Lühidalt: Turvateadlikkus veebimeeskonna töötajatele tähendab: iga inimene, kes veebisaiti hooldab, tunneb oma rolli kolme kuni nelja riski, märkab kõrvalekaldeid ja teatab neist kiiresti ning ilma süüdistuste kartuseta. Toimetajad vajavad teistsugust sisu kui administraatorid. Lühikesed korduvad õppetunnid oma CMS-i näidetega mõjuvad paremini kui iga-aastane kohustuslik koolitus.
Miks just praegu on veebimeeskond fookuses
PHP2Shelli ümber toimunu näitas, kui palju langeb mõne päevaga veebisaitide käitajatele: BSI (Saksamaa föderaalne infoturbeamet) hoiatused, veebimajutajate teated, nõuanded foorumites ja sotsiaalvõrgustikes, nende hulgas ka valed. Sellistel nädalatel otsustavad lisaks administraatoritele ka toimetajad, turundus ja assistendid, millise kirja nad avavad ja millisele lingile klõpsavad.
Suured uudisolukorrad on kogemuse põhjal petturite jaoks põhjus. Arvestage kirjadega, mis esinevad veebimajutaja, CMS-i tootja või „IT-osakonnana“ ja nõuavad kiiret sisselogimist või väidetavat turvauuendust. Kes tunneb tegelikku olukorda, kukub sellesse harvemini. Tehnilise turvaaugu ise ei sulge ükski toimetaja, kuid varastatud administraatori ligipääs avab ukse ka ilma turvaauguta.
Turvateadlikkus töötajatele: kes vajab mida?
Kõigile samade slaididega koolitus jätab tavaliselt eesmärgi saavutamata. Mõistlikum on rollipõhine lähenemine. Järgnev ülevaade aitab planeerimisel:
| Roll | Tüüpilised riskid | Mida isik peaks oskama |
|---|---|---|
| Toimetaja, turundus | andmepüügikirjad, ebaturvalised failide üleslaadimised, jagatud ligipääsud | kontrollida saatjat, laadida üles ainult oodatud failitüüpe, mitte kunagi oma sisselogimisandmeid edasi anda |
| CMS-i administraator | tundmatust allikast pistikprogrammid, liiga palju administraatorikontosid, endiste töötajate vanad kontod | jagada õigusi napilt, kontrollida kontosid korrapäraselt, laiendused ainult kinnitusega |
| Serveri administraator | kontrollimata nõuanded internetist, muudatused ilma protokollita, unustatud testifailid | hinnata allikaid, dokumenteerida muudatusi, teada hädaabitee |
| Juhtkond | surve kiirete otsuste tegemiseks, ebaselged vastutusalad | määrata otsustusteed, võtta teateid tõsiselt, kinnitada eelarve ennetuseks |
| Väline agentuur | ühised ligipääsud, puuduvad kokkulepped | kasutada oma isiklikke kontosid, teatada muudatustest ette |
Tabel näitab ka, kus peab aitama tehnika. Isiklikud kontod ühiste ligipääsude asemel ja kaheastmeline sisselogimine kõigile kirjutusõigusega isikutele võtavad koolituselt palju survet. Kuidas see käib, selgitab artikkel Kaheastmeline sisselogimine administraatori ligipääsudele.
Mida toimetajad peavad teadma, tehnikuks saamata
Toimetajad ei pea teadma, mis on PHP tööprotsess. Kuid kolm asja peaksid nad kindlalt valdama. Esiteks: nõue end „turvaintsidendi tõttu“ uuesti sisse logida ei täideta kunagi kirjas oleva lingi kaudu, vaid harjumuspärast teed CMS-i või administraatorilt järele küsides.
Teiseks: teatada kõrvalekalletest. Siia kuuluvad tundmatud kasutajakontod kasutajate nimekirjas, lehed või postitused, mida keegi ei loonud, äkilised ümbersuunamised ja hoiatused brauseris. Toimetaja näeb veebisaiti sageli rohkem kui administraator ja märkab muutusi varem.
Kolmandaks: käsitleda üleslaadimisi teadlikult. Pildid ja PDF-id on igapäev, kuid ebatavalise laiendiga fail, arhiiv „edastamiseks“ või makrodega dokument ei kuulu CMS-i. Kui faili ei saa üles laadida, on see enamasti tahtlik, mitte viga, mida tuleks mööda minna.
Mida administraatorid lisaks vajavad
Administraatorite jaoks on vähem tegemist andmepüügiga kui otsustusvõimega ajasurve all. PHP2Shelli nädalal liikusid nõuanded, mida eriala autorid sõnaselgelt tagasi lükkavad, näiteks blokeerida kõik päringud PHPSESSID-ga. Selliste eksiteede ülevaate pakub artikkel Ohtlikud valenõuanded PHP2Shelli kohta. Head administraatorid kontrollivad enne konfiguratsiooni muutmist alati esmaallikat, see tähendab php.net-i, BSI-d või tootjat.
