Röviden: A BSI (a német szövetségi információbiztonsági hivatal) narancs riasztási szintje a négy szint közül a második legmagasabb. Azt jelenti: az IT-fenyegetettségi helyzet üzletkritikus, a rendes működés súlyosan zavart szenvedhet. A PHP2Shellre a BSI ezt a 3-as szintet adta, és az azonnali frissítést javasolja, vagy ha az nem megy, az érintett webszerverek átmeneti leválasztását a hálózatról. A vállalatok számára a narancs azt jelenti: a téma ma a vezetés asztalára tartozik.
Mit jelent a besorolás a döntéshozóknak
Sok ügyvezető hallott a híradásokban a „narancs riasztási szintről”, anélkül hogy tudta volna, hogyan értékelje. Mindenkinek szóló riasztás ez, vagy az IT-részleg témája? A rövid válasz: a narancs az a szint, amelynél a BSI abból indul ki, hogy az érintettek gyors cselekvés nélkül üzletük komoly zavarát kockáztatják.
A hessenschau szerint a BSI a PHP2Shellről kiemelkedő fenyegetési potenciált mondott. Gyors, nagy léptékű kihasználással számolt. Széles körben megerősített sikeres támadások a figyelmeztetés idején a BSI szerint nem voltak ismertek. A kettő összetartozik: a magas szint a kockázatot írja le, nem egy már bekövetkezett kárt.
A BSI narancs riasztási szintje és a másik három szint
A BSI a kiberbiztonsági figyelmeztetéseit 1-től 4-ig terjedő skálán sorolja be. Az alábbi táblázat a jelentést értelem szerint adja vissza:
| Szint | Szín | Jelentés (értelem szerint) |
|---|---|---|
| 1 | Szürke | IT-fenyegetettségi helyzet jelentős feltűnő jelenségek nélkül |
| 2 | Sárga | a feltűnő jelenségek fokozott megfigyelése, a rendes működés időnként zavart |
| 3 | Narancs | üzletkritikus helyzet, a rendes működés súlyos zavara |
| 4 | Piros | rendkívül kritikus helyzet, a rendes működés számos területen már nem tartható fenn |
A szint a helyzetről mond valamit összességében, nem az Ön egyes szerveréről. Egy teljesen javított és ellenőrzött webszerver narancs mellett is jó helyzetben van. Egy javítatlan, PHP 8.1-et és mod_php-t futtató szerver alacsonyabb szint mellett is veszélyeztetett.
Hogyan használja a skálát belsőleg
Sok vállalatnak vannak saját vészhelyzeti szintjei, például a vészhelyzeti kézikönyvben vagy az információbiztonság-irányítás keretében. Érdemes ott fixen hozzárendelni a BSI szintjeit. Egy egyszerű szabály így szólhat: sárgánál az IT a normál működés keretében ellenőriz. Narancsnál a vezetést még aznap tájékoztatják, felelőst neveznek ki, és az összes érintett rendszer állapotát írásban felmérik. Pirosnál összeül a válságstáb.
Így egy hírből begyakorolt reakció lesz. Aki a hozzárendelést előre rögzítette, éles helyzetben nem kell, hogy vitatkozzon azon, vajon a helyzet „elég komoly-e”. A PHP2Shell esetében ez a szabály azt jelentette volna: még október 21-én helyzetfelmérés, javítási terv és döntés a leállításokról.
A figyelmeztetéseket maga a BSI teszi közzé a weboldalán, ahol új ismeretek esetén frissítik is őket. Érdemes mindig az aktuális változatot elolvasni, mert az ajánlások és értékelések egy helyzet lefolyása során változhatnak.
Miért narancs és nem piros a PHP2Shell
Összehasonlításul gyakran a Log4Shellt hozzák fel. A Log4j Java-könyvtár résére a BSI 2021 decemberében a piros szintet hirdette ki, az akkori beszámolók szerint egyebek mellett azért, mert a rés triviálisan kihasználható volt, és sikeres feltörések már ismertek voltak. 2022 januárjában a Bundestag szerint a figyelmeztetést sárgára minősítették vissza.
A narancs pontos indoklását a PHP2Shell esetében csak a BSI ismeri. Felismerhető különbségek a megerősített támadások helyzete és az, hogy minden támogatott PHP-ághoz elérhető frissítés. Részletes összehasonlítást nyújt a PHP2Shell és Log4Shell írás. A narancs ugyanakkor nem jelent riasztás-lefújást. Az ajánlás, hogy szükség esetén vegyék le a szervereket a hálózatról, egy hatóság részéről határozott kijelentés.
A riasztási szint változhat, mindkét irányban. Az aktuális állapot a BSI weboldalán a mérvadó, nem az előző napi újságcikk.
