Trumpai: CIS Benchmark žiniatinklio serveriui pateikia konkrečius, versijai tikslius operacinės sistemos ir žiniatinklio serverio nustatymus, pavyzdžiui, Ubuntu, Debian, RHEL, Nginx ar Apache. BSI (Vokietijos federalinė informacijos saugumo tarnyba) IT-Grundschutz moduliai prie to aprašo, kokie reikalavimai taikomi žiniatinklio serveriams, žiniatinklio programoms, pataisų valdymui ir žurnalų vedimui. Kartu jie sudaro tikrinamą sutvirtinimo reikalavimų rinkinį; PHP specifinius nustatymus papildote patys.
Kodėl „gerai įrengta“ nėra matas
Po incidento vadovybė, draudikai ar auditoriai anksčiau ar vėliau uždaro tą patį klausimą: pagal kokį standartą serveris buvo įrengtas? Sąžiningas atsakymas daugelyje įmonių skamba: pagal geriausias administratoriaus, kuris jį tada pastatė, žinias. Tai nebūtinai blogai, bet nei atsekama, nei pakartojama.
PHP2Shell tai padarė matomą. Kas norėjo žinoti, kurie serveriai paveikti, koks PHP veikimo režimas veikia ir kada paskutinį kartą pataisyta, daug kur pirmiausia turėjo ieškoti. Sutvirtinimo standartas atnaujinimo nepakeičia, bet sukuria būtent šią tvarką: nustatytus parametrus, inventorių ir reguliarius patikrinimus.
Du darbai tam pasiteisino: Center for Internet Security CIS Benchmarks ir BSI IT-Grundschutz.
Ką turi CIS Benchmark žiniatinklio serveriui
CIS Benchmarks yra konsensusu pagrįstos konfigūracijos rekomendacijos, kurias bendrai parengia daugelio organizacijų specialistai. Pasak CIS, jų yra daugiau nei 25 produktų šeimoms. PHP žiniatinklio serveriams svarbiausi šie: Ubuntu Linux, Debian Linux ir Red Hat Enterprise Linux operacinei sistemai bei Apache HTTP Server 2.4 ir NGINX žiniatinklio serveriui.
Kiekvienas Benchmark yra atskirų rekomendacijų sąrašas su pagrindimu, tikrinimo nurodymu ir ištaisymu. Daugelis Benchmark skiria bazinį profilį, įgyvendinamą be didelių šalutinių poveikių, ir griežtesnį profilį didesniam apsaugos poreikiui. Automatiniam tikrinimui CIS siūlo įrankius, Benchmark aplinkoje pavadinimu CIS-CAT.
Pranašumas yra tikslumas: vietoj „apsaugoti SSH“ ten nurodoma, kuris nustatymas kokią reikšmę turi turėti ir kaip tai patikrinti. Trūkumas yra apimtis. Pilnas Linux sistemos Benchmark turi labai daug punktų, ir ne kiekvienas tinka kiekvienai veiklai.
Atkreipkite dėmesį ir į versiją. Benchmark galioja konkretiems leidimams: CIS apžvalgoje, pavyzdžiui, atskiri leidimai Ubuntu LTS versijoms iki 26.04, Debian 9–13 ir RHEL 8, 9 ir 10. Kas senesnės versijos Benchmark taiko naujai sistemai, iš dalies tikrina nustatymus, kurių ten nebėra, ir praleidžia naujus. Jei serveryje dar veikia operacinė sistema be gamintojo palaikymo, tai pats savaime yra svarbiausias radinys.
Tinkami BSI moduliai PHP žiniatinklio serveriui
BSI IT-Grundschutz dirba su moduliais, aprašančiais reikalavimus sistemoms ir eigoms. Dabar galioja IT-Grundschutz kompendiumas 2023 leidimo. BSI šiuo metu IT-Grundschutz pertvarko į procesus orientuotą, mašininiu būdu skaitomą taisyklių rinkinį; ankstesnis kompendiumas, pasak BSI, lieka taikomas kelerių metų pereinamuoju laikotarpiu.
PHP žiniatinklio serveriui svarbiausi šie moduliai:
| Modulis | Turinys | Ryšys su PHP žiniatinklio serveriu |
|---|---|---|
| APP.3.2 Žiniatinklio serveris | žiniatinklio serverio eksploatavimas ir konfigūravimas | Nginx, Apache, LiteSpeed |
| APP.3.1 Žiniatinklio programos ir žiniatinklio paslaugos | reikalavimai programai | CMS, parduotuvė, sava PHP programinė įranga |
| SYS.1.3 Serveriai su Linux ir Unix | operacinės sistemos sutvirtinimas | kiekvieno Linux žiniatinklio serverio pagrindas |
| OPS.1.1.3 Pataisų ir pakeitimų valdymas | sureguliuotas atnaujinimų diegimas | PHP atnaujinimai, paleidimas iš naujo, įrodymas |
| OPS.1.1.5 Žurnalų vedimas | įvykių fiksavimas ir vertinimas | prieigos ir klaidų žurnalai |
| CON.3 Duomenų atsarginio kopijavimo koncepcija | atsarginės kopijos ir atkūrimas | kodo ir duomenų bazės kopija |
| CON.10 Žiniatinklio programų kūrimas | saugus kūrimas | savi PHP projektai |
Grundschutz yra mažiau konkretus nei CIS Benchmark, bet apima eigas, kurių nėra jokiame konfigūracijos faile: kas pataiso, kas tikrina, kas informuojamas.
