Lühidalt: CIS-võrdlusalus veebiserverile annab konkreetsed, versioonitäpsed sätted operatsioonisüsteemile ja veebiserverile, näiteks Ubuntu, Debiani, RHEL-i, Nginxi või Apache'i jaoks. BSI (Saksamaa föderaalne infoturbeamet) IT-Grundschutz moodulid kirjeldavad lisaks, millised nõuded kehtivad veebiserveritele, veebirakendustele, paikamishaldusele ja logimisele. Koos annavad need kontrollitava kõvendusnõude; PHP-spetsiifilised sätted täiendate ise.
Miks „hästi seadistatud“ ei ole mõõdupuu
Pärast intsidenti esitavad juhtkond, kindlustaja või audiitor varem või hiljem sama küsimuse: millise standardi järgi oli server seadistatud? Ausalt vastus paljudes ettevõtetes: administraatori parima teadmise järgi, kes selle toona üles seadis. See ei ole tingimata halb, kuid see ei ole ei jälgitav ega korratav.
PHP2Shell on seda nähtavaks teinud. Kes tahtis teada, millised serverid on mõjutatud, milline PHP töörežiim töötab ja millal viimati paigati, pidi paljudes kohtades kõigepealt otsima. Kõvendusstandard ei asenda uuendust, kuid loob just selle korra: kindlaksmääratud sätted, inventuur ja regulaarsed kontrollid.
Kaks teost on selleks end tõestanud: Center for Internet Security CIS-võrdlusalused ja BSI IT-Grundschutz.
Mida CIS-võrdlusalus veebiserverile sisaldab
CIS-võrdlusalused on konsensusel põhinevad konfiguratsioonisoovitused, mille töötavad ühiselt välja paljude organisatsioonide spetsialistid. CIS-i andmetel on need olemas rohkem kui 25 tooteperele. PHP-veebiserverite jaoks on olulisemad: Ubuntu Linux, Debian Linux ja Red Hat Enterprise Linux operatsioonisüsteemi jaoks ning Apache HTTP Server 2.4 ja NGINX veebiserveri jaoks.
Iga võrdlusalus on üksikute soovituste nimekiri koos põhjenduse, kontrolljuhise ja parandusega. Paljud võrdlusalused eristavad põhiprofiili, mida saab rakendada ilma suuremate kõrvalmõjudeta, ja rangemat profiili suurema kaitsevajaduse jaoks. Automaatseks kontrolliks pakub CIS tööriistu, võrdlusaluste keskkonnas nimega CIS-CAT.
Eelis on täpsus: „SSH kaitsmise“ asemel on seal öeldud, milline säte peaks olema milline väärtus ja kuidas seda kontrollida. Puudus on maht. Täielik võrdlusalus Linuxi süsteemile sisaldab väga palju punkte ja kõik ei sobi igale tegevusele.
Pöörake tähelepanu ka versioonile. Võrdlusalused kehtivad igaüks kindlatele väljalasetele: CIS-i ülevaates on näiteks eraldi väljaanded Ubuntu LTS-versioonidele kuni 26.04, Debianile 9 kuni 13 ning RHEL-ile 8, 9 ja 10. Kes rakendab vanema versiooni võrdlusalust uuele süsteemile, kontrollib osaliselt sätteid, mida seal enam ei ole, ja jätab uued märkamata. Kui serveris töötab veel operatsioonisüsteem ilma tootja toeta, on see ise juba kõige olulisem leid.
Sobivad BSI moodulid PHP-veebiserverile
BSI IT-Grundschutz töötab moodulitega, mis kirjeldavad nõudeid süsteemidele ja protsessidele. Praegu kehtib IT-Grundschutz-Kompendium 2023. aasta väljaandes. BSI ehitab IT-Grundschutzi praegu ümber protsessikesksemaks, masinloetavaks reeglistikuks; senine kompendium jääb BSI andmetel mitmeaastase üleminekuaja jooksul rakendatavaks.
PHP-veebiserveri jaoks on olulisimad need moodulid:
| Moodul | Sisu | Seos PHP-veebiserveriga |
|---|---|---|
| APP.3.2 Webserver | Veebiserveri töö ja konfiguratsioon | Nginx, Apache, LiteSpeed |
| APP.3.1 Webanwendungen und Webservices | Nõuded rakendusele | CMS, pood, oma PHP-tarkvara |
| SYS.1.3 Server unter Linux und Unix | Operatsioonisüsteemi kõvendamine | iga Linuxi veebiserveri alus |
| OPS.1.1.3 Patch- und Änderungsmanagement | uuenduste reguleeritud paigaldamine | PHP uuendused, taaskäivitused, tõend |
| OPS.1.1.5 Protokollierung | sündmuste kogumine ja hindamine | juurdepääsu- ja vealogid |
| CON.3 Datensicherungskonzept | varukoopiad ja taastamine | koodi ja andmebaasi varundamine |
| CON.10 Entwicklung von Webanwendungen | turvaline arendus | oma PHP-projektid |
Grundschutz on vähem konkreetne kui CIS-võrdlusalus, kuid katab protsessid, mida ei ole üheski konfiguratsioonifailis: kes paikab, kes kontrollib, keda teavitatakse.
