoje rozhodnutia zodpovedné osoby pre ochranu údajov, poisťovne, úrady a vedenie spoločnosti.
V akom časovom pásme mám časovú os viesť?
Jednotne v UTC. Servery, služby a hlásenia používajú rôzne časové pásma a prechod na zimný čas koncom októbra posúva miestne časy ešte navyše. Kto všetko prepočíta na UTC a miestny čas len doplní, vyhne sa chybám pri porovnávaní.
Môžem sa spoliehať na časové pečiatky súborov?
Len obmedzene. Dátum zmeny súboru sa dá jednoduchými prostriedkami sfalšovať. Spoľahlivejšie sú záznamy v protokoloch, najmä v protokoloch mimo dotknutého servera. Časové pečiatky súborov sú náznaky, ktoré by sa mali potvrdiť inými zdrojmi.
Čo patrí do časovej osi okrem technických udalostí?
Aj rozhodnutia a komunikácia: kedy sa incident zistil, kto bol informovaný, kedy sa server odpojil od siete, kedy sa nasadila záplata. Práve okamih, kedy ste sa o incidente dozvedeli, je dôležitý pre oznamovacie lehoty.