Mit nem jelent a narancs
Három félreértéssel találkozunk jelenleg gyakran:
- „A narancs azt jelenti, hogy feltörtek minket.” Nem. A szint a fenyegetettségi helyzetet írja le, nem a rendszerein talált leletet.
- „A narancs csak a hatóságokra vonatkozik.” Nem. A figyelmeztetések az érintett rendszerek minden üzemeltetőjéhez szólnak, a kis vállalatokhoz is.
- „Ha van Cloudflare-ünk vagy WAF-unk, a narancs nem érint minket.” Nem. A védelmi szabályok csökkentik a kockázatot, de nem helyettesítik a PHP-frissítést.
Hogy a figyelmeztetésből adódnak-e jogi kötelezettségek, például a NIS2 keretében, az iparágtól és a mérettől függ. Ez nem jogi tanácsadás; a részleteket tisztázza jogi tanácsadójával vagy adatvédelmi felelősével.
A besorolás lefordítása döntésekre
Egy riasztási szint annyit ér, amennyi döntés következik belőle. A PHP2Shell esetében a vállalatoknak ezt a sorrendet javasoljuk:
- Az érintettség tisztázása: Mely szerverek és weboldalak futnak PHP-vel, ki üzemelteti őket?
- A javítási állapot igazolása: javított 8.5.12, 8.4.27, 8.3.36 vagy 8.2.35 verzió, vagy a szolgáltató által megerősített backport.
- Az újraindítás biztosítása: Az összes PHP-folyamatot újra kell indítani.
- Ha ez nem megy azonnal: átmeneti intézkedések bevezetése, vagy a szerver átmeneti leválasztása a hálózatról, ahogyan a BSI ajánlja. A lehetőségeket az Azonnali intézkedések javítás nélkül írja le.
- Nyomok ellenőrzése és naplók mentése: október 20-tól.
- A döntések dokumentálása: ki mit mikor döntött el, és milyen alapon.
Éppen az utolsó pontot becsülik alá. Aki egy hivatalos, narancs szintű figyelmeztetésnél követhetően cselekedett, jobb helyzetben áll a biztosítókkal, ügyfelekkel és felügyeleti szervekkel szemben. A hátteret a Az ügyvezetés felelőssége oldal adja.
Hogyan segít konkrétan a PHP SOS?
- Helyzetkép a vállalatáról: A BSI besorolását az érintett rendszerei prioritással ellátott listájára fordítjuk le.
- Az ajánlás végrehajtása: Javítunk, újraindítunk, vagy átmeneti intézkedéseket alkalmazunk, amíg a frissítés lehetséges nem lesz.
- Igazolás: Dokumentációt kap arról, mi történt mikor melyik szerveren.
- Megfigyelés: Ha a BSI megváltoztatja a besorolást, vagy új közlemények jönnek, besoroljuk őket az Ön rendszereire nézve.
További információ a PHP2Shell azonnali segítség oldalon.
Összegzés
A narancs riasztási szint a BSI második legmagasabb szintje, és a PHP2Shell esetében jól megalapozott. Nem pánikot kér, de döntést még aznap: javítani, újraindítani, ellenőrizni vagy átmenetileg leállítani. Aki ezt dokumentálja, helyesen olvasta a figyelmeztetést.
Gyakori kérdések
Hány riasztási szintje van a BSI-nak?
A BSI kiberbiztonsági figyelmeztetései négy szintet használnak: 1 / szürke, 2 / sárga, 3 / narancs és 4 / piros. A narancs a második legmagasabb szint, és üzletkritikus IT-fenyegetettségi helyzetet ír le, a rendes működés súlyos zavarával.
A narancs riasztási szint cselekvési kötelezettség?
Maga a figyelmeztetés szakmai értékelés cselekvési javaslatokkal. Hogy ebből milyen kötelezettségek adódnak az Ön vállalatára, például a NIS2-ből, szerződésekből vagy biztosítási feltételekből, az egyedi esettől függ. Tisztázza ezt jogi tanácsadójával; ez nem jogi tanácsadás.
Miért nem piros szintű a PHP2Shell?
A besorolás indokait maga a BSI határozza meg. Feltűnő a különbség a 2021-ben piros szintet kapott Log4Shellhez képest: ott az akkori beszámolók szerint már ismertek voltak sikeres feltörések. A PHP2Shell esetében a BSI szerint a széles körben megerősített sikeres támadások kezdetben nem voltak ismertek.
Változhat a riasztási szint?
Igen. A BSI a helyzethez igazítja a besorolásokat, felfelé és lefelé is. A Log4Shellt például a Bundestag szerint 2022 januárjában a pirosról sárgára minősítették vissza. Az aktuális állapotot közvetlenül a BSI-nál ellenőrizze.