Trumpai: Po įspėjimo dėl PHP2Shell Vokietijoje buvo išjungtos svetainės, tarp jų, pasak žiniasklaidos, Mainco miesto interneto portalas, taip pat Heseno žemės vyriausybės ir BKA (Vokietijos federalinės kriminalinės policijos) svetainės. Tai buvo atsargumo priemonė pagal BSI rekomendaciją, o ne patvirtintos atakos. Įmonės gali pasimokyti: išjungimas yra teisėta galimybė, kai pataisa iš karto neįmanoma, ir geriausiai pavyksta, kai yra paruoštas iš anksto.
Svetainės išjungtos dėl PHP: kas įvyko spalio 21 d.
PHP saugumo atnaujinimų dieną Vokietijoje daug viešųjų svetainių buvo nepasiekiamos. Pasak žiniasklaidos pranešimų, Mainco miestas savo centrinį interneto portalą išjungė atsargumo sumetimais. Institucijos liko pasiekiamos telefonu ir el. paštu.
Hesene, pasak hessenschau, laikinai neveikė, be kita ko, žemės vyriausybės, Federalinės kriminalinės policijos tarnybos bei Kaselio ir Vysbadeno miestų svetainės. Valstybės kanceliarija kalbėjo apie technines korekcijas ir apie ataką nepranešė. Žemės svetainės vakare vėl buvo pasiekiamos. Kitos savivaldybės, aukštosios mokyklos ir klinikos, pasak pranešimų, taip pat atsargumo sumetimais atjungė savo paslaugas nuo tinklo.
Pagrindas yra BSI rekomendacija dėl PHP2Shell: nedelsiant atnaujinti, o jei to iš karto neįmanoma, paveiktus žiniatinklio serverius laikinai atjungti nuo tinklo. Ką BSI konkrečiai pataria, apibendrina puslapis Ką BSI rekomenduoja dėl PHP2Shell.
Išjungta nereiškia nulaužta
Komentaruose ir socialiniuose tinkluose iš „išjungta“ greitai tapo „nulaužta“. Pagal viską, kas žinoma, tai klaidinga. Išjungimai buvo apsaugos priemonė tuo metu, kai daugelis operatorių dar tiksliai nežinojo savo serverių pataisų būsenos.
Įmonėms šis skirtumas dvigubai svarbus. Pirma, išorei: kas pats išjungia atsargumo sumetimais, turėtų tai ir pasakyti, o ne tylėti. Antra, viduje: išjungimas neatsako į klausimą, ar serveris anksčiau buvo užpultas. Jis tik sustabdo tolesnius bandymus. Pėdsakų patikra išlieka būtina.
Trečias punktas dažnai pamirštamas: išjungimas negali sunaikinti pėdsakų. Kas serverį išjungdamas tiesiog įdiegia iš naujo arba trina žurnalus, kad atlaisvintų vietos, atima sau galimybę vėliau išsiaiškinti, kas įvyko iki išjungimo. Geriau žiniatinklio serverį nukreipti į avarinį puslapį arba užblokuoti prieigą iš išorės, o patį serverį su visais žurnalais palikti nepakeistą.
Kodėl būtent viešosios institucijos taip reagavo
Institucijos dažnai eksploatuoja daug svetainių vienu metu: pagrindinį portalą, specializuotus portalus, formų paslaugas, atskirų skyrių ir įstaigų puslapius. Dažnai tuo užsiima keli paslaugų teikėjai. Perspėjimo dieną daugeliui administracijų tiesiog nebuvo įmanoma per kelias valandas gauti įrodytą kiekvienos sistemos pataisų būseną. Atsargumo sumetimais atliktas išjungimas buvo greičiausias kelias laikytis BSI rekomendacijos.
Įmonėms su ilgainiui išaugusiu IT kraštovaizdžiu padėtis dažnai panaši. Klausimas „Ar viskas pataisyta?“ strigsta ne dėl technikos, o dėl apžvalgos trūkumo.
Pastebėtina ir tai, kaip greitai Heseno žemės svetainės, pasak pranešimų, sugrįžo: dar tą pačią dieną vakare. Tai rodo, kad atsargumo išjungimas neturi trukti dienas. Kas pažįsta savo sistemas ir valdo atnaujinimo kelią, per kelias valandas gali pataisyti, patikrinti ir vėl prisijungti prie tinklo. Išjungimas tada tik užpildo laiką, kol paaiškėja aiškumas.
