Īsi sakot: CIS Benchmark tīmekļa serverim dod konkrētus, versijai precīzus iestatījumus operētājsistēmai un tīmekļa serverim, piemēram, Ubuntu, Debian, RHEL, Nginx vai Apache. BSI (Vācijas Federālā informācijas drošības biroja) IT-Grundschutz moduļi papildus apraksta, kādas prasības attiecas uz tīmekļa serveriem, tīmekļa lietojumprogrammām, ielāpu pārvaldību un žurnālēšanu. Kopā tie dod pārbaudāmu nostiprināšanas prasību kopu; ar PHP saistītos iestatījumus papildināt jāpaši.
Kāpēc „labi iestatīts" nav mērauklas
Pēc incidenta uzņēmuma vadība, apdrošinātājs vai revidents agrāk vai vēlāk uzdod to pašu jautājumu: pēc kāda standarta serveris bija iestatīts? Godīga atbilde daudzos uzņēmumos skan: pēc tā administratora labākās sapratnes, kurš to savulaik uzstādīja. Tas nav obligāti slikti, bet tas nav ne izsekojams, ne atkārtojams.
PHP2Shell to ir padarījis redzamu. Kas gribēja zināt, kuri serveri ir skarti, kāds PHP darbības režīms darbojas un kad pēdējo reizi ielāpots, daudzviet vispirms bija jāmeklē. Nostiprināšanas standarts atjauninājumu neaizstāj, bet rada tieši šo kārtību: noteikti iestatījumi, inventārs un regulāras pārbaudes.
Divi darbi šim nolūkam ir pierādījuši sevi: Center for Internet Security CIS Benchmarks un BSI IT-Grundschutz.
Ko satur CIS Benchmark tīmekļa serverim
CIS Benchmarks ir uz konsensu balstīti konfigurācijas ieteikumi, ko kopīgi izstrādā speciālisti no daudzām organizācijām. Saskaņā ar CIS tie pastāv vairāk nekā 25 produktu saimēm. PHP tīmekļa serveriem galvenokārt svarīgi ir šie: Ubuntu Linux, Debian Linux un Red Hat Enterprise Linux operētājsistēmai, kā arī Apache HTTP Server 2.4 un NGINX tīmekļa serverim.
Katrs Benchmark ir atsevišķu ieteikumu saraksts ar pamatojumu, pārbaudes norādījumu un labojumu. Daudzi Benchmarks izšķir pamatprofilu, ko var ieviest bez lielām blakusparādībām, un stingrāku profilu augstākai aizsardzības vajadzībai. Automātiskai pārbaudei CIS piedāvā rīkus, Benchmarks vidē ar nosaukumu CIS-CAT.
Priekšrocība ir precizitāte: nevis „nodrošināt SSH", bet tur teikts, kuram iestatījumam kāda vērtība jābūt un kā to pārbaudīt. Trūkums ir apjoms. Pilns Benchmark Linux sistēmai satur ļoti daudz punktu, un ne katrs der katrai darbībai.
Ņemiet vērā arī versiju. Benchmarks attiecas uz konkrētiem izlaidumiem: CIS pārskatā, piemēram, ir atsevišķi izdevumi Ubuntu LTS versijām līdz 26.04, Debian 9 līdz 13 un RHEL 8, 9 un 10. Kas vecākas versijas Benchmark piemēro jaunai sistēmai, tas daļēji pārbauda iestatījumus, kuru tur vairs nav, un nepamana jaunos. Ja serverī vēl darbojas operētājsistēma bez ražotāja atbalsta, jau tas ir svarīgākais konstatējums.
Piemērotie BSI moduļi PHP tīmekļa serverim
BSI IT-Grundschutz strādā ar moduļiem, kas apraksta prasības sistēmām un procesiem. Pašlaik aktuāls ir IT-Grundschutz kompendijs 2023. gada izdevumā. BSI pašlaik pārbūvē IT-Grundschutz par procesu orientētu, mašīnlasāmu noteikumu kopu; saskaņā ar BSI esošais kompendijs vairāku gadu pārejas periodā paliek piemērojams.
