Īsi sakot: BSI (Vācijas Federālais informācijas drošības birojs) oranžais brīdinājuma līmenis ir otrais augstākais no četriem līmeņiem. Tas nozīmē: IT apdraudējuma situācija ir kritiska uzņēmējdarbībai, normāla darbība var tikt būtiski traucēta. PHP2Shell gadījumā BSI ir piešķīris šo 3. līmeni un iesaka nekavējoties atjaunināt vai, ja tas nav iespējams, skartos tīmekļa serverus uz laiku atvienot no tīkla. Uzņēmumiem oranžais nozīmē: tēma šodien jāliek uz vadības galda.
Ko šis vērtējums nozīmē lēmumu pieņēmējiem
Daudzi vadītāji ziņās ir dzirdējuši par “oranžo brīdinājuma līmeni”, nezinot, kā to vērtēt. Vai tas ir trauksme visiem vai tēma IT nodaļai? Īsā atbilde: oranžais ir līmenis, kurā BSI pieņem, ka skartie bez ātras rīcības riskē ar nopietniem uzņēmējdarbības traucējumiem.
Saskaņā ar hessenschau BSI par PHP2Shell runāja kā par izcilu apdraudējuma potenciālu. Tas rēķinājās ar ātru, plašu izmantošanu. Apstiprināti veiksmīgi uzbrukumi plašā mērogā brīdinājuma brīdī saskaņā ar BSI nebija zināmi. Abi apgalvojumi ir kopā: augstais līmenis apraksta risku, nevis jau iestājušos zaudējumu.
BSI oranžais brīdinājuma līmenis un pārējie trīs līmeņi
BSI savus kiberdrošības brīdinājumus iedala skalā no 1 līdz 4. Tālāk tabulā ir sniegta nozīme pēc jēgas:
| Līmenis | Krāsa | Nozīme (pēc jēgas) |
|---|---|---|
| 1 | Pelēks | IT apdraudējuma situācija bez būtiskām novirzēm |
| 2 | Dzeltens | pastiprināta noviržu novērošana, normāla darbība laikā traucēta |
| 3 | Oranžs | kritiska uzņēmējdarbībai situācija, būtiski traucēta normāla darbība |
| 4 | Sarkans | ārkārtīgi kritiska situācija, normālu darbību daudzās jomās vairs nevar uzturēt |
Līmenis kaut ko norāda par situāciju kopumā, nevis par jūsu atsevišķo serveri. Pilnībā ielāpots un pārbaudīts tīmekļa serveris ir labā pozīcijā arī oranžā līmeņa laikā. Neielāpots serveris ar PHP 8.1 un mod_php ir apdraudēts arī zemāka līmeņa laikā.
Kā skalu izmantot iekšēji
Daudziem uzņēmumiem ir savi ārkārtas līmeņi, piemēram, ārkārtas rokasgrāmatā vai informācijas drošības pārvaldības ietvaros. Ir vērts BSI līmeņus tur noteikti piesaistīt. Vienkāršs noteikums var skanēt šādi: dzeltenā līmeņa gadījumā IT pārbauda normālas darbības ietvaros. Oranžā līmeņa gadījumā vadību informē tajā pašā dienā, nozīmē atbildīgo un rakstiski apkopo visu skarto sistēmu stāvokli. Sarkanā līmeņa gadījumā sanāk krīzes štābs.
Tā no ziņas kļūst ieviesta reakcija. Kas piesaisti noteicis iepriekš, tam ārkārtas gadījumā nav jādiskutē, vai situācija ir “pietiekami nopietna”. PHP2Shell gadījumā šis noteikums būtu nozīmējis: jau 21. oktobrī stāvokļa uzskaite, ielāpu plāns un lēmums par atslēgšanu.
Brīdinājumus pats BSI publicē savā tīmekļa vietnē, un tur tie tiek atjaunināti arī pie jaunām atziņām. Ir vērts izlasīt katrreiz aktuālo redakciju, jo ieteikumi un vērtējumi situācijas gaitā var mainīties.
Kāpēc PHP2Shell ir oranžs, nevis sarkans
Salīdzināšanai bieži min Log4Shell. Ievainojamībai Java bibliotēkā Log4j BSI 2021. gada decembrī izsludināja sarkano līmeni, saskaņā ar toreizējiem ziņojumiem cita starpā tāpēc, ka ievainojamību varēja izmantot triviāli un kompromitēšanas gadījumi jau bija zināmi. 2022. gada janvārī brīdinājums saskaņā ar Bundestāgu tika pazemināts uz dzelteno.
Precīzu pamatojumu oranžajam līmenim PHP2Shell gadījumā zina tikai BSI. Saskatāmas atšķirības ir situācija ar apstiprinātiem uzbrukumiem un tas, ka visiem atbalstītajiem PHP atzariem ir pieejams atjauninājums. Detalizētu salīdzinājumu piedāvā raksts PHP2Shell un Log4Shell. Oranžais pritam nav atvieglojums. Ieteikums vajadzības gadījumā serverus atvienot no tīkla iestādei ir skaidrs vēstījums.
Brīdinājuma līmenis var mainīties abos virzienos. Noteicošais ir aktuālais stāvoklis BSI tīmekļa vietnē, nevis avīzes raksts no iepriekšējās dienas.
