Накратко: Нивото на предупреждение оранжево на BSI (Федералната служба за информационна сигурност на Германия) е второто по височина от четири нива. То означава: ситуацията със заплаха за ИТ е критична за бизнеса, нормалната дейност може да бъде масивно затруднена. За PHP2Shell BSI даде това ниво 3 и препоръчва незабавна актуализация или, ако това не е възможно, временно изключване на засегнатите уеб сървъри от мрежата. За фирмите оранжево означава: темата днес е за масата на ръководството.
Какво означава оценката за вземащите решения
Много управители са чули в новините за „ниво на предупреждение оранжево“, без да знаят как да го осмислят. Тревога за всички ли е това, или тема за ИТ отдела? Краткият отговор: оранжевото е нивото, при което BSI приема, че засегнатите без бързо действие рискуват сериозни смущения в дейността си.
Според hessenschau BSI е говорила за изключителен потенциал на заплахата при PHP2Shell. Очаквало е бърза експлоатация в голям мащаб. Потвърдени успешни атаки в голям мащаб към момента на предупреждението според BSI не са били известни. И двете неща вървят заедно: високото ниво описва риска, а не вече настъпила щета.
BSI ниво на предупреждение оранжево и другите три нива
BSI подрежда предупрежденията си за киберсигурност по скала от 1 до 4. Следващата таблица предава значението по смисъл:
| Ниво | Цвят | Значение (по смисъл) |
|---|---|---|
| 1 | Сиво | ситуация със заплаха за ИТ без съществени отклонения |
| 2 | Жълто | засилено наблюдение на отклоненията, нормалната дейност временно затруднена |
| 3 | Оранжево | критична за бизнеса ситуация, масивно затруднение на нормалната дейност |
| 4 | Червено | изключително критична ситуация, нормалната дейност в много области не може да се поддържа |
Нивото казва нещо за ситуацията като цяло, не за Вашия отделен сървър. Напълно пачнат и проверен уеб сървър е в добра позиция и при оранжево. Непачнат сървър с PHP 8.1 и mod_php е изложен на риск и при по-ниско ниво.
Как да ползвате скалата вътрешно
Много фирми имат собствени аварийни нива, например в наръчника за извънредни ситуации или в рамките на система за управление на информационната сигурност. Струва си нивата на BSI да бъдат закрепени там. Едно просто правило може да гласи: при жълто ИТ проверява в рамките на нормалната работа. При оранжево управителят се информира в същия ден, назначава се отговорник и състоянието на всички засегнати системи се събира писмено. При червено се събира кризисният щаб.
Така от едно съобщение се получава упражнена реакция. Който е определил съответствието предварително, не трябва в критичния момент да спори дали ситуацията е „достатъчно сериозна“. При PHP2Shell това правило би означавало: още на 21 октомври инвентаризация, план за пач и решение за изключвания.
Самите предупреждения BSI публикува на уебсайта си, където при нови сведения се и актуализират. Струва си да четете всякога актуалната версия, защото препоръките и оценките могат да се променят в хода на една ситуация.
Защо PHP2Shell е оранжево, а не червено
За сравнение често се ползва Log4Shell. За уязвимостта в Java библиотеката Log4j BSI обяви през декември 2021 г. ниво червено, според тогавашните съобщения между другото защото уязвимостта се е експлоатирала тривиално и вече са били известни компрометирания. През януари 2022 г. предупреждението според Бундестага беше понижено до жълто.
Точното обосновка за оранжево при PHP2Shell знае само BSI. Видими разлики са ситуацията с потвърдените атаки и фактът, че за всички поддържани PHP клонове има готова актуализация. Подробно сравнение предлага статията PHP2Shell и Log4Shell. Оранжевото при това не е успокоение. Препоръката при нужда сървърите да бъдат изключени от мрежата е за една институция ясно послание.
Нивото на предупреждение може да се промени, в двете посоки. Меродавно е актуалното състояние на уебсайта на BSI, не вестникарска статия от предния ден.
