Stručne: IT forenzika servera odpovedá na otázku, čo sa pri útoku naozaj stalo: kedy, ako a s akými následkami. Spolu so špecializovanými forenznými partnermi zabezpečujeme stopy s dôkaznou hodnotou, vyhodnocujeme logy, súborové systémy a databázy a dodáme zrozumiteľnú správu. Slúži ako základ pre oznámenia, poistenie a prípadne trestné stíhanie.
Kedy potrebujete IT forenziku pre svoj server
Nie každý incident vyžaduje forenzické vyšetrenie. Zmysluplné je predovšetkým vtedy, keď by mohli byť dotknuté osobné údaje, platobné údaje alebo obchodné tajomstvá, keď sa črtá trestné oznámenie alebo súdny spor, alebo keď poisťovateľ očakáva spoľahlivý doklad. Aj pri otázke, či je potrebné oznámenie dozornému orgánu, pomáhajú doložené fakty viac než domnienky.
Po PHP2Shell pribúda osobitný bod. Zraniteľnosti CVE-2026-109618 a CVE-2026-109619 umožňujú spúšťanie kódu bez prihlásenia a neexistujú zverejnené, potvrdené Indicators of Compromise. Či bol server dotknutý, sa preto nedá odškrtnúť kontrolným zoznamom, ale iba analýzou správania: aké procesy bežali, aké súbory vznikli, aké spojenia smerovali von? Prvé záchytné body poskytuje stránka Som už kompromitovaný?.
Čím sa forenzika líši od rýchleho vyčistenia
Vyčistenie chce server opäť vyčistiť. Forenzika chce pochopiť a doložiť. Jedna otázka znie „Je server opäť bezpečný?“, druhá „Čo sa presne stalo a ktoré údaje boli dosiahnuteľné?“. Pre oznámenia, poistenie a informovanie zákazníkov je zvyčajne rozhodujúca druhá otázka. Obe sa dajú zosúladiť, ak je správne poradie: najprv zabezpečiť, potom meniť. Kto najprv maže, záplatuje alebo reštartuje, stráca prchavé stopy a neskôr často už nevie ukázať, čo útočník videl.
Uchovajte všetky logy servera od 20. 10. 2026 a požiadajte svojho poskytovateľa hostingu, aby protokoly nerotoval ani nemazal. Chýbajúce logy sú najčastejšou príčinou otvorených otázok v správe.
Ktoré stopy na webovom serveri PHP rozhodujú
Na typickom webovom serveri je viac stôp, než mnohí prevádzkovatelia tušia. Či sú použiteľné, závisí od toho, ako dlho sa uchovávajú a či boli pred zásahom zabezpečené.
- Prístupové a chybové protokoly webového servera a PHP-FPM vrátane zrútených workerov
- Súborový systém: nové alebo zmenené súbory, ich časové pečiatky a vlastníci, spustiteľný kód v priečinkoch na nahrávanie
- Databáza: nové používateľské účty, zmenené nastavenia, zavlečený obsah
- Systém: cronjoby, používatelia, kľúče SSH, protokoly prihlásení, bežiace procesy a sieťové spojenia
- Predradené systémy: protokoly CDN, WAF, firewallu, load balancera a poštového servera
Práve predradené systémy sa často zabúdajú. Nachádzajú sa mimo webového servera, a preto ich útočník ťažšie zmanipuluje. U niektorých poskytovateľov sa uchovávajú iba krátko, preto by ste ich mali exportovať včas.
Ako konkrétne pomáha PHP SOS?
- Objasniť zadanie: S vami určíme, na ktoré otázky sa má odpovedať, napríklad vstupná brána, obdobie, dotknuté údaje alebo pohyb v sieti. Z toho vyplýva, ktoré systémy sa budú skúmať.
- Zabezpečiť s dôkaznou hodnotou: My a naši špecializovaní partneri vytvoríme kópie dátových nosičov, logov, databáz a, kde je to možné, pamäte. Každé zabezpečenie dostane kontrolný súčet, každé odovzdanie sa zdokumentuje.
