Lühidalt: Haavatavuste haldus keskmise suurusega ettevõtetes ja VKE-des on lihtne korduv ring: tunda oma süsteeme, jälgida teateid sihipäraselt, hinnata riski järgi, otsustada, ellu viia ja tõendada. Otsustavad ei ole kallid tööriistad, vaid selged vastutusalad ja prioriseerimine, mis arvestab ligipääsetavust, andmeid ja rünnakuolukorda. PHP2Shell on hea harjutusnäide, sest selles esinevad kõik sammud.
Sadu teateid, vähe personali
Igal nädalal avaldatakse uusi turvauke operatsioonisüsteemides, programmeerimiskeeltes, rakendustes ja pistikprogrammides. Kontsernil on selleks meeskond. Keskmise suurusega ettevõttel on sageli IT-juht, üks või kaks administraatorit ja mitu välist teenusepakkujat. Keegi ei jõua kõiki teateid lugeda ja seda ei peagi.
Vaja on filtrit: millised teated puudutavad meie süsteeme, millised neist on kiireloomulised ja kes nendega tegeleb? Kui see filter puudub, juhtub üks kahest. Kas ignoreeritakse kõike, kuni midagi juhtub, või iga teade tekitab ärevust ja tõeliselt kriitiline läheb müras kaduma.
Haavatavuste halduse ring
Vastupidava protsessi VKE jaoks võib kirjeldada kuues sammus:
- Registreerida, mis töötab. Ilma inventarita pole võrdlust. Milliseid veebisaite, servereid, PHP versioone ja rakendusi te kasutate ja kus? Kuidas see õnnestub, näitab artikkel Teadke, mis töötab: kõigi veebisaitide ja serverite inventar.
- Jälgida teateid. Tellida vähe, kuid usaldusväärseid allikaid: BSI (Saksamaa föderaalne infoturbeamet) hoiatused, teie tarkvaratootjate teated, teie Linuxi distributsiooni turvalehed ja PHP puhul php.net-i avaleht.
- Hinnata. Kas teade puudutab meid? Kui jah, kui kiireloomuline see on? Sellest allpool lähemalt.
- Otsustada. Kõrvaldada, ajutiselt kaitsta, süsteem isoleerida või risk teadlikult kanda. Kes tohib mida otsustada?
- Ellu viia. Paigaldada uuendus, rakendada üleminekumeede, tellida teenusepakkuja.
- Tõendada ja järgi hoida. Kas turvaauk on tõesti suletud? Millal üleminekulahendus välja vahetatakse?
Seejärel algab ring otsast peale. Lisandub uusi süsteeme, vanu kaob ja ilmub uusi teateid.
- sammu jaoks aitab lihtne reegel: parem lugeda regulaarselt vähe allikaid kui juhuslikult paljusid. Tüüpilise keskmise suurusega ettevõtte veebikeskkonna jaoks piisab tavaliselt CERT-Bundi (Saksamaa föderaalvalitsuse CERT) hoiatustest BSI juures, kasutatava Linuxi distributsiooni turvateadetest, CMS-i ja poesüsteemide tootjate lehtedest ning php.net-i avalehest. Määrake kindlaks, kes neid allikaid loeb, ja looge selleks ühine postkast või kanal, mis ei sõltu ühest inimesest.
Täiendavalt tasub vaadata väljastpoolt. Avalikult ligipääsetavate süsteemide korrapärane haavatavuste skannimine näitab, kas on nähtaval vananenud tarkvara või tarbetult avatud teenuseid. See ei asenda inventari ega uuendusi, kuid toob esile süsteemid, mida ühegi nimekirja peal ei ole.
Hindamine: mis tuleb esimesena
CVSS-väärtus, turvaaugu tõsiduse standardiseeritud hinnang, on hea lähtepunkt. Oma ettevõtte järjekorra jaoks sellest siiski ei piisa. Otsustavad veel kolm küsimust:
| Küsimus | Suurendab kiireloomulisust | Vähendab kiireloomulisust |
|---|---|---|
| Kas süsteem on internetist ligipääsetav? | avalik veebisait, pood, portaal | ainult sisemine, VPN-i taga |
| Kas ärakasutamiseks on vaja sisse logida? | ei, autentimata | jah, ainult administraatoritele |
| Milliseid andmeid süsteem töötleb? | kliendiandmed, maksed, ligipääsud | avalik sisu ilma kontodeta |
| Kas rünnakutest on teatatud? | rünnakukatsed teatatud | teadaolevaid katseid ei ole |
| Kas on olemas üleminekumeede? | ei | jah, tõendatud mõjuga |
PHP2Shell näitab, kuidas need tegurid koos toimivad. Mõlema turvaauk CVSS v4.0 väärtus on 9,2, need võimaldavad koodi käivitamist ilma sisselogimiseta ja puudutavad avalikult ligipääsetavaid veebiservereid. Cloudflare ja Patchstack teatasid meedia andmetel rünnakukatsetest, BSI liigitas olukorra hoiatustasemele 3. php.net-i üleminekumeetmed ei paku sõnaselgelt täielikku kaitset. Kõik küsimused osutavad samas suunas: tegutseda kohe. Mida BSI täpselt soovitas, leiate lehelt Mida BSI PHP2Shelli kohta soovitab.