Ko oranžais nenozīmē
Trīs pārpratumi mums šobrīd sastopami bieži:
- “Oranžais nozīmē, ka mūs ir uzlauzuši.” Nē. Līmenis apraksta apdraudējuma situāciju, nevis konstatējumu jūsu sistēmās.
- “Oranžais attiecas tikai uz iestādēm.” Nē. Brīdinājumi ir adresēti visiem skarto sistēmu operatoriem, arī mazajiem uzņēmumiem.
- “Ja mums ir Cloudflare vai WAF, oranžais mūs neskar.” Nē. Aizsardzības noteikumi samazina risku, taču PHP atjauninājumu neaizstāj.
Vai no brīdinājuma izriet juridiski pienākumi, piemēram, saistībā ar NIS2, atkarīgs no jūsu nozares un lieluma. Šī nav juridiska konsultācija; precizējiet detaļas ar juridisko padomdevēju vai datu aizsardzības speciālistu.
Vērtējuma pārvēršana lēmumos
Brīdinājuma līmenis ir tikpat vērts, cik lēmumi, kas no tā izriet. PHP2Shell gadījumā uzņēmumiem iesakām šādu secību:
- Noskaidrot skartību: Kuri serveri un vietnes darbojas ar PHP, kas tos uztur?
- Apliecināt ielāpa stāvokli: labotā versija 8.5.12, 8.4.27, 8.3.36 vai 8.2.35, vai pakalpojuma sniedzēja apstiprināts backport.
- Nodrošināt pārstartēšanu: Visiem PHP procesiem jābūt pārstartētiem.
- Ja tas nav iespējams uzreiz: Ieviest pagaidu pasākumus vai serveri uz laiku atvienot no tīkla, kā iesaka BSI. Iespējas apraksta Tūlītēji pasākumi bez ielāpa.
- Pārbaudīt pēdas un saglabāt žurnālus: sākot ar 20. oktobri.
- Dokumentēt lēmumus: kurš ko kad un uz kāda pamata nolēma.
Tieši pēdējais punkts tiek nenovērtēts. Kas oficiāla oranžā līmeņa brīdinājuma gadījumā ir rīkojies izsekojami, tas pret apdrošinātājiem, klientiem un uzraudzības iestādēm stāv labāk. Fonu sniedz lapa par vadības atbildību.
Kā PHP SOS palīdz konkrēti?
- Situācija jūsu uzņēmumam: Mēs BSI vērtējumu pārvēršam jūsu skarto sistēmu sarakstā ar prioritāti.
- Ieteikuma īstenošana: Mēs ielāpojam, pārstartējam vai ieviešam pagaidu pasākumus, līdz atjauninājums ir iespējams.
- Apliecinājums: Jūs saņemat dokumentāciju par to, kas kad kurā serverī ir noticis.
- Novērošana: Ja BSI maina vērtējumu vai parādās jauni ziņojumi, mēs tos novērtējam jūsu sistēmām.
Vairāk sadaļā PHP2Shell tūlītējā palīdzība.
Secinājums
Oranžais brīdinājuma līmenis ir BSI otrais augstākais līmenis un PHP2Shell gadījumā labi pamatots. Tas neprasa paniku, bet prasa lēmumu tajā pašā dienā: ielāpot, pārstartēt, pārbaudīt vai uz laiku atslēgt. Kas to dokumentē, ir brīdinājumu izlasījis pareizi.
Biežāk uzdotie jautājumi
Cik brīdinājuma līmeņu ir BSI?
BSI kiberdrošības brīdinājumi izmanto četrus līmeņus: 1 / pelēks, 2 / dzeltens, 3 / oranžs un 4 / sarkans. Oranžais ir otrais augstākais līmenis, un tas apraksta uzņēmējdarbībai kritisku IT apdraudējuma situāciju ar būtisku normālas darbības traucējumu.
Vai oranžais brīdinājuma līmenis ir pienākums rīkoties?
Pats brīdinājums ir speciālistu vērtējums ar rīcības ieteikumiem. Kādi pienākumi no tā izriet jūsu uzņēmumam, piemēram, no NIS2, līgumiem vai apdrošināšanas noteikumiem, atkarīgs no konkrētā gadījuma. Noskaidrojiet to ar juridisko padomdevēju; šī nav juridiska konsultācija.
Kāpēc PHP2Shell nav sarkanajā līmenī?
Vērtējuma pamatojumu nosaka pats BSI. Uzkrītoša ir atšķirība no Log4Shell, kas 2021. gadā saņēma sarkano līmeni: tur saskaņā ar toreizējiem ziņojumiem jau bija zināmi kompromitēšanas gadījumi. PHP2Shell gadījumā apstiprināti veiksmīgi uzbrukumi plašā mērogā saskaņā ar BSI sākotnēji nebija zināmi.
Vai brīdinājuma līmenis var mainīties?
Jā. BSI vērtējumus pielāgo situācijai, gan uz augšu, gan uz leju. Log4Shell, piemēram, saskaņā ar Bundestāgu (Vācijas parlamentu) 2022. gada janvārī tika pazemināts no sarkanā uz dzelteno. Aktuālo stāvokli pārbaudiet tieši BSI.