Röviden: A webszerverhez készült CIS-benchmark konkrét, verziópontos beállításokat ad az operációs rendszerhez és a webszerverhez, például Ubuntuhoz, Debianhoz, RHEL-hez, Nginxhez vagy Apache-hoz. A BSI (a német Szövetségi Információbiztonsági Hivatal) IT-Grundschutz-moduljai ehhez azt írják le, milyen követelmények vonatkoznak a webszerverekre, a webalkalmazásokra, a patchmenedzsmentre és a naplózásra. Együtt ellenőrizhető keményítési előírást adnak; a PHP-specifikus beállításokat Ön maga egészíti ki.
Miért nem mérce a „jól be van állítva”
Egy incidens után az ügyvezetés, a biztosító vagy az auditor előbb-utóbb ugyanazt a kérdést teszi fel: milyen szabvány szerint volt beállítva a szerver? Az őszinte válasz sok vállalatnál: az admin legjobb tudása szerint, aki annak idején felállította. Ez nem feltétlenül rossz, de sem nyomon követhető, sem megismételhető.
A PHP2Shell ezt láthatóvá tette. Aki tudni akarta, mely szerverek érintettek, milyen PHP-üzemmód fut, és mikor patcheltek utoljára, annak sok helyen először keresgélnie kellett. A keményítési szabvány nem helyettesíti a frissítést, de éppen ezt a rendet teremti meg: rögzített beállításokat, leltárt és rendszeres ellenőrzéseket.
Két mű vált be erre: a Center for Internet Security CIS-benchmarkjai és a BSI IT-Grundschutz-a.
Mit tartalmaz egy CIS-benchmark webszerverhez
A CIS-benchmarkok konszenzuson alapuló konfigurációs ajánlások, amelyeket sok szervezet szakemberei közösen dolgoznak ki. A CIS szerint több mint 25 termékcsaládhoz léteznek. A PHP-webszerverekhez főleg ezek relevánsak: az Ubuntu Linux, a Debian Linux és a Red Hat Enterprise Linux az operációs rendszerhez, valamint az Apache HTTP Server 2.4 és az NGINX a webszerverhez.
Minden benchmark egyes ajánlások listája indoklással, ellenőrzési utasítással és javítással. Sok benchmark megkülönböztet egy alapprofilt, amely nagyobb mellékhatások nélkül bevezethető, és egy szigorúbb profilt a magasabb védelmi igényhez. Az automatikus ellenőrzéshez a CIS eszközöket kínál, a benchmarkok környezetében CIS-CAT néven.
Az előny a pontosság: ahelyett, hogy „SSH-t biztonságossá tenni”, ott áll, melyik beállításnak milyen értéket kell felvennie, és hogyan ellenőrizheti. A hátrány a terjedelem. Egy Linux-rendszer teljes benchmarkja nagyon sok pontot tartalmaz, és nem mindegyik illik minden üzemeltetéshez.
Ügyeljen a verzióra is. A benchmarkok mindig meghatározott kiadásokra érvényesek: a CIS-áttekintés például külön kiadásokat sorol fel az Ubuntu LTS-verziókhoz 26.04-ig, a Debian 9-től 13-ig terjedő verzióihoz, valamint a RHEL 8, 9 és 10 verzióihoz. Aki egy régebbi verzió benchmarkját új rendszerre alkalmazza, részben olyan beállításokat ellenőriz, amelyek ott már nincsenek, az újakat pedig elnézi. Ha egy szerveren még gyártói támogatás nélküli operációs rendszer fut, az már önmagában a legfontosabb megállapítás.
A megfelelő BSI-modulok PHP-webszerverhez
A BSI IT-Grundschutz-a olyan modulokkal dolgozik, amelyek rendszerekkel és folyamatokkal szemben támasztott követelményeket írnak le. Jelenleg az IT-Grundschutz-Kompendium 2023-as kiadása az aktuális. A BSI az IT-Grundschutzot jelenleg folyamatorientált, gépileg olvasható szabályrendszerré alakítja át; a BSI szerint a korábbi kompendium többéves átmeneti időszakban továbbra is alkalmazható marad.
PHP-webszerver esetén ezek a modulok a legfontosabbak:
| Modul | Tartalom | Kapcsolat a PHP-webszerverrel |
|---|---|---|
| APP.3.2 Webszerver | a webszerver üzemeltetése és konfigurálása | Nginx, Apache, LiteSpeed |
| APP.3.1 Webalkalmazások és webszolgáltatások | az alkalmazással szembeni követelmények | CMS, webshop, saját PHP-szoftver |
| SYS.1.3 Linux és Unix alatti szerverek | az operációs rendszer keményítése | minden Linux-webszerver alapja |
| OPS.1.1.3 Patch- és változáskezelés | a frissítések szabályozott telepítése | PHP-frissítések, újraindítások, bizonyíték |
| OPS.1.1.5 Naplózás | események rögzítése és kiértékelése | hozzáférési és hibanaplók |
| CON.3 Adatmentési koncepció | mentések és helyreállítás | a kód és az adatbázis mentése |
| CON.10 Webalkalmazások fejlesztése | biztonságos fejlesztés | saját PHP-projektek |
Az Grundschutz kevésbé konkrét, mint egy CIS-benchmark, viszont olyan folyamatokat is lefed, amelyek egyetlen konfigurációs fájlban sem szerepelnek: ki patchel, ki ellenőriz, kit értesítenek.