CIS või BSI: mis sobib teie ettevõttele?
Valik sõltub vähem tehnikast kui keskkonnast. Rusikareegel:
- Tehniline alus üksikutele serveritele: CIS-võrdlusalus operatsioonisüsteemile ja veebiserverile, täiendatud oma PHP nõudega.
- Avalik haldus, Grundschutz-seosega tellijad, reguleeritud valdkonnad: IT-Grundschutz raamistikuna, CIS-võrdlusalused konkreetseks elluviimiseks.
- Ettevõtted ISO 27001 või TISAX-iga: Mõlemad teosed sobivad oma suuniste tehniliseks toeks, vt ISO 27001 ja TISAX: mida veebiserver puudutab.
- Ettevõtted, mis kuuluvad NIS2 alla: Dokumenteeritud kõvendusstandard aitab tõendada asjakohaseid meetmeid. Mida direktiiv nõuab, võtab kokku NIS2 ja veebiserveri turvalisus; üksikjuhul otsustab teie õigusnõustaja.
PHP enda jaoks peaksite serveri nõudeid täiendama: php.ini lukustatud väärtused, eraldi FPM-poolid, ei mingit käivitamist üleslaadimiskaustades. Hea aluse pakub juhend php.ini turvaline seadistamine.
Kuue sammuga oma kõvendusnõudeni
Standard on kasulik ainult siis, kui see jõuab igapäevatöösse. End on tõestanud see lähenemine:
- Looge inventuur: Millised serverid, operatsioonisüsteemid, veebiserverid ja PHP versioonid töötavad kus?
- Valige võrdlusalus ja moodulid, sobivalt versioonile ja kaitsevajadusele.
- Kontrollige tegelikku seisu, võimaluse korral automatiseeritult, ja koguge kõrvalekalded.
- Hinnake kõrvalekaldeid: rakendada, teadlikult aktsepteerida või kompenseerida muude meetmetega, igal juhul põhjendusega.
- Fikseerige nõue, ideaalis konfiguratsiooni automatiseerimisena, et uued serverid oleksid algusest peale kõvendatud.
- Kontrollige regulaarselt ja pärast suuremaid uuendusi uuesti, sest uued paketid toovad vahel kaasa uusi vaikeväärtusi.
Samm 6 seob kõvendamise paikamisprotsessiga. Kuidas uuendusi planeeritult, mitte kiirustades paigaldada, kirjeldab Paikamishaldus protsessina, mitte tulekustutusena.
Testige rangeid profiile esmalt staging-süsteemis. Mõned soovitused, näiteks failisüsteemide või võrguteenuste kohta, võivad rakendusi või kaugligipääsu katkestada.
Kuidas PHP SOS konkreetselt aitab?
- Me kaardistame teie veebiserverid ja seome igaühega sobiva CIS-võrdlusaluse ja asjakohased Grundschutz-moodulid.
- Me kontrollime tegelikku seisu ja anname prioriteetidega kõrvalekallete nimekirja koos töömahu ja kasuga.
- Me täiendame nõuet PHP baasiga php.ini, FPM-poolide ja failiõiguste jaoks.
- Me dokumenteerime teadlikud erandid nii, et audiitorid ja kindlustajad saavad neid jälgida.
Elluviimise teeme PHP veebiserverite kõvendamise raames.
Korduma kippuvad küsimused
Kas pean rakendama iga CIS-võrdlusaluse soovituse?
Ei. Võrdlusalused on mõõdupuu, mitte seadus. Mõned soovitused ei sobi teie tegevusega või häiriksid funktsioone. Oluline on kõrvalekalded teadlikult otsustada, põhjendada ja dokumenteerida.
Kas CIS-võrdlusalused ja IT-Grundschutz on konkurendid?
Pigem täiendused. CIS-võrdlusalused pakuvad konkreetseid sätteid toote ja versiooni kaupa. IT-Grundschutz kirjeldab nõudeid süsteemidele ja protsessidele, näiteks paikamishaldus ja logimine, ning seob need juhtimissüsteemiga.
Kas on olemas kõvendusstandard spetsiaalselt PHP jaoks?
PHP sätted sisalduvad levinud serverstandardites tavaliselt vaid kõrvalt. Praktikas täiendatakse serveri nõudeid oma PHP baasiga, näiteks php.ini, FPM-poolide ja failiõiguste jaoks, ning rakenduse osas toetutakse veebirakenduste moodulitele.
Kas CIS-võrdlusalus oleks PHP2Shelli ära hoidnud?
Ei. PHP2Shell on augud PHP interpretaatoris, mille vastu aitab ainult uuendus. Kõvendatud server võib aga sissemurdmise tagajärgi piirata ja reguleeritud paikamishaldus tagab, et uuendused paigaldatakse kiiremini ja tõendatavalt.
Kas IT-Grundschutz on väikeettevõtetele liiga suur?
Täieliku juhtimissüsteemina sageli jah. Üksikuid mooduleid saab aga hästi kasutada veebiserverite ja veebirakenduste kontrollnimekirjana, ilma et peaks kogu lähenemist üle võtma.