Stručně: Oranžový výstražný stupeň BSI (německý Spolkový úřad pro informační bezpečnost) je druhý nejvyšší ze čtyř stupňů. Znamená: Situace IT hrozeb je kritická pro provoz, běžný provoz může být masivně narušen. Pro PHP2Shell přidělilo BSI tento stupeň 3 a doporučuje okamžitou aktualizaci nebo, pokud to nejde, dočasné odpojení postižených webových serverů od sítě. Pro firmy znamená oranžový stupeň: Téma patří ještě dnes na stůl vedení.
Co zařazení znamená pro rozhodující osoby
Mnoho jednatelů slyšelo ve zprávách o „oranžovém výstražném stupni“, aniž by vědělo, jak to zařadit. Je to poplach pro všechny, nebo téma pro IT oddělení? Krátká odpověď: Oranžový je stupeň, u kterého BSI vychází z toho, že dotčeným bez rychlého jednání hrozí vážné poruchy jejich podnikání.
Podle hessenschau mluvilo BSI u PHP2Shell o mimořádném potenciálu hrozby. Počítalo s rychlým a plošným zneužíváním. Potvrzené úspěšné útoky v širokém měřítku nebyly v době varování podle BSI známy. Obojí k sobě patří: Vysoký stupeň popisuje riziko, ne již nastalou škodu.
Výstražný stupeň BSI oranžový a další tři stupně
BSI řadí svá kybernetická bezpečnostní varování na stupnici od 1 do 4. Následující tabulka význam vyjadřuje volně:
| Stupeň | Barva | Význam (volně) |
|---|---|---|
| 1 | šedá | situace IT hrozeb bez podstatných nápadností |
| 2 | žlutá | zvýšené sledování nápadností, běžný provoz zčásti narušen |
| 3 | oranžová | situace kritická pro provoz, masivní narušení běžného provozu |
| 4 | červená | mimořádně kritická situace, běžný provoz v mnoha oblastech nelze udržet |
Stupeň vypovídá o situaci jako celku, ne o vašem jednotlivém serveru. Plně záplatovaný a zkontrolovaný webový server je v dobré pozici i při oranžové. Nezáplatovaný server s PHP 8.1 a mod_php je ohrožen i při nižším stupni.
Jak stupnici využít uvnitř firmy
Mnoho firem má vlastní nouzové stupně, například v nouzové příručce nebo v rámci řízení informační bezpečnosti. Vyplatí se stupně BSI tam pevně přiřadit. Jednoduché pravidlo může znít: Při žluté kontroluje IT v rámci běžného provozu. Při oranžové je vedení informováno téhož dne, je určena odpovědná osoba a písemně je zjištěn stav všech dotčených systémů. Při červené se schází krizový štáb.
Tak se ze zprávy stane nacvičená reakce. Kdo přiřazení stanovil předem, nemusí v ostrém případě diskutovat, zda je situace „dost vážná“. U PHP2Shell by toto pravidlo znamenalo: ještě 21. října soupis, plán záplat a rozhodnutí o odstavení.
Samotná varování BSI zveřejňuje na svém webu, kde je při nových poznatcích také aktualizuje. Vyplatí se číst vždy aktuální znění, protože doporučení a posouzení se mohou v průběhu situace měnit.
Proč je PHP2Shell oranžové a ne červené
Pro srovnání se často používá Log4Shell. Pro zranitelnost v javové knihovně Log4j vyhlásilo BSI v prosinci 2021 stupeň červený, podle dobových zpráv mimo jiné proto, že zranitelnost šlo triviálně zneužít a napadení už byla známa. V lednu 2022 bylo varování podle Spolkového sněmu (Bundestag) sníženo na žlutý stupeň.
Přesné odůvodnění oranžového stupně u PHP2Shell zná jen BSI. Rozpoznatelnými rozdíly jsou situace u potvrzených útoků a skutečnost, že pro všechny podporované větve PHP je k dispozici aktualizace. Podrobné srovnání nabízí článek PHP2Shell a Log4Shell. Oranžový stupeň přitom není uklidněním. Doporučení v nouzi odpojit servery od sítě je pro úřad jasným sdělením.
Výstražný stupeň se může měnit, oběma směry. Rozhodující je aktuální stav na webu BSI, ne novinový článek ze včerejška.