Otsustamine ja dokumenteerimine
Kõiki turvauke ei saa kohe sulgeda. Vanem süsteem töötab PHP 8.1 peal, millele ametlikke uuendusi enam ei ole (vt PHP 8.1 ja vanem: mis nüüd kehtib), erirakendus ei talu uuendust veel. Siis on vaja otsust ja see ei kuulu üksnes tehnikale.
Hea otsusemärge sisaldab mõjutatud süsteemi, turvaauku, hinnangut, valitud varianti, üleminekumeetmeid, vastutavat isikut ja tähtaega kordusülevaatuseks. Kui risk kantakse teadlikult, otsustab juhtkond, mitte administraator üksi. OWASP-i spikker haavatavate sõltuvuste käsitlemise kohta soovitab samuti riskivastuvõtu selgesõnaliselt juhtkonna tasandil kinnitada.
Pidage üht ainsat lahtiste turvaaukude nimekirja koos staatuse, vastutaja ja tähtajaga. Piisab tabelist. Oluline on, et seda vaadatakse korrapäraselt läbi, näiteks juhtkonnaga igakuisel kohtumisel.
Mis seos on NIS2-l ja teenusepakkujatel
NIS2 alla kuuluvatele ettevõtetele on turvaaukude käsitlemine osa riskijuhtimise kohustustest. Üksikasjad kirjeldab NIS2 ja veebiserveri turvalisus. Ka ilma seadusjärgse kohustuseta on dokumenteeritud protsess eelis, näiteks klientide, kindlustajate ja oma juhtkonna ees.
Paljusid samme saab välja anda, näiteks teadete jälgimist või uuenduste paigaldamist. Riskiotsused ja üldülevaade peaksid siiski jääma ettevõttesse. Kes annab kogu ringi täielikult teenusepakkujale, ei tea hädaolukorras enam, milliseid süsteeme tal üldse on. Kuidas elluviimist rutiinina korraldada, kirjeldab artikkel Paigahaldus protsessina, mitte tuletõrjena.
Kuidas PHP SOS konkreetselt aitab?
- Koostame koos teiega oma veebisaitide ja serverite inventari kui aluse igale võrdlusele.
- Jälgime teie süsteemide jaoks asjakohaseid teateid ja anname hinnangu selgete sõnadega koos soovitusega.
- Valmistame ette otsusemärkmed juhtudeks, kus uuendus ei ole kohe võimalik.
- Turvamonitooringu kaudu kontrollime pidevalt, kas süsteemid muutuvad kahtlaseks, kuni turvaauk on veel lahti.
Kokkuvõte: Haavatavuste haldus keskmise suurusega ettevõttes ei pea olema suur, kuid peab olema siduv. Kes tunneb oma süsteeme, loeb vähe häid allikaid ja fikseerib otsused, reageerib järgmisele kriitilisele teatele kiiresti ja õigesti.
Korduma kippuvad küsimused
Mis on haavatavuste haldus?
Korduv protsess, mille abil ettevõte saab teada oma süsteemide turvaaukudest, hindab neid, kõrvaldab need või võtab teadlikult riski enda kanda ning fikseerib tulemuse. Tegemist ei ole tööriistaga, vaid vastutuse ja otsustega.
Kas CVSS-väärtusest piisab prioriteetide seadmiseks?
See on hea lähtepunkt, kuid mitte piisav. Otsustav on lisaks see, kas mõjutatud süsteem on internetist ligipääsetav, milliseid andmeid see töötleb ja kas rünnakuid on juba täheldatud. Kõrge väärtusega turvaauk sisemisel testsüsteemil võib oodata, poe puhul mitte.
Kas väikeettevõte vajab selleks eraldi tööriista?
Alguses mitte. Piisab hooldatud süsteemide nimekirjast, tellitud turvateadetest ja lahtiste punktide tabelist. Haavatavuste skannerid tasuvad end ära, kui süsteemide arv kasvab või kontrolle tuleb korrapäraselt tõendada.
Kas turvaauku võib teadlikult mitte kõrvaldada?
Jah, kui risk on hinnatud, otsuse teeb vastutav juhtkond ja see on kirjalikult fikseeritud, ideaalis koos üleminekumeetmete ja kordusülevaatuse tähtajaga.