Go achomair: Tugann CIS Benchmark d'fhreastalaithe gréasáin socruithe nithiúla, cruinn ó thaobh leagain, don chóras oibriúcháin agus don fhreastalaí gréasáin, mar shampla do Ubuntu, Debian, RHEL, Nginx nó Apache. Déanann bloic IT-Grundschutz an BSI (Oifig Chónaidhme na Gearmáine um Shlándáil Faisnéise) cur síos ar na riachtanais a bhaineann le freastalaithe gréasáin, feidhmchláir ghréasáin, bainistíocht paistí agus logáil. Le chéile cruthaíonn siad riail cruatúcháin inseiceáilte; cuireann tú socruithe sonracha PHP leo féin.
Cén fáth nach tomhas é „socraithe go maith“
Tar éis teagmhais cuireann an bhainistíocht, árachóirí nó iniúchóirí an cheist chéanna luath nó mall: Cén caighdeán de réir a ndearnadh an freastalaí a shocrú? Is é an freagra macánta i a lán cuideachtaí: de réir eolais is fearr an riarthóra a chuir ar bun é an uair sin. Ní drochrud é sin de dheasca, ach níl sé inrianaithe ná inathdhéanta.
Chuir PHP2Shell é sin in iúl go follasach. An té ar theastaigh uaidh a fháil amach cé na freastalaithe a raibh tionchar orthu, cén mód oibriúcháin PHP a bhí ag rith agus cathain a paistíodh go deireanach, b'éigean dó a lorg ar dtús in a lán áiteanna. Ní chuireann caighdeán cruatúcháin nuashonrú ina ionad, ach cruthaíonn sé an t-ord seo go beacht: socruithe sonraithe, fardal agus seiceálacha rialta.
Chruthaigh dhá shaothar iad féin chuige seo: CIS Benchmarks an Center for Internet Security agus IT-Grundschutz an BSI.
Cad atá i CIS Benchmark d'fhreastalaithe gréasáin
Is moltaí cumraíochta bunaithe ar chomhthoil iad CIS Benchmarks a ullmhaíonn saineolaithe ó go leor eagraíochtaí le chéile. De réir CIS tá siad ann do níos mó ná 25 teaghlach táirgí. Maidir le freastalaithe gréasáin PHP, is iad seo is ábhartha den chuid is mó: Ubuntu Linux, Debian Linux agus Red Hat Enterprise Linux don chóras oibriúcháin agus Apache HTTP Server 2.4 agus NGINX don fhreastalaí gréasáin.
Is liosta de mholtaí aonair é gach Benchmark le cúis, treoir seiceála agus ceartúchán. Idirdhealaíonn a lán Benchmarks idir próifíl bhunúsach is féidir a chur i bhfeidhm gan mórán fo-iarmhairtí agus próifíl níos déine do riachtanas cosanta níos airde. Chun seiceáil uathoibríoch a dhéanamh, tairgeann CIS uirlisí, i dtimpeallacht na Benchmarks faoin ainm CIS-CAT.
Is é an buntáiste cruinneas: in ionad „SSH a chosaint“, luaitear ann cén socrú ar cheart an luach sin a bheith air agus conas é a sheiceáil. Is é an míbhuntáiste an méid. Tá a lán pointí i mBenchmark iomlán do chóras Linux, agus ní oireann gach ceann do gach cuideachta.
Tabhair aird ar an leagan freisin. Baineann Benchmarks le heisiúintí áirithe: liostaíonn forbhreathnú CIS, mar shampla, eagráin ar leith do leaganacha Ubuntu LTS suas go 26.04, do Debian 9 go 13 agus do RHEL 8, 9 agus 10. An té a úsáideann Benchmark do leagan níos sine ar chóras nua, seiceálann sé go páirteach socruithe nach bhfuil ann a thuilleadh agus caillfidh sé cinn nua. Má ritheann córas oibriúcháin gan tacaíocht ón monaróir ar fhreastalaí fós, is é sin an toradh is tábhachtaí cheana féin.