Какво оранжевото не означава
Три недоразумения срещаме в момента често:
- „Оранжево значи, че сме хакнати.“ Не. Нивото описва заплахата, не находка във Вашите системи.
- „Оранжевото важи само за институции.“ Не. Предупрежденията са адресирани до всички оператори на засегнати системи, също и до малки фирми.
- „Ако имаме Cloudflare или WAF, оранжевото не ни засяга.“ Не. Правилата за защита намаляват риска, но не заместват актуализацията на PHP.
Дали от предупреждението произтичат правни задължения, например в рамките на NIS2, зависи от Вашия отрасъл и размер. Това не е правна консултация; изяснете подробностите с Вашата правна консултация или с отговорника по защита на данните.
Как да превърнете оценката в решения
Едно ниво на предупреждение струва толкова, колкото решенията, които следват от него. За PHP2Shell препоръчваме на фирмите този ред:
- Изяснете засегнатостта: Кои сървъри и уебсайтове работят с PHP, кой ги поддържа?
- Докажете състоянието на пача: поправена версия 8.5.12, 8.4.27, 8.3.36 или 8.2.35, или backport, потвърден от доставчика.
- Осигурете рестарт: Всички PHP процеси трябва да са рестартирани.
- Ако това не е възможно веднага: Задайте временни мерки или изключете сървъра временно от мрежата, както препоръчва BSI. Възможностите описва Незабавни мерки без пач.
- Проверете следите и запазете логовете: от 20 октомври.
- Документирайте решенията: кой какво кога е решил и на каква основа.
Именно последната точка се подценява. Който е действал проследимо при официално предупреждение от ниво оранжево, стои по-добре пред застрахователи, клиенти и надзорни органи. Основни сведения дава страницата за отговорността на управителя.
Как помага PHP SOS конкретно?
- Ситуацията за Вашата фирма: Превеждаме оценката на BSI в списък на засегнатите Ви системи с приоритет.
- Изпълнение на препоръката: Пачваме, рестартираме или задаваме временни мерки, докато актуализацията стане възможна.
- Доказателство: Получавате документация какво кога е станало на кой сървър.
- Наблюдение: Ако BSI промени оценката или излязат нови съобщения, ги оценяваме за Вашите системи.
Повече на Спешна помощ при PHP2Shell.
Заключение
Нивото на предупреждение оранжево е второто по височина ниво на BSI и за PHP2Shell е добре обосновано. То не изисква паника, но изисква решение в същия ден: пач, рестарт, проверка или временно изключване. Който документира това, е прочел предупреждението правилно.
Често задавани въпроси
Колко нива на предупреждение има BSI?
Предупрежденията за киберсигурност на BSI ползват четири нива: 1 / сиво, 2 / жълто, 3 / оранжево и 4 / червено. Оранжевото е второто по височина ниво и описава критична за бизнеса ситуация със заплаха за ИТ, с масивно затруднение на нормалната дейност.
Задължение за действие ли е ниво на предупреждение оранжево?
Самото предупреждение е експертна оценка с препоръки за действие. Какви задължения произтичат от него за Вашата фирма, например от NIS2, от договори или от условия на застраховка, зависи от конкретния случай. Изяснете това с Вашата правна консултация; това не е правна консултация.
Защо PHP2Shell не е на ниво червено?
Основанията за оценка определя самата BSI. Забелязва се разлика спрямо Log4Shell, която през 2021 г. получи червено: там според тогавашните съобщения вече са били известни компрометирания. При PHP2Shell потвърдени успешни атаки в голям мащаб според BSI първоначално не са били известни.
Може ли нивото на предупреждение да се промени?
Да. BSI приспособява оценките към ситуацията, нагоре и надолу. Log4Shell например според Бундестага през януари 2022 г. беше понижена от червено на жълто. Проверете актуалното състояние директно при BSI.