# IT-forenzika po napadu na spletni strežnik > IT-forenzika strežnika: dokazno zavarujemo sledi, analiziramo dnevnike in datoteke ter s partnerji razjasnimo, kaj se je zgodilo ob napadu. Vir: https://phpsos.de/sl/leistungen/it-forensik/ Stanje: 25.10.2026 Ponudnik: PHP SOS, Nujna pomoč za PHP in varnost strežnikov. Takojšnja pomoč po WhatsAppu: https://wa.me/491736494914?text=Pozdravljeni%2C%20PHP%20SOS%2C%20potrebujemo%20pomo%C4%8D%20z%20na%C5%A1im%20stre%C5%BEnikom%20PHP.%20Podjetje%3A%20%E2%80%A6%20Spletna%20stran%3A%20%E2%80%A6 **Na kratko:** IT-forenzika strežnika odgovori na vprašanje, kaj se je ob napadu dejansko zgodilo: kdaj, kako, s kakšnimi posledicami. Skupaj s specializiranimi forenzičnimi partnerji dokazno zavarujemo sledi, analiziramo dnevnike, datotečne sisteme in podatkovne zbirke ter dostavimo razumljivo poročilo. Služi kot podlaga za prijave, zavarovanje in po potrebi kazenski pregon. ## Kdaj potrebujete IT-forenziko za svoj strežnik Vsak incident ne potrebuje forenzične preiskave. Smiselna je predvsem, kadar bi bili lahko prizadeti osebni podatki, plačilni podatki ali poslovne skrivnosti, kadar je ovadba ali pravni spor predvidljiv ali kadar zavarovalnica pričakuje zanesljivo dokazilo. Tudi pri vprašanju, ali je prijava nadzornemu organu potrebna, pomagajo dokazana dejstva bolj kot domneve. Po PHP2Shell se pridruži posebna točka. Ranljivosti CVE-2026-109618 in CVE-2026-109619 omogočata izvajanje kode brez prijave, objavljenih, potrjenih indikatorjev ogroženosti (Indicators of Compromise) pa ni. Ali je bil strežnik prizadet, zato ni mogoče odkljukati s kontrolnim seznamom, ampak samo z analizo vedenja: kateri procesi so tekli, katere datoteke so nastale, katere povezave so šle navzven? Prve oprijemališče nudi stran [Ali sem že ogrožen?](https://phpsos.de/sl/php2shell/bin-ich-gehackt-anzeichen/). ## Po čem se forenzika razlikuje od hitrega čiščenja Čiščenje želi strežnik znova narediti čist. Forenzika želi razumeti in dokazati. Eno vprašanje se glasi „Je strežnik spet varen?“, drugo „Kaj natanko se je zgodilo in do katerih podatkov je bilo mogoče priti?“. Za prijave, zavarovanje in obveščanje strank je navadno odločilno drugo vprašanje. Oboje je združljivo, če je vrstni red pravi: najprej zavarovati, nato spreminjati. Kdor najprej izbriše, popravi ali znova zažene, izgubi bežne sledi in pozneje pogosto ne more več pokazati, kaj je napadalec videl. > **Pomembno:** > Ohranite vse dnevnike strežnika od 20. 10. 2026 dalje in prosite ponudnika gostovanja, naj zapisnikov ne rotira ali briše. Manjkajoči dnevniki so najpogostejši vzrok odprtih vprašanj v poročilu. ## Katere sledi na spletnem strežniku PHP štejejo Na tipičnem spletnem strežniku je več sledi, kot si mnogi upravljavci mislijo. Ali so uporabne, je odvisno od tega, kako dolgo se hranijo in ali so bile zavarovane pred posegom. - **Dnevniki dostopov in napak** spletnega strežnika in PHP-FPM, vključno z sesutimi workerji - **Datotečni sistem:** nove ali spremenjene datoteke, njihovi časovni žigi in lastniki, izvedljiva koda v mapah za nalaganje - **Podatkovna zbirka:** novi uporabniški računi, spremenjene nastavitve, vnesene vsebine - **Sistem:** cron opravila, uporabniki, ključi SSH, dnevniki prijav, tekoči procesi in omrežne povezave - **Predhodni sistemi:** zapisniki CDN, WAF, požarnega zidu, load balancerja in poštnega strežnika Prav predhodni sistemi se pogosto pozabijo. Ležijo zunaj spletnega strežnika in jih je napadalcu zato težje spreminjati. Pri nekaterih ponudnikih se hranijo le kratek čas, zato jih je treba izvoziti zgodaj. ## Kako konkretno pomaga PHP SOS? 1. **Razjasnitev naročila:** z vami določimo, na katera vprašanja naj se odgovori, na primer vstopna točka, obdobje, prizadeti podatki ali premikanje po omrežju. Iz tega izhaja, kateri sistemi se preiskujejo. 