Na bloic BSI is oiriúnaí d'fhreastalaithe gréasáin PHP
Oibríonn IT-Grundschutz an BSI le bloic a dhéanann cur síos ar riachtanais do chórais agus do phróisis. Faoi láthair is é an Compendium IT-Grundschutz san Eagrán 2023 an leagan reatha. Tá an BSI ag athrú an IT-Grundschutz ina thacar rialacha atá dírithe ar phróiseas agus inléite ag meaisín; de réir an BSI fanann an Compendium atá ann cheana infheidhme le linn tréimhse aistrithe ilbhliantúil.
D'fhreastalaí gréasáin PHP is iad na bloic seo an chuid is tábhachtaí:
| Bloc | Ábhar | Baint le freastalaí gréasáin PHP |
|---|---|---|
| APP.3.2 Freastalaí gréasáin | Oibriú agus cumraíocht an fhreastalaí gréasáin | Nginx, Apache, LiteSpeed |
| APP.3.1 Feidhmchláir ghréasáin agus seirbhísí gréasáin | Riachtanais don fheidhmchlár | CMS, siopa, bogearraí PHP dá gcuid féin |
| SYS.1.3 Freastalaithe faoi Linux agus Unix | Cruatú an chórais oibriúcháin | Bunús gach freastalaí gréasáin Linux |
| OPS.1.1.3 Bainistíocht paistí agus athruithe | nuashonruithe a chur i bhfeidhm go rialaithe | nuashonruithe PHP, atosuithe, fianaise |
| OPS.1.1.5 Logáil | Imeachtaí a thaifeadadh agus a mheas | logaí rochtana agus earráide |
| CON.3 Coincheap cúltaca sonraí | Cúltacaí agus athchóiriú | Cód agus bunachar sonraí a shábháil |
| CON.10 Feidhmchláir ghréasáin a fhorbairt | forbairt shlán | tionscadail PHP dá gcuid féin |
Tá an Grundschutz níos lú nithiúla ná CIS Benchmark, ach clúdaíonn sé próisis nach bhfuil in aon chomhad cumraíochta: cé a phaistíonn, cé a sheiceálann, cé a gheobhaidh fógra.
CIS nó BSI: cad a oireann do do chuideachta?
Braitheann an rogha níos lú ar an teicneolaíocht ná ar an timpeallacht. Riail ghinearálta:
- Bonn teicniúil d'fhreastalaithe aonair: CIS Benchmark don chóras oibriúcháin agus don fhreastalaí gréasáin, curtha le riail PHP dá chuid féin.
- Riarachán poiblí, cliaint a bhfuil tagairt acu do Grundschutz, limistéir rialáilte: IT-Grundschutz mar chreat, CIS Benchmarks don chur i bhfeidhm nithiúil.
- Cuideachtaí le ISO 27001 nó TISAX: Oireann an dá shaothar mar thacaíocht theicniúil do threoirlínte féin, féach ISO 27001 agus TISAX: cad a bhaineann le freastalaithe gréasáin.
- Cuideachtaí a thagann faoi NIS2: Cabhraíonn caighdeán cruatúcháin doiciméadaithe le cruthúnas ar bhearta cuí. Achoimríonn NIS2 agus slándáil freastalaithe gréasáin an méid a éilíonn an treoir; i gcás ar leith, cinneann do chomhairle dhlíthiúil. Do PHP féin ba cheart duit forálacha an fhreastalaí a chur leis: luachanna faoi ghlas i php.ini, linnte FPM scartha, gan rith in fillteáin uaslódála. Is bunús maith é an treoir php.ini a chumrú go slán.
I sé chéim chuig do riail chruatúcháin féin
Ní úsáideach caighdeán ach má shroicheann sé an obair laethúil. Is éifeachtach an cur chuige seo:
- Fardal a chruthú: Cé na freastalaithe, na córais oibriúcháin, na freastalaithe gréasáin agus na leaganacha PHP atá ag rith cá háit?
- Benchmark agus bloic a roghnú, a oireann do leagan agus do riachtanas cosanta.
- An staid reatha a sheiceáil, go huathoibríoch más féidir, agus neamhréireachtaí a bhailiú.