Kada atsargumo išjungimas įmonei prasmingas
Institucijos yra ypatingoje padėtyje: daug svetainių, dažnai prižiūrimų paskirstytai, ir didelis viešas matomumas. Bet svarstymas, su kuriuo jos susidūrė, tas pats kaip bet kurioje įmonėje. Toliau pateikta apžvalga padeda apsispręsti:
| Situacija | Verčiau išjungti | Verčiau palikti veikti |
|---|---|---|
| Pataisų būsena | neaiški arba nepatvirtinta | ištaisyta ir įrodyta, procesai paleisti iš naujo |
| PHP versija | 8.1 ar senesnė be patvirtinto atgalinio perkėlimo | palaikoma šaka su naujausia būsena |
| Veikimo režimas | Apache su mod_php | pataisytas PHP-FPM su nustatytomis pereinamosiomis priemonėmis |
| Duomenys serveryje | klientų duomenys, prisijungimai, mokėjimo duomenys | grynai statinis turinys |
| Paslaugų teikėjo pasiekiamumas | pataisa įmanoma tik po kelių dienų | pataisa numatyta greitai |
Svarstymą tarp taisymo, išjungimo ir laukimo gilina straipsnis Taisyti, išjungti ar laukti?. Ką techniškai galima padaryti pereinamuoju laikotarpiu, kai atnaujinimo dar nėra, rasite skyrelyje Skubios priemonės be pataisos.
Parduotuvės ar klientų portalo laikinas išjungimas kainuoja pardavimus. Pažeistas serveris su klientų duomenimis gali kainuoti gerokai daugiau, įskaitant pranešimo pareigas. Sprendimą priimkite sąmoningai ir užfiksuokite raštu.
Kaip paruošti išjungimą
Mainco pavyzdys parodė, kas svarbu: administracija liko pasiekiama kitais kanalais. Tai pavyksta tik tada, jei viskas paruošta. Šie žingsniai verti dėmesio, kol neatėjo kitas ypatingas atvejis:
- Turėti paruoštą avarinį puslapį: statinis HTML puslapis be PHP, su trumpu paaiškinimu, telefono ir el. pašto kontaktais ir, jei reikia, nurodymais dėl vykdomų užsakymų ar susitikimų.
- Nustatyti perjungimo kelią: kas gali nukreipti svetainę į avarinį puslapį, per žiniatinklio serverį, DNS ar prieš tai įjungtą paslaugą? Kiek tai trunka?
- Išsiaiškinti sprendimo įgaliojimus: kas gali nurodyti išjungti, taip pat ne darbo valandomis?
- Žinoti priklausomas paslaugas: ar nuo svetainės priklauso sąsajos, programėlės ar partneriai? Ką reikia informuoti iš anksto?
- Apibrėžti grįžimo kriterijus: pataisa įrodyta, paleidimas iš naujo atliktas, pirmoji pėdsakų patikra be radinių.
- Iš anksto suformuluoti pranešimą: du ar trys sakiniai klientams, partneriams ir spaudai.
Kaip tokioje padėtyje bendrauti su išore, aprašo krizių komunikacijos vadovas.
Kaip PHP SOS padeda konkrečiai?
- Sprendimo pagrindas: Nustatome jūsų serverių pataisų būseną, veikimo režimą ir duomenų padėtį ir pateikiame aiškų vertinimą, ar išjungimas tikslingas.
- Tvarkingas išjungimas: Perjungiame į statinį avarinį puslapį neprarasdami žurnalų ar pėdsakų.
- Pataisa ir patikra: Atnaujiname PHP, iš naujo paleidžiame visus procesus ir tikriname dėl neįprastumų.
- Kontroliuojamas sugrįžimas: Svetainę vėl prijungiame prie tinklo tik tada, kai susitarti kriterijai įvykdyti ir dokumentuoti.
Eigą aprašo PHP2Shell skubi pagalba.
Išvada
Institucijų išjungimai nebuvo kontrolės praradimo ženklas, o sąmoninga atsargumo priemonė. Įmonėms tai tikroji pamoka: atsijungti nuo tinklo yra teisėtas sprendimas, kai pataisų būsena neaiški. Kas yra paruošęs avarinį puslapį, atsakomybę ir grįžimo kriterijus, jį priima per minutes, o ne per valandas.
Dažni klausimai
Kodėl institucijų svetainės dėl PHP buvo išjungtos?
BSI (Vokietijos federalinė informacijos saugumo tarnyba) dėl PHP2Shell rekomenduoja nedelsiant atnaujinti, o jei to iš karto neįmanoma, žiniatinklio serverius laikinai atjungti nuo tinklo. Kelios institucijos šios rekomendacijos laikėsi iš atsargumo, kol jų sistemos buvo patikrintos ir atnaujintos.
Ar išjungta svetainė reiškia, kad ji buvo nulaužta?
Ne. Atsargumo sumetimais atliktas išjungimas yra apsaugos priemonė. Heseno valstybės kanceliarija, pasak hessenschau, aiškiai pranešė, kad atakos nebuvo. Ar serveris iki išjungimo buvo paveiktas, išsiaiškinama tik atlikus patikrą.
Kiek laiko svetainė turėtų būti išjungta?
Tol, kol PHP bus ištaisytoje būsenoje, visi PHP procesai paleisti iš naujo, o pirmoji pėdsakų patikra neparodys neįprastumų. Fiksuotos trukmės nėra; Heseno žemės svetainės, pasak pranešimų, vėl buvo pasiekiamos tą pačią dieną vakare.
Ką rodyti lankytojams, kol svetainė išjungta?
Geriausia paprastą statinį avarinį puslapį be PHP su trumpu paaiškinimu ir kontaktais, kuriais išliekate pasiekiami. Jį reikia paruošti anksčiau, nei jo prireiks.