CIS ar BSI: kas tinka jūsų įmonei?
Pasirinkimas priklauso ne tiek nuo technikos, kiek nuo aplinkos. Nykščio taisyklė:
- Techninė bazė atskiriems serveriams: CIS Benchmark operacinei sistemai ir žiniatinklio serveriui, papildytas savu PHP reikalavimų rinkiniu.
- Viešasis administravimas, užsakovai, besiremiantys Grundschutz, reguliuojamos sritys: IT-Grundschutz kaip rėmas, CIS Benchmarks konkrečiam įgyvendinimui.
- Įmonės su ISO 27001 ar TISAX: abu darbai tinka kaip techninis savų politikų pagrindas, žr. ISO 27001 ir TISAX: kas liečia žiniatinklio serverį.
- Įmonės, patenkančios į NIS2: dokumentuotas sutvirtinimo standartas padeda įrodyti tinkamas priemones. Ką direktyva reikalauja, apibendrina NIS2 ir žiniatinklio serverio saugumas; atskiru atveju sprendžia jūsų teisinė konsultacija.
Pačiam PHP serverio reikalavimus turėtumėte papildyti: užrakintos reikšmės php.ini, atskirti FPM baseinai, joks vykdymas įkėlimų aplankuose. Gerą pagrindą duoda vadovas php.ini saugus konfigūravimas.
Šešiais žingsniais iki savo sutvirtinimo reikalavimų
Standartas naudingas tik jei pasiekia kasdienę veiklą. Pasiteisino tokia eiga:
- Sukurti inventorių: kokie serveriai, operacinės sistemos, žiniatinklio serveriai ir PHP versijos kur veikia?
- Parinkti Benchmark ir modulius, tinkamus versijai ir apsaugos poreikiui.
- Patikrinti esamą būklę, kiek įmanoma automatiškai, ir surinkti nukrypimus.
- Įvertinti nukrypimus: įgyvendinti, sąmoningai priimti arba kompensuoti kitomis priemonėmis, kiekvieną kartą su pagrindimu.
- Užfiksuoti reikalavimus, geriausia kaip konfigūracijos automatizavimą, kad nauji serveriai nuo pat pradžių būtų sutvirtinti.
- Tikrinti reguliariai ir po didesnių atnaujinimų, nes nauji paketai kartais atneša naujas numatytąsias reikšmes.
6 žingsnis sieja sutvirtinimą su pataisų procesu. Kaip atnaujinimus diegti planuotai, o ne skubotai, aprašo Pataisų valdymas kaip procesas, o ne gaisrų gesinimas.
Griežtus profilius pirmiausia išbandykite parengiamojoje (staging) sistemoje. Kai kurios rekomendacijos, pavyzdžiui, dėl failų sistemų ar tinklo tarnybų, gali nutraukti programų veikimą ar nuotolinę prieigą.
Kaip PHP SOS padeda konkrečiai?
- Surenkame jūsų žiniatinklio serverius ir kiekvienam priskiriame tinkamą CIS Benchmark ir svarbius Grundschutz modulius.
- Patikriname esamą būklę ir pateikiame prioritetizuotą nukrypimų sąrašą su sąnaudomis ir nauda.
- Reikalavimus papildome PHP baze php.ini, FPM baseinams ir failų teisėms.
- Sąmoningus išimtis dokumentuojame taip, kad auditoriai ir draudikai galėtų jas atsekti.
Įgyvendinimą perimame PHP žiniatinklio serverių sutvirtinimo rėmuose.
Dažni klausimai
Ar turiu įgyvendinti kiekvieną CIS Benchmark rekomendaciją?
Ne. Benchmark yra matas, o ne įstatymas. Kai kurios rekomendacijos netinka jūsų veiklai arba trikdytų funkcijas. Svarbu nukrypimus spręsti sąmoningai, pagrįsti ir dokumentuoti.
Ar CIS Benchmark ir IT-Grundschutz yra konkurentai?
Veikiau papildiniai. CIS Benchmark pateikia konkrečius nustatymus kiekvienam produktui ir versijai. IT-Grundschutz aprašo reikalavimus sistemoms ir procesams, pavyzdžiui, pataisų valdymui ir žurnalų vedimui, ir įtraukia juos į valdymo sistemą.
Ar yra sutvirtinimo standartas būtent PHP?
PHP nustatymai įprastuose serverių standartuose dažniausiai paminėti tik paraštėse. Praktikoje serverio reikalavimai papildomi sava PHP baze, pavyzdžiui, php.ini, FPM baseinams ir failų teisėms, o programai orientuojamasi į modulius apie žiniatinklio programas.
Ar CIS Benchmark būtų užkirtęs kelią PHP2Shell?
Ne. PHP2Shell yra PHP interpretatoriaus spragos, nuo kurių padeda tik atnaujinimas. Tačiau sutvirtintas serveris gali apriboti įsilaužimo pasekmes, o sureguliuotas pataisų valdymas pasirūpina, kad atnaujinimai būtų įdiegiami greičiau ir įrodomai.
Ar IT-Grundschutz per didelis mažoms įmonėms?
Kaip pilna valdymo sistema dažnai taip. Tačiau atskirus modulius galima gerai naudoti kaip žiniatinklio serverių ir žiniatinklio programų kontrolinį sąrašą, nepriimant viso metodo.