Kort sagt: Innan ni installerar om en komprometterad server säkrar ni bevisen i den ordning de är flyktiga: först processer, anslutningar och inloggade användare, sedan loggar och konfiguration, därefter en fullständig avbildning av systemet och data från uppströmstjänster. Varje säkring får en kontrollsumma och lagras utanför servern. För det kopplas servern bort från nätet men stängs inte av.
Reflexen att installera om direkt
Den som upptäcker ett intrång vill avsluta det så snabbt som möjligt. Ett färskt system, rent installerat, med nya lösenord: det känns som kontroll. Tekniskt är en ominstallation ofta också rätt väg, särskilt om en angripare hade root-rättigheter.
Problemet är tidpunkten. Med det gamla systemet försvinner alla svar på de frågor som kommer under dagarna efter. Via vilken sårbarhet kom angriparen? Sedan när fanns han i systemet? Hade han åtkomst till kunddata? Berörs databasservern bredvid också? Utan spår återstår bara gissningar, och de hjälper varken i dataskyddsfrågor eller gentemot försäkringsbolaget.
Efter PHP2Shell tillkommer en särskild omständighet: det finns inga publicerade, bekräftade Indicators of Compromise. Om och hur en server berördes kan bara utläsas ur beteendet, alltså ur just de spår som en förhastad ominstallation raderar. Fackpressen rekommenderar att spara serverloggar från och med den 20 oktober 2026.
Bevissäkring på servern: ordningen avgör
Spår är olika flyktiga. Det som finns i arbetsminnet är borta vid nästa omstart. Loggar överlever längre men roteras. Data hos uppströmstjänster försvinner enligt deras egna tidsfrister. Ordningen blir därför:
| Spår | Flyktighet | Hur ni säkrar det |
|---|---|---|
| Processer, nätverksanslutningar, inloggade användare | försvinner vid omstart | Skriv systemkommandonas utdata till filer |
| Arbetsminne | försvinner vid omstart | Bara med specialverktyg, uppgift för forensiker |
Temporära filer i /tmp eller /dev/shm |
raderas ofta vid omstart | Kopiera utan att köra |
| Loggar från webbserver, PHP, system | roteras | Kopiera fullständigt, stoppa rotationen |
| Filsystem och databas | stabila fram till ominstallationen | Ögonblicksavbild eller diskavbild, databasexport |
| CDN, WAF, brandvägg, webbhotell | lagring enligt leverantörens tidsfrister | Begär export, låt bekräfta skriftligt |
Arbetsminnet säkrar ni bara om någon med lämpligt verktyg och erfarenhet står redo. För system med känsliga data eller en förutsebar rättstvist bör en IT-forensik ta över det.
Dokumentera flyktiga data på några minuter
Kommandona nedan ändrar ingenting i systemet. De skriver det aktuella tillståndet till filer som därefter säkras utanför servern. Lägg målkatalogen helst på en ansluten, separat disk:
ZIEL=/mnt/sicherung/fall-$(date -u +%Y%m%dT%H%MZ)
mkdir -p "$ZIEL"
date -u > "$ZIEL/zeitpunkt-utc.txt"
ps auxwwf > "$ZIEL/prozesse.txt"
ss -tunap > "$ZIEL/verbindungen.txt"
who -a > "$ZIEL/angemeldet.txt"
last -F > "$ZIEL/anmeldungen.txt"
ip addr > "$ZIEL/netz.txt"; ip route >> "$ZIEL/netz.txt"
for u in $(cut -d: -f1 /etc/passwd); do crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"; done > "$ZIEL/cronjobs.txt"
sha256sum "$ZIEL"/* > "$ZIEL.sha256"
Hur ni därefter säkrar och analyserar loggarna fullständigt beskriver guiden Analysera webbserverloggar efter ett angrepp. På virtuella servrar är en ögonblicksavbild via leverantörens hantering det enklaste sättet att få en fullständig avbildning. Den fångar systemet utan att ni behöver starta fler verktyg på den komprometterade servern.