- Neamhréireachtaí a mheas: iad a chur i bhfeidhm, glacadh leo d'aon ghnó nó iad a chúiteamh le bearta eile, i ngach cás le cúis.
- An riail a shocrú, go hidéalach mar uathoibriú cumraíochta, ionas go mbeidh freastalaithe nua cruaite ón tús.
- Seiceáil arís go rialta agus tar éis mórnuashonruithe, mar uaireanta tagann luachanna réamhshocraithe nua le pacáistí nua.
Nascann céim 6 an cruatú leis an bpróiseas paistithe. Conas nuashonruithe a chur i bhfeidhm de réir pleana in ionad sa deabhadh, déanann Bainistíocht paistí mar phróiseas in ionad briogáid dóiteáin cur síos air.
Déan próifílí déine a thástáil ar chóras stáitseála ar dtús. D'fhéadfadh roinnt moltaí, mar shampla faoi chórais comhad nó seirbhísí líonra, feidhmchláir nó cianrochtain a bhriseadh.
Conas a chabhraíonn PHP SOS go nithiúil?
- Taifeadaimid do fhreastalaithe gréasáin agus sannaimid an CIS Benchmark cuí agus na bloic Grundschutz ábhartha do gach ceann.
- Seiceálaimid an staid reatha agus seachadaimid liosta tosaíochta de neamhréireachtaí le hiarracht agus tairbhe.
- Cuirimid bonn PHP leis an riail do php.ini, do linnte FPM agus do chearta comhad.
- Déanaimid eisceachtaí d'aon ghnó a dhoiciméadú ionas gur féidir le hiniúchóirí agus le hárachóirí iad a leanúint.
Glacaimid leis an gcur i bhfeidhm mar chuid den chruatú freastalaí d'fhreastalaithe gréasáin PHP.
Ceisteanna coitianta
An gcaithfidh mé gach moladh de CIS Benchmark a chur i bhfeidhm?
Ní chaithfidh. Is tomhas iad Benchmarks, ní dlí. Ní oireann roinnt moltaí d'obair do chuideachta nó chuirfidís isteach ar fheidhmeanna. Is tábhachtach neamhréireachtaí a chinneadh d'aon ghnó, iad a chur i bhfeidhm le cúis agus iad a dhoiciméadú.
An iomaitheoirí iad CIS Benchmarks agus IT-Grundschutz?
Is cosúla le forlíontaí iad. Tugann CIS Benchmarks socruithe nithiúla do gach táirge agus leagan. Déanann an IT-Grundschutz cur síos ar riachtanais do chórais agus do phróisis, mar shampla bainistíocht paistí agus logáil, agus cuireann sé i gcóras bainistíochta iad.
An bhfuil caighdeán cruatúcháin ann go sonrach do PHP?
Is i bhfad an chuid is mó nach bhfuil socruithe PHP sna gnáthchaighdeáin fhreastalaí ach go imeallach. Sa chleachtas cuireann tú bonn PHP dá chuid féin le forálacha an fhreastalaí, mar shampla do php.ini, linnte FPM agus cearta comhad, agus tagraíonn tú do na bloic maidir le feidhmchláir ghréasáin don fheidhmchlár.
An gcuirfeadh CIS Benchmark cosc ar PHP2Shell?
Ní chuirfeadh. Is leochaileachtaí san ateangaire PHP iad PHP2Shell nach gcabhraíonn ach an nuashonrú ina gcoinne. Ach is féidir le freastalaí cruaite iarmhairtí briseadh isteach a theorannú agus, trí bhainistíocht paistí rialaithe, a chinntiú go gcuirtear nuashonruithe i bhfeidhm níos tapúla agus go inchruthaithe.
An bhfuil IT-Grundschutz rómhór do ghnólachtaí beaga?
Mar chóras bainistíochta iomlán, is minic go bhfuil. Ach is féidir na bloic aonair a úsáid go maith mar liosta seiceála d'fhreastalaithe gréasáin agus d'fheidhmchláir ghréasáin gan an cur chuige iomlán a ghlacadh láithreach.