2. **Dokazno zavarovanje:** mi in naši specializirani partnerji ustvarimo kopije nosilcev podatkov, dnevnikov, podatkovnih zbirk in, kjer je mogoče, delovnega pomnilnika. Vsako zavarovanje dobi kontrolno vsoto, vsaka predaja se dokumentira. 3. **Analiza:** analiziramo dnevnike dostopov in napak, spremembe datotek, uporabniške račune, cron opravila, procese in odhodne povezave. Metodologijo za dnevnike opisuje stran [Analiza dnevnikov spletnega strežnika po napadu](https://phpsos.de/sl/ratgeber/logfiles-auswerten/). 4. **Izdelava časovnice:** iz najdb nastane časovnica incidenta, pri kateri se vsaka trditev nanaša na konkreten dokaz. 5. **Predaja poročila:** prejmete tehnično poročilo in razumljiv povzetek za vodstvo. ## Kaj dobite in kaj potrebujemo Poročilo vsebuje zavarovane dokaze s kontrolnimi vsotami, dokumentacijo verige hrambe, časovnico, ugotovljeno ali verjetno vstopno točko, prizadete sisteme in vrste podatkov ter priporočila. Vsaka izjava je označena kot dokazana, verjetna ali neznana. Od vas potrebujemo: - **dostop** do prizadetih sistemov ali dovoljenje, da nam ponudnik gostovanja zagotovi kopije - **osebo s pooblastilom za odločanje**, ki določi obseg in prednostne naloge - **informacije** o sistemskem okolju, izvajalcih in znanih spremembah zadnjih tednov - **obstoječe zapisnike**, tudi iz požarnih zidov, CDN, WAF ali poštnih strežnikov - **podatek**, ali so zavarovalnica, policija ali odvetnik že vključeni Če želite podati ovadbo, najdete napotke na strani [Podaja ovadbe: osrednje kontaktne točke za kibernetsko kriminaliteto](https://phpsos.de/sl/compliance/anzeige-polizei-zac/). Kaj zavarovalnice v primeru škode tipično pričakujejo, razlaga stran [Zavarovanje kibernetskih tveganj: kaj šteje v primeru škode](https://phpsos.de/sl/compliance/cyberversicherung/). ## Česa ne obljubljamo Forenzika lahko analizira samo sledi, ki obstajajo. Če dnevniki manjkajo, so prepisani ali jih je napadalec spremenil, ostanejo vrzeli, ki jih poimenujemo. Ne obljubljamo, da bo sodišče naše rezultate ocenilo na določen način, in ne podajamo pravne ocene. Ne navajamo storilcev, ampak opisujemo, kaj sledi kažejo. Izjav, kot je „zagotovo ni iztekel noben podatek“, ne podajamo, razen če jih dokazi podpirajo. Če napad še traja, ima prednost omejitev škode. Takrat začnemo z [incident response](https://phpsos.de/sl/leistungen/incident-response/) in vzporedno zavarujemo čim več sledi. ## Pogosta vprašanja **Kaj pomeni zavarovanje dokazov, ki obstane pred sodiščem?** Sledi se zavarujejo tako, da je pozneje mogoče dokazati, da so nespremenjene. Sem sodijo kontrolne vsote, dokumentirana veriga hrambe in delo na kopijah namesto na originalu. Ali bo sodišče dokazno gradivo upoštevalo, pa odloča sodišče. **Ali lahko IT-forenzika razjasni, ali so podatki strank iztekli?** Pogosto je mogoče zožiti, do katerih podatkov je imel napadalec dostop in ali obstajajo znaki iztekanja. Zanesljiva izključitev ni vedno mogoča, zlasti če dnevniki manjkajo. Rezultat je zato ločen na dokazano, verjetno in neznano. **Kako dolgo je treba hraniti dnevnike?** Za razjasnitev čim dlje, vsaj do konca preiskave. Pri PHP2Shell strokovni tisk svetuje hranjenje dnevnikov strežnika od 20. 10. 2026. Pravne obveznosti hranjenja in brisanja razjasnite s svojim pooblaščencem za varstvo podatkov. **Ali smem strežnik pred forenziko znova zagnati ali popraviti?** Ponovni zagon izbriše bežne sledi v delovnem pomnilniku, popravek spremeni datoteke. Če le morete, najprej zavarujte ali se na kratko posvetujte z nami. Če je nevarnost akutna, ima prednost omejitev škode, kar se dokumentira. ## Viri - [BSI: nemški zvezni urad za informacijsko varnost](https://www.bsi.bund.de/) - [Policija: osrednje kontaktne točke za kibernetsko kriminaliteto](https://www.polizei.de/) - [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)