Co oranžový stupeň neznamená
Setkáváme se nyní často se třemi nedorozuměními:
- „Oranžový znamená, že jsme napadeni.“ Ne. Stupeň popisuje situaci hrozeb, ne nález na vašich systémech.
- „Oranžový platí jen pro úřady.“ Ne. Varování míří na všechny provozovatele postižených systémů, i na malé firmy.
- „Když máme Cloudflare nebo WAF, oranžový stupeň se nás netýká.“ Ne. Ochranná pravidla riziko snižují, ale aktualizaci PHP nenahrazují.
Zda z varování plynou právní povinnosti, například v rámci NIS2, závisí na vašem odvětví a velikosti. Nejde o právní poradenství; podrobnosti vyjasněte se svým právním poradenstvím nebo pověřencem pro ochranu osobních údajů.
Zařazení převést do rozhodnutí
Výstražný stupeň má takovou cenu, jakou mají rozhodnutí, která z něj plynou. Pro PHP2Shell firmám doporučujeme toto pořadí:
- Vyjasnit dotčenost: Které servery a weby běží s PHP, kdo je provozuje?
- Doložit stav záplat: opravená verze 8.5.12, 8.4.27, 8.3.36 nebo 8.2.35, nebo backport potvrzený poskytovatelem.
- Zajistit restart: Všechny procesy PHP musí být restartovány.
- Pokud to nejde hned: Nastavit přechodná opatření nebo server dočasně odpojit od sítě, jak doporučuje BSI. Možnosti popisuje Okamžitá opatření bez záplaty.
- Zkontrolovat stopy a zajistit logy: od 20. října.
- Zdokumentovat rozhodnutí: kdo co kdy rozhodl a na jakém základě.
Právě poslední bod se podceňuje. Kdo při oficiálním varování stupně oranžový jednal srozumitelně, stojí vůči pojišťovnám, zákazníkům a dozorovým orgánům lépe. Souvislosti přináší stránka o odpovědnosti vedení.
Jak konkrétně pomáhá PHP SOS?
- Situace pro vaši firmu: Zařazení BSI převádíme do seznamu vašich dotčených systémů s prioritou.
- Provedení doporučení: Záplatujeme, restartujeme nebo nastavujeme přechodná opatření, dokud není aktualizace možná.
- Doklad: Dostanete dokumentaci, co se kdy na kterém serveru stalo.
- Sledování: Pokud BSI zařazení změní nebo přijdou nové zprávy, zařadíme je pro vaše systémy.
Více na stránce okamžitá pomoc při PHP2Shell.
Závěr
Oranžový výstražný stupeň je druhý nejvyšší stupeň BSI a u PHP2Shell je dobře odůvodněn. Nevyžaduje paniku, ale rozhodnutí téhož dne: záplatovat, restartovat, zkontrolovat, nebo dočasně odstavit. Kdo to zdokumentuje, varování správně přečetl.
Časté dotazy
Kolik výstražných stupňů BSI má?
Kybernetická bezpečnostní varování BSI používají čtyři stupně: 1 / šedý, 2 / žlutý, 3 / oranžový a 4 / červený. Oranžový je druhý nejvyšší stupeň a popisuje situaci IT hrozeb kritickou pro provoz s masivním narušením běžného provozu.
Je oranžový výstražný stupeň povinností jednat?
Samotné varování je odborné posouzení s doporučeními postupu. Jaké povinnosti z něj pro vaši firmu plynou, například z NIS2, smluv nebo pojistných podmínek, závisí na konkrétním případu. Vyjasněte to s právním poradenstvím; nejde o právní poradenství.
Proč PHP2Shell není stupeň červený?
Důvody zařazení stanoví samo BSI. Nápadný je rozdíl oproti Log4Shell, které v roce 2021 dostalo červený stupeň: tehdy byla podle dobových zpráv již známa napadení. U PHP2Shell nebyly potvrzené úspěšné útoky v širokém měřítku podle BSI zpočátku známy.
Může se výstražný stupeň změnit?
Ano. BSI zařazení přizpůsobuje situaci, nahoru i dolů. Log4Shell bylo například podle Spolkového sněmu (Bundestag) v lednu 2022 sníženo z červeného na žlutý stupeň. Aktuální stav ověřte přímo u BSI.