Trumpai: BSI (Vokietijos federalinės informacijos saugumo tarnybos) oranžinis įspėjimo lygis yra antras pagal aukštumą iš keturių lygių. Jis reiškia: IT grėsmių padėtis kritinė verslui, įprasta veikla gali būti stipriai sutrikdyta. PHP2Shell BSI suteikė šį 3 lygį ir rekomenduoja nedelsiant atnaujinti arba, jei to padaryti negalima, paveiktus žiniatinklio serverius laikinai atjungti nuo tinklo. Įmonėms oranžinis reiškia: tema šiandien turi atsidurti vadovybės stale.
Ką vertinimas reiškia sprendimų priėmėjams
Daugelis vadovų naujienose girdėjo apie „oranžinį įspėjimo lygį“, nežinodami, kaip jį vertinti. Ar tai aliarmas visiems, ar IT skyriaus tema? Trumpas atsakymas: oranžinis yra lygis, kai BSI mano, kad nesiėmę greitų veiksmų paveikti subjektai rizikuoja rimtais verslo sutrikimais.
Pasak hessenschau, BSI dėl PHP2Shell kalbėjo apie išskirtinį grėsmės potencialą. Ji tikėjosi greito, plataus masto išnaudojimo. Patvirtintų sėkmingų plataus masto atakų įspėjimo metu, pasak BSI, nebuvo žinoma. Abi dalys eina kartu: aukštas lygis apibūdina riziką, o ne jau atsitikusią žalą.
BSI oranžinis lygis ir kiti trys lygiai
BSI savo kibernetinio saugumo įspėjimus vertina skale nuo 1 iki 4. Toliau pateiktoje lentelėje prasmė perteikta pagal esmę:
| Lygis | Spalva | Reikšmė (pagal esmę) |
|---|---|---|
| 1 | Pilka | IT grėsmių padėtis be esminių neįprastumų |
| 2 | Geltona | sustiprintas neįprastumų stebėjimas, įprasta veikla laikinai sutrikdyta |
| 3 | Oranžinė | verslui kritinė padėtis, didelis įprastos veiklos sutrikdymas |
| 4 | Raudona | itin kritinė padėtis, įprastos veiklos daugelyje sričių nebegalima išlaikyti |
Lygis kalba apie padėtį apskritai, o ne apie jūsų atskirą serverį. Visiškai pataisytas ir patikrintas žiniatinklio serveris yra geroje padėtyje ir esant oranžiniam lygiui. Nepataisytas serveris su PHP 8.1 ir mod_php yra pavojuje ir esant žemesniam lygiui.
Kaip skalę naudoti viduje
Daugelis įmonių turi savo ypatingų atvejų lygius, pavyzdžiui, avarinių situacijų vadove ar informacijos saugumo valdymo sistemoje. Verta BSI lygius ten nuolat priskirti. Paprasta taisyklė gali būti tokia: esant geltonam IT tikrina įprastos veiklos eigoje. Esant oranžiniam vadovybė informuojama tą pačią dieną, paskiriamas atsakingas asmuo ir raštu surenkama visų paveiktų sistemų būsena. Esant raudonam susirenka krizių štabas.
Taip iš naujienos tampa įprasta reakcija. Kas priskyrimą nustatė iš anksto, ypatingu atveju neturi diskutuoti, ar padėtis „pakankamai rimta“. Su PHP2Shell ši taisyklė būtų reiškusi: jau spalio 21 d. inventorizacija, pataisų planas ir sprendimas dėl išjungimų.
Pačius įspėjimus BSI skelbia savo svetainėje, ir ten jie atnaujinami, kai atsiranda naujų žinių. Verta skaityti aktualią redakciją, nes rekomendacijos ir vertinimai padėties eigoje gali keistis.
Kodėl PHP2Shell yra oranžinė, o ne raudona
Palyginimui dažnai minima Log4Shell. Dėl Java bibliotekos Log4j spragos BSI 2021 m. gruodį paskelbė raudoną lygį, pasak to meto pranešimų, be kita ko, todėl, kad spraga buvo trivialiai išnaudojama ir apie kompromitavimus jau buvo žinoma. 2022 m. sausį įspėjimas, pasak Bundestago, buvo pažemintas iki geltono.
Tikslų PHP2Shell oranžinio lygio pagrindimą žino tik BSI. Matomi skirtumai yra padėtis dėl patvirtintų atakų ir tai, kad visoms palaikomoms PHP šakoms yra atnaujinimas. Išsamų palyginimą pateikia straipsnis PHP2Shell ir Log4Shell. Oranžinis čia nėra atoslūgis. Rekomendacija prireikus serverius atjungti nuo tinklo institucijai yra aiški žinia.
Įspėjimo lygis gali keistis į abi puses. Lemiama yra dabartinė būsena BSI svetainėje, o ne vakarykštis laikraščio straipsnis.
