Lyhyesti: BSI:n (Saksan liittovaltion tietoturvavirasto) oranssi varoitustaso on toiseksi korkein neljästä tasosta. Se tarkoittaa: IT-uhkatilanne on liiketoimintakriittinen, ja normaalitoiminta voi häiriintyä massiivisesti. PHP2Shellille BSI on antanut tason 3 ja suosittelee välitöntä päivitystä tai, jos se ei onnistu, alttiiden verkkopalvelinten väliaikaista ottamista pois verkosta. Yrityksille oranssi tarkoittaa: asia kuuluu tänään johdon pöydälle.
Mitä luokitus tarkoittaa päättäjille
Monet toimitusjohtajat ovat kuulleet uutisissa ”oranssista varoitustasosta” tietämättä, miten sen pitäisi ymmärtää. Onko se hälytys kaikille vai IT-osaston asia? Lyhyt vastaus: oranssi on taso, jolla BSI olettaa, että kohteena olevat riskeeraavat liiketoimintansa vakavat häiriöt, jos eivät toimi nopeasti.
Hessenschaun mukaan BSI puhui PHP2Shellin kohdalla poikkeuksellisen suuresta uhkapotentiaalista. Se odotti nopeaa, laajamittaista hyväksikäyttöä. Vahvistettuja onnistuneita hyökkäyksiä laajasti ei BSI:n mukaan ollut tiedossa varoituksen hetkellä. Molemmat kuuluvat yhteen: korkea taso kuvaa riskiä, ei jo tapahtunutta vahinkoa.
BSI:n oranssi varoitustaso ja kolme muuta tasoa
BSI luokittelee kyberturvallisuusvaroituksensa asteikolla 1–4. Seuraava taulukko toistaa merkityksen sisällöltään:
| Taso | Väri | Merkitys (sisällöltään) |
|---|---|---|
| 1 | Harmaa | IT-uhkatilanne ilman merkittäviä poikkeamia |
| 2 | Keltainen | poikkeamien tehostettu seuranta, normaalitoiminta ajoittain häiriintynyt |
| 3 | Oranssi | liiketoimintakriittinen tilanne, normaalitoiminnan massiivinen häiriintyminen |
| 4 | Punainen | äärimmäisen kriittinen tilanne, normaalitoimintaa ei voida ylläpitää monilla alueilla |
Taso kertoo tilanteesta kokonaisuutena, ei yksittäisestä palvelimestanne. Täysin päivitetty ja tarkistettu verkkopalvelin on hyvässä asemassa myös oranssilla tasolla. Päivittämätön palvelin, jossa on PHP 8.1 ja mod_php, on vaarassa myös matalammalla tasolla.
Miten käytätte asteikkoa sisäisesti
Monilla yrityksillä on omat hätätasonsa, esimerkiksi hätäkäsikirjassa tai tietoturvallisuuden johtamisjärjestelmän puitteissa. Kannattaa liittää BSI:n tasot niihin kiinteästi. Yksinkertainen sääntö voi olla: keltaisella IT tarkistaa normaalin toiminnan puitteissa. Oranssilla johdolle ilmoitetaan samana päivänä, vastuuhenkilö nimetään ja kaikkien alttiiden järjestelmien tila kartoitetaan kirjallisesti. Punaisella kriisiryhmä kokoontuu.
Näin uutisesta tulee harjoiteltu reaktio. Joka on määritellyt kytkennän etukäteen, ei hätätilanteessa joudu keskustelemaan siitä, onko tilanne ”tarpeeksi vakava”. PHP2Shellin kohdalla tämä sääntö olisi tarkoittanut: jo 21. lokakuuta kartoitus, päivityssuunnitelma ja päätös sulkemisista.
Itse varoitukset BSI julkaisee verkkosivustollaan, ja niitä päivitetään siellä uusien tietojen myötä. Kannattaa lukea kulloinkin ajantasainen versio, sillä suositukset ja arviot voivat muuttua tilanteen edetessä.
Miksi PHP2Shell on oranssi eikä punainen
Vertailukohtana käytetään usein Log4Shelliä. Java-kirjasto Log4j:n haavoittuvuudelle BSI julisti joulukuussa 2021 tason punainen, silloisten raporttien mukaan muun muassa siksi, että haavoittuvuutta oli triviaalia hyödyntää ja vaarantumisia tiedettiin jo. Tammikuussa 2022 varoitus alennettiin liittopäivien mukaan keltaiseksi.
Tarkan perustelun PHP2Shellin oranssille tunnistaa vain BSI. Havaittavia eroja ovat vahvistettuja hyökkäyksiä koskeva tilanne ja se, että kaikille tuetuille PHP-haaroille on päivitys saatavilla. Yksityiskohtaisen vertailun tarjoaa artikkeli PHP2Shell ja Log4Shell. Oranssi ei silti ole hälytyksen purku. Suositus ottaa palvelimet tarvittaessa pois verkosta on viranomaiselta selvä viesti.
Varoitustaso voi muuttua, kumpaankin suuntaan. Ratkaiseva on BSI:n verkkosivuston ajantasainen tilanne, ei edellisen päivän sanomalehtiartikkeli.