Siia kuulub distsipliin muudatuste juures: mida muudeti, millal ja miks, ja kuidas seda saab tagasi võtta? Lühike kirje piletis või wikis piisab. Hädaolukorras on see nimekiri kuld, sest see näitab, milline muudatus on teie oma ja milline mitte.
Lõpuks peaksid administraatorid teadma, mille järgi võimalikku sissemurdmist ära tunda ja mida siis mitte teha: mitte kustutada ärevuses, mitte kohe uuesti paigaldada, vaid kindlustada ja teatada. Tüüpilised tunnused võtab kokku artikkel Kas olen juba kompromiteeritud?.
90 päevaga valvsa veebimeeskonnani
Programm ei pea mõjumiseks suur olema. Need sammud on end tõestanud:
- Selgitada olukord (nädal 1 kuni 2): Kellel on millised ligipääsud CMS-ile, majutusele, domeenile ja serverile? Lahustada ühiskontod, blokeerida vanad kontod.
- Määrata teavitustee (nädal 2): Üks aadress või kanal teadete jaoks „mulle tundub midagi imelik“. Igale teatele vastatakse, ka siis, kui see oli kahjutu.
- Esimene lühiõppetund rolli kohta (nädal 3 kuni 4): 20 minutit, oma CMS-i näited, päris menüüde ekraanipildid.
- Kaheastmelise sisselogimise kasutuselevõtt (kuni nädalani 6): Kõigile kirjutusõigusega isikutele, hädaolukorra koodidega turvalises kohas.
- Harjutuskiri ja hindamine (nädal 8): Etteteatatud testkampaania üksikuid isikuid häbistamata. Hinnatakse, kas teatati, mitte kes klõpsas.
- Teine õppetund põhjusega (nädal 10 kuni 12): Näiteks aktuaalne turvaolukord, läbi mängitud oma süsteemil.
Mõõtke edu teadete, mitte klõpsumäärade järgi. Meeskond, kes teatab palju, on valvas. Meeskond, kes ei teata kunagi, on kas täiuslik või ebakindel, ja esimene on harv.
Kuidas PHP SOS konkreetselt aitab?
- Selgitame koos teiega, kellel millised ligipääsud on, ja näitame ühiskontosid, liigseid administraatoreid ja unustatud ligipääse.
- Peame rollipõhiseid lühiõppetunde kaugtööna, teie CMS-i ja serverikeskkonna näidetega.
- Seadistame koos teiega teavitustee ja hindame saabuvaid kahtlusteateid, kui soovite.
- Turvahoolduslepingu raames kordame õppetunde aktuaalsetel põhjustel ja kontrollime kontosid korrapäraselt.
Kokkuvõte
Turvateadlikkus veebimeeskonnas ei sünni hirmust, vaid selgusest: igaüks teab oma rolli, selle tüüpilisi riske ja teed, kuidas kõrvalekaldeid teatada. Koos isiklike kontode ja kaheastmelise sisselogimisega on see kaitse, mis peab vastu ka järgmisel kriisinädalal.
Korduma kippuvad küsimused
Kas toimetajad üldse koolitust vajavad?
Jah. Toimetajatel on ligipääs CMS-ile, nad laadivad faile üles ja saavad kirju, mis näevad välja nagu süsteemiteated. Neil ei ole vaja tehnikat mõista, kuid nad peavad ära tundma, kui miski on ebatavaline, ja teadma, kellele sellest teatada.
Kui sageli peaks veebimeeskonda koolitama?
Parem lühidalt ja korrapäraselt kui kord aastas pikalt. Hea on end tõestanud 15 kuni 20 minuti pikkused õppetunnid mõne nädala vahega, täiendatuna põhjusega, näiteks aktuaalse turvaolukorraga.
Mida teha, kui töötaja klõpsas andmepüügilingil?
Laske sellest kohe teatada, ilma süüdistuseta. Seejärel vahetada mõjutatud parool, lõpetada aktiivsed seansid ja kontrollida, kas kontoga midagi muudeti. Mida varem teade tuleb, seda väiksem on tavaliselt kahju.
Kas koolitus asendab tehnilised kaitsemeetmed?
Ei. Koolitus ja tehnika täiendavad teineteist. Kaheastmeline sisselogimine, lahutatud rollid ja ajakohane tarkvara püüavad kinni vead, mis juhtuvad ka hästi koolitatud inimestel.