Ko oranžinis nereiškia
Trys nesusipratimai šiuo metu sutinkami dažnai:
- „Oranžinis reiškia, kad mus nulaužė.“ Ne. Lygis apibūdina grėsmių padėtį, o ne radinį jūsų sistemose.
- „Oranžinis galioja tik institucijoms.“ Ne. Įspėjimai skirti visiems paveiktų sistemų operatoriams, taip pat mažoms įmonėms.
- „Jei turime Cloudflare ar WAF, oranžinis mūsų neliečia.“ Ne. Apsaugos taisyklės sumažina riziką, bet PHP atnaujinimo nepakeičia.
Ar iš įspėjimo kyla teisinių pareigų, pavyzdžiui, pagal NIS2, priklauso nuo jūsų šakos ir dydžio. Tai nėra teisinė konsultacija; detales išsiaiškinkite su teisiniu patarėju arba duomenų apsaugos pareigūnu.
Vertinimo pavertimas sprendimais
Įspėjimo lygis vertas tiek, kiek sprendimų iš jo išplaukia. Dėl PHP2Shell įmonėms rekomenduojame tokią eilę:
- Išsiaiškinti, kas paveikta: kurie serveriai ir svetainės veikia su PHP, kas juos eksploatuoja?
- Įrodyti pataisų būseną: ištaisyta versija 8.5.12, 8.4.27, 8.3.36 arba 8.2.35, arba teikėjo patvirtintas atgalinis perkėlimas (backport).
- Užtikrinti paleidimą iš naujo: visi PHP procesai turi būti paleisti iš naujo.
- Jei to iš karto neįmanoma: taikyti pereinamąsias priemones arba serverį laikinai atjungti nuo tinklo, kaip rekomenduoja BSI. Galimybes aprašo Skubios priemonės be pataisos.
- Tikrinti pėdsakus ir išsaugoti žurnalus: nuo spalio 20 d.
- Dokumentuoti sprendimus: kas ką kada nusprendė ir kokiu pagrindu.
Būtent paskutinis punktas nuvertinamas. Kas į oficialų oranžinio lygio įspėjimą reagavo nuosekliai, atsidūrę geresnėje padėtyje prieš draudikus, klientus ir priežiūros institucijas. Pagrindą pateikia puslapis apie vadovybės atsakomybę.
Kaip PHP SOS padeda konkrečiai?
- Padėtis jūsų įmonei: BSI vertinimą paverčiame jūsų paveiktų sistemų sąrašu su prioritetais.
- Rekomendacijos įgyvendinimas: Taisome, paleidžiame iš naujo arba taikome pereinamąsias priemones, kol atnaujinimas bus įmanomas.
- Įrodymas: Gaunate dokumentaciją, kas kada kuriame serveryje buvo padaryta.
- Stebėjimas: Jei BSI pakeičia vertinimą arba atsiranda naujų pranešimų, įvertiname juos jūsų sistemoms.
Daugiau skaitykite skyrelyje PHP2Shell skubi pagalba.
Išvada
Oranžinis įspėjimo lygis yra antras pagal aukštumą BSI lygis ir PHP2Shell atveju gerai pagrįstas. Jis nereikalauja panikos, bet reikalauja sprendimo tą pačią dieną: taisyti, paleisti iš naujo, tikrinti arba laikinai išjungti. Kas tai dokumentuoja, įspėjimą perskaitė teisingai.
Dažni klausimai
Kiek įspėjimo lygių turi BSI?
BSI kibernetinio saugumo įspėjimuose naudojami keturi lygiai: 1 / pilkas, 2 / geltonas, 3 / oranžinis ir 4 / raudonas. Oranžinis yra antras pagal aukštumą lygis ir apibūdina verslui kritinę IT grėsmių padėtį su didele įprastos veiklos trikdymo rizika.
Ar oranžinis įspėjimo lygis yra pareiga veikti?
Pats įspėjimas yra specialistų vertinimas su veiksmų rekomendacijomis. Kokios pareigos iš to kyla jūsų įmonei, pavyzdžiui, pagal NIS2, sutartis ar draudimo sąlygas, priklauso nuo konkretaus atvejo. Tai išsiaiškinkite su teisiniu patarėju; tai nėra teisinė konsultacija.
Kodėl PHP2Shell nėra raudono lygio?
Vertinimo priežastis nustato pati BSI. Krinta į akis skirtumas nuo Log4Shell, kuriai 2021 m. suteiktas raudonas lygis: tuomet, pasak to meto pranešimų, jau buvo žinoma apie kompromitavimus. Dėl PHP2Shell patvirtintų sėkmingų plataus masto atakų, pasak BSI, iš pradžių nebuvo žinoma.
Ar įspėjimo lygis gali keistis?
Taip. BSI vertinimus pritaiko prie padėties, tiek į viršų, tiek į apačią. Pavyzdžiui, Log4Shell, pasak Bundestago, 2022 m. sausį buvo pažeminta iš raudono į geltoną lygį. Dabartinę būseną tikrinkite tiesiogiai BSI.