CIS vagy BSI: mi illik az Ön vállalatához?
A választás kevésbé függ a technikától, mint a környezettől. Egy ökölszabály:
- Technikai alap egyes szerverekhez: CIS-benchmark az operációs rendszerhez és a webszerverhez, kiegészítve saját PHP-előírással.
- Közigazgatás, Grundschutz-hivatkozású megbízók, szabályozott területek: az IT-Grundschutz mint keret, a CIS-benchmarkok a konkrét megvalósításhoz.
- ISO 27001-es vagy TISAX-os vállalatok: mindkét mű alkalmas a saját irányelvek technikai alátámasztására, lásd ISO 27001 és TISAX: mit érint a webszervereken.
- A NIS2 hatálya alá tartozó vállalatok: egy dokumentált keményítési szabvány segít a megfelelő intézkedések igazolásában. Hogy mit követel az irányelv, azt a NIS2 és a webszerver-biztonság foglalja össze; egyedi esetben az Ön jogi tanácsadója dönt.
Magára a PHP-ra a szerverelőírásokat ki kell egészítenie: zárolt értékek a php.ini-ben, különálló FPM-poolok, nincs végrehajtás a feltöltési mappákban. Jó alapot ad a A php.ini biztonságos konfigurálása útmutató.
Hat lépésben a saját keményítési előíráshoz
Egy szabvány csak akkor használ, ha eljut az üzemeltetésbe. Ez az eljárás vált be:
- Leltár létrehozása: mely szerverek, operációs rendszerek, webszerverek és PHP-verziók futnak hol?
- Benchmark és modulok kiválasztása, a verzióhoz és a védelmi igényhez illően.
- A jelenlegi állapot ellenőrzése, lehetőleg automatizáltan, és az eltérések összegyűjtése.
- Az eltérések értékelése: bevezetni, tudatosan elfogadni vagy más intézkedésekkel kiegyenlíteni, mindegyiket indoklással.
- Az előírás rögzítése, ideális esetben konfigurációautomatizálásként, hogy az új szerverek kezdettől fogva keményítettek legyenek.
- Rendszeres újraellenőrzés és nagyobb frissítések után is, mert az új csomagok néha új alapértelmezett értékeket hoznak magukkal.
A 6. lépés összekapcsolja a keményítést a patchfolyamattal. Hogyan telepítheti a frissítéseket tervezhetően, kapkodás helyett, azt a Patchmenedzsment folyamatként, nem tűzoltásként írja le.
A szigorú profilokat először egy staging rendszeren tesztelje. Egyes ajánlások, például a fájlrendszerekre vagy a hálózati szolgáltatásokra vonatkozók, megszakíthatják az alkalmazásokat vagy a távoli hozzáféréseket.
Hogyan segít konkrétan a PHP SOS?
- Felmérjük a webszervereit, és mindegyikhez hozzárendeljük a megfelelő CIS-benchmarkot és a releváns Grundschutz-modulokat.
- Ellenőrizzük a jelenlegi állapotot, és az eltérésekről prioritás szerinti listát adunk a ráfordítással és a haszonnal.
- Az előírást PHP-alappal egészítjük ki a php.ini-re, az FPM-poolokra és a fájljogokra.
- A tudatos kivételeket úgy dokumentáljuk, hogy az auditorok és a biztosítók követni tudják őket.
A megvalósítást a PHP-webszerverek keményítése keretében vállaljuk.
Gyakori kérdések
Be kell vezetnem a CIS-benchmark minden ajánlását?
Nem. A benchmarkok mércék, nem törvények. Egyes ajánlások nem illenek az Ön üzemeltetéséhez, vagy zavarnának funkciókat. Az a fontos, hogy az eltéréseket tudatosan döntse el, indokolja és dokumentálja.
A CIS-benchmarkok és az IT-Grundschutz versenytársak?
Inkább kiegészítik egymást. A CIS-benchmarkok konkrét beállításokat adnak termékenként és verziónként. Az IT-Grundschutz rendszerekkel és folyamatokkal szemben támasztott követelményeket ír le, például a patchmenedzsmentre és a naplózásra, és irányítási rendszerbe illeszti őket.
Létezik kifejezetten PHP-ra szabott keményítési szabvány?
A PHP-beállítások az elterjedt szerverszabványokban többnyire csak érintőlegesen szerepelnek. A gyakorlatban a szerverelőírásokat saját PHP-alappal egészítik ki, például a php.ini-re, az FPM-poolokra és a fájljogokra, az alkalmazás tekintetében pedig a webalkalmazásokra vonatkozó modulokhoz igazodnak.
Megakadályozta volna a PHP2Shellt egy CIS-benchmark?
Nem. A PHP2Shell a PHP-értelmező hibái, amelyek ellen csak a frissítés segít. Egy keményített szerver viszont korlátozhatja a betörés következményeit, a szabályozott patchmenedzsment pedig gondoskodhat arról, hogy a frissítések gyorsabban és bizonyíthatóan kerüljenek fel.
Túl nagy az IT-Grundschutz kis vállalkozásoknak?
Teljes irányítási rendszerként gyakran igen. Az egyes modulok viszont jól használhatók ellenőrzőlistaként webszerverekhez és webalkalmazásokhoz anélkül, hogy az egész eljárást át kellene venni.