- Vyhodnotiť: Analyzujeme prístupové a chybové protokoly, zmeny súborov, používateľské účty, cronjoby, procesy a odchádzajúce spojenia. Metodiku pre logy popisuje stránka Vyhodnotenie logov webového servera po útoku.
- Vytvoriť časovú os: Z nálezov vznikne časová os incidentu, v ktorej každé tvrdenie odkazuje na konkrétny doklad.
- Odovzdať správu: Dostanete technickú správu a zrozumiteľné zhrnutie pre vedenie.
Čo dostanete a čo potrebujeme
Správa obsahuje zabezpečené dôkazné prostriedky s kontrolnými súčtami, dokumentáciu reťazca odovzdania, časovú os, zistenú alebo pravdepodobnú vstupnú bránu, dotknuté systémy a druhy údajov a odporúčania. Každé tvrdenie je označené ako preukázané, pravdepodobné alebo neznáme.
Od vás potrebujeme:
- prístup k dotknutým systémom alebo súhlas, aby nám váš poskytovateľ hostingu poskytol kópie
- osobu s právomocou rozhodovať, ktorá určí rozsah a priority
- informácie o systémovej krajine, dodávateľoch a známych zmenách posledných týždňov
- existujúce protokoly, aj z firewallov, CDN, WAF alebo poštových serverov
- informáciu, či už boli zapojení poisťovateľ, polícia alebo právnik
Ak chcete podať trestné oznámenie, upozornenia nájdete na stránke Podanie trestného oznámenia: centrálne kontaktné miesta pre kyberkriminalitu. Čo poisťovatelia v prípade škody typicky očakávajú, vysvetľuje stránka Kyberpoistenie: čo rozhoduje v poistnej udalosti.
Čo nesľubujeme
Forenzika môže vyhodnotiť iba to, čo sa zachovalo zo stôp. Ak logy chýbajú, boli prepísané alebo ich útočník zmanipuloval, zostanú medzery a my ich pomenujeme. Nesľubujeme, že súd naše výsledky posúdi určitým spôsobom, a neposkytujeme právne posúdenie. Nepomenúvame páchateľov, ale opisujeme, čo stopy ukazujú. Aj tvrdenia typu „určite neunikli žiadne údaje“ uvádzame iba vtedy, ak ich doklady podporujú.
Ak útok ešte prebieha, má prednosť zastavenie útoku. Potom začneme s Incident Response a súbežne zabezpečíme čo najviac stôp.
Časté otázky
Čo znamená zabezpečenie dôkazov použiteľné na súde?
Stopy sa zabezpečia tak, aby sa neskôr dalo preukázať, že sú nezmenené. Patria sem kontrolné súčty, zdokumentovaný reťazec odovzdania a práca na kópiách namiesto originálu. Či súd dôkazný prostriedok využije, však rozhoduje súd.
Dokáže IT forenzika objasniť, či unikli údaje zákazníkov?
Často sa dá vymedziť, ku ktorým údajom mal útočník prístup a či existujú náznaky úniku. Spoľahlivé vylúčenie nie je vždy možné, najmä ak chýbajú logy. Výsledok sa preto člení na preukázané, pravdepodobné a neznáme.
Ako dlho sa musia logy uchovávať?
Pre objasnenie čo najdlhšie, minimálne dovtedy, kým nie je vyšetrovanie ukončené. Pri PHP2Shell odborná tlač radí uchovať logy serverov od 20. 10. 2026. Zákonné povinnosti uchovávania a vymazania si vyjasnite so zodpovednou osobou pre ochranu údajov.
Smiem server pred forenzikou reštartovať alebo záplatovať?
Reštart zmaže prchavé stopy v pamäti, záplata mení súbory. Ak môžete, najprv zabezpečte stav alebo sa s nami krátko poraďte. Ak je nebezpečenstvo akútne, má prednosť zastavenie útoku, čo sa zdokumentuje.