Mitä oranssi ei tarkoita
Kolme väärinkäsitystä kohtaamme tällä hetkellä usein:
- ”Oranssi tarkoittaa, että meidät on murrettu.” Ei. Taso kuvaa uhkatilannetta, ei löydöstä järjestelmistänne.
- ”Oranssi koskee vain viranomaisia.” Ei. Varoitukset on osoitettu kaikille alttiiden järjestelmien ylläpitäjille, myös pienille yrityksille.
- ”Jos meillä on Cloudflare tai WAF, oranssi ei koske meitä.” Ei. Suojasäännöt vähentävät riskiä mutta eivät korvaa PHP-päivitystä.
Se, seuraako varoituksesta oikeudellisia velvoitteita, esimerkiksi NIS2:n puitteissa, riippuu toimialastanne ja koostanne. Tämä ei ole oikeudellista neuvontaa; selvittäkää yksityiskohdat oikeudellisen neuvonantajanne tai tietosuojavastaavanne kanssa.
Luokituksen muuttaminen päätöksiksi
Varoitustaso on yhtä arvokas kuin päätökset, jotka siitä seuraavat. PHP2Shellin kohdalla suosittelemme yrityksille tätä järjestystä:
- Selvittäkää alttius: Mitkä palvelimet ja verkkosivustot käyttävät PHP:tä, kuka niitä ylläpitää?
- Todistakaa korjaustila: korjattu versio 8.5.12, 8.4.27, 8.3.36 tai 8.2.35 tai palveluntarjoajan vahvistama backport.
- Varmistakaa uudelleenkäynnistys: Kaikki PHP-prosessit on käynnistettävä uudelleen.
- Jos se ei onnistu heti: ottakaa käyttöön väliaikaistoimet tai ottakaa palvelin väliaikaisesti pois verkosta, kuten BSI suosittelee. Vaihtoehdot kuvaa Pikatoimet ilman päivitystä.
- Tarkistakaa jäljet ja tallentakaa lokit: 20. lokakuuta alkaen.
- Dokumentoikaa päätökset: kuka päätti mitä ja milloin, ja millä perusteella.
Juuri viimeinen kohta aliarvioidaan. Joka on toiminut ymmärrettävästi virallisen oranssin tason varoituksen yhteydessä, on paremmassa asemassa vakuuttajiin, asiakkaisiin ja valvontaviranomaisiin nähden. Taustaa antaa sivu johdon vastuusta.
Miten PHP SOS auttaa konkreettisesti?
- Tilanne yrityksellenne: Muutamme BSI:n luokituksen luetteloksi alttiista järjestelmistänne tärkeysjärjestyksessä.
- Suosituksen toteuttaminen: Päivitämme, käynnistämme uudelleen tai otamme käyttöön väliaikaistoimet, kunnes päivitys on mahdollinen.
- Todiste: Saatte dokumentaation siitä, mitä millä palvelimella tehtiin ja milloin.
- Seuranta: Jos BSI muuttaa luokitusta tai uusia ilmoituksia tulee, arvioimme ne järjestelmiänne varten.
Lisää kohdassa PHP2Shell-pikaapu.
Yhteenveto
Oranssi varoitustaso on BSI:n toiseksi korkein taso, ja PHP2Shellille se on hyvin perusteltu. Se ei vaadi paniikkia mutta vaatii päätöksen samana päivänä: päivittäminen, uudelleenkäynnistys, tarkistus tai väliaikainen sulkeminen. Joka dokumentoi tämän, on lukenut varoituksen oikein.
Usein kysytyt kysymykset
Kuinka monta varoitustasoa BSI:llä on?
BSI:n kyberturvallisuusvaroituksissa on neljä tasoa: 1 / harmaa, 2 / keltainen, 3 / oranssi ja 4 / punainen. Oranssi on toiseksi korkein taso, ja se kuvaa liiketoimintakriittistä IT-uhkatilannetta, jossa normaalitoiminta häiriintyy massiivisesti.
Onko oranssi varoitustaso velvoite toimia?
Varoitus itsessään on asiantuntija-arvio toimintasuosituksineen. Mitä velvoitteita siitä yrityksellenne seuraa, esimerkiksi NIS2:n, sopimusten tai vakuutusehtojen perusteella, riippuu yksittäisestä tapauksesta. Selvittäkää asia oikeudellisen neuvonantajanne kanssa; tämä ei ole oikeudellista neuvontaa.
Miksi PHP2Shell ei ole tasolla punainen?
Luokituksen perusteet määrittää BSI itse. Huomionarvoinen ero on Log4Shell, joka sai punaisen vuonna 2021: silloisten raporttien mukaan siinä tiedettiin jo vaarantumisia. PHP2Shellin kohdalla vahvistetut onnistuneet hyökkäykset laajasti eivät olleet BSI:n mukaan aluksi tiedossa.
Voiko varoitustaso muuttua?
Kyllä. BSI mukauttaa luokituksia tilanteen mukaan, ylös ja alas. Log4Shell alennettiin esimerkiksi liittopäivien mukaan tammikuussa 2022 punaisesta keltaiseksi. Tarkistakaa ajantasainen tilanne suoraan BSI:ltä.