Så att säkringen är värd något senare
En säkring är bara så bra som dess bevisning. Tre regler gör den hållbar:
- Kontrollsummor: Varje säkrad fil får en SHA-256-kontrollsumma. Då går det senare att visa att kopian är oförändrad.
- Protokoll: Vem har säkrat vad, när, med vilket kommando och vart? Varje överlämning till tredje part dokumenteras. Experter kallar det beviskedjan.
- Separat lagring: Kopior hör hemma på ett system som angriparen inte hade åtkomst till och används därefter bara läsande.
Arbeta efteråt enbart med kopior. Varje analys på originalet ändrar tidsstämplar och kan skriva över spår. Kör aldrig misstänkta filer och öppna dem inte via webbläsaren.
Begär loggarna från CDN, WAF och webbhotell tidigt. Dessa data ligger utanför er server och är svåra för en angripare att manipulera, men sparas ofta bara en kort tid.
Vad som förstör bevisläget
Många spår går inte förlorade på grund av angriparen, utan av välmenande första hjälp. De här stegen bör utebli före säkringen:
- Omstart eller avstängning: Processer, anslutningar och arbetsminne är därefter borta.
- Virusskanner med automatisk radering: Den tar bort filer innan någon har säkrat dem och ändrar tidsstämplar.
- Städning av loggar eller temp-mappar: Även när utrymmet blir trångt: först kopiera, sedan radera.
- Installera nya verktyg från internet på servern: Varje installation skriver till filsystemet och kan överskugga spår.
- Inloggning med privilegierade uppgifter utan nödvändighet: Körs skadlig kod ännu på servern kan inmatade lösenord läsas med.
Särskilt försäkringsbolag frågar senare vad som säkrades och när. Tips om typiska skyldigheter finns under Cyberförsäkring: vad som räknas vid skada.
Avväga: hur mycket tid finns för säkringen?
Inte varje incident tillåter en lång säkring. Pågår just ett dataläckage eller angrips besökare har begränsningen företräde. Frånkoppling från nätet medan systemet körs förenar båda: angriparen förlorar åtkomsten, spåren bevaras. För de flesta webbservrar räcker därefter en överskådlig tidsrymd för de flyktiga data och ögonblicksavbilden.
Fatta beslutet medvetet och dokumentera det: vem beslutade när ominstallationen sker, och vad säkrades dessförinnan? Den anteckningen blir senare en del av incidentens tidslinje. Om ominstallation eller sanering är rätt väg belyser inlägget Installera om eller sanera servern?.
Hur hjälper PHP SOS konkret?
- Vi säkrar flyktiga data, loggar och systemavbildningar i rätt ordning, med kontrollsummor och protokoll.
- Vi begär data från uppströmstjänster innan deras lagringsfrister löper ut.
- Vid behov tar vi tillsammans med specialiserade partner hand om den forensiska säkringen och analysen.
- Först därefter bygger vi upp servern på nytt, stänger ingången och dokumenterar incidenten tills den är avslutad.
Vanliga frågor
Varför bör jag säkra bevis innan jag installerar om?
Eftersom bara spåren visar hur angriparen kom in, hur länge han fanns i systemet och vilka data han kunde nå. De svaren behöver ni för dataskydd, försäkring och frågan om fler system berörs. Efter ominstallationen är de förlorade.
Vad är mest brådskande vid säkringen?
Flyktiga data som pågående processer, nätverksanslutningar och inloggade användare försvinner vid nedstängning. De dokumenteras först. Därefter följer loggar, en avbildning av systemet och data från uppströmstjänster.
Räcker en vanlig säkerhetskopia som bevissäkring?
Oftast inte. Många säkerhetskopior saknar loggar, systemfiler och metadata som tidsstämplar och ägare. För bevissäkring behöver ni en fullständig, oförändrad kopia med kontrollsumma, helst en ögonblicksavbild eller en diskavbild.
Får jag koppla bort servern från nätet före säkringen?
Ja, om den fortsätter att köra. En nätverksfrånkoppling stoppar dataläckage och fjärrstyrning utan att förstöra flyktiga spår. En omstart eller avstängning raderar däremot arbetsminnet och pågående processer.