PHP tīmekļa serverim šie moduļi ir svarīgākie:
| Modulis | Saturs | Saistība ar PHP tīmekļa serveri |
|---|---|---|
| APP.3.2 Webserver | tīmekļa servera darbība un konfigurācija | Nginx, Apache, LiteSpeed |
| APP.3.1 Webanwendungen und Webservices | prasības lietojumprogrammai | CMS, veikals, pašu PHP programmatūra |
| SYS.1.3 Server unter Linux und Unix | operētājsistēmas nostiprināšana | katra Linux tīmekļa servera pamats |
| OPS.1.1.3 Patch- und Änderungsmanagement | regulēta atjauninājumu ieviešana | PHP atjauninājumi, pārstartēšanas, pierādījums |
| OPS.1.1.5 Protokollierung | notikumu fiksēšana un izvērtēšana | piekļuves un kļūdu žurnāli |
| CON.3 Datensicherungskonzept | rezerves kopijas un atjaunošana | koda un datubāzes dublēšana |
| CON.10 Entwicklung von Webanwendungen | droša izstrāde | pašu PHP projekti |
Grundschutz ir mazāk konkrēts nekā CIS Benchmark, taču aptver procesus, kas nav rakstīti nevienā konfigurācijas failā: kas ielāpo, kas pārbauda, kuru informē.
CIS vai BSI: kas der jūsu uzņēmumam?
Izvēle atkarīga mazāk no tehnikas nekā no vides. Praktisks noteikums:
- Tehniskā bāze atsevišķiem serveriem: CIS Benchmark operētājsistēmai un tīmekļa serverim, papildināts ar savu PHP prasību kopu.
- Publiskā pārvalde, pasūtītāji ar atsauci uz Grundschutz, regulētas nozares: IT-Grundschutz kā ietvars, CIS Benchmarks konkrētai ieviešanai.
- Uzņēmumi ar ISO 27001 vai TISAX: abi darbi der kā tehnisks pamatojums savām politikām, skatiet ISO 27001 un TISAX: ko tas nozīmē tīmekļa serveriem.
- Uzņēmumi, uz kuriem attiecas NIS2: dokumentēts nostiprināšanas standarts palīdz pierādīt atbilstošus pasākumus. Ko direktīva prasa, apkopo NIS2 un tīmekļa servera drošība; atsevišķā gadījumā lemj jūsu juridiskais konsultants.
Pašam PHP servera prasības jāpapildina: bloķētas vērtības php.ini, atsevišķi FPM pūli, nekāda izpilde augšupielāžu mapēs. Labu pamatu piedāvā ceļvedis php.ini droša konfigurēšana.
Sešos soļos līdz savai nostiprināšanas prasību kopai
Standarts noder tikai tad, ja tas nonāk ikdienas darbībā. Pierādījusi sevi šāda pieeja:
- Izveidot inventāru: kādi serveri, operētājsistēmas, tīmekļa serveri un PHP versijas kur darbojas?
- Izvēlēties Benchmark un moduļus, atbilstoši versijai un aizsardzības vajadzībai.
- Pārbaudīt esošo stāvokli, pēc iespējas automatizēti, un apkopot atkāpes.
- Novērtēt atkāpes: ieviest, apzināti pieņemt vai kompensēt ar citiem pasākumiem, katru reizi ar pamatojumu.
- Fiksēt prasības, ideālā gadījumā kā konfigurācijas automatizāciju, lai jauni serveri jau no sākuma būtu nostiprināti.
-
Pārbaudīt atkārtoti regulāri un pēc lielākiem atjauninājumiem, jo jaunas pakotnes dažkārt nes jaunas noklusējuma vērtības.
-
solis savieno nostiprināšanu ar ielāpu procesu. Kā atjauninājumus ieviest plānveidā, nevis steigā, apraksta Ielāpu pārvaldība kā process, nevis ugunsdzēsība.
Stingrus profilus vispirms pārbaudiet staging sistēmā. Daži ieteikumi, piemēram, par failu sistēmām vai tīkla pakalpojumiem, var pārtraukt lietojumprogrammas vai attālināto piekļuvi.
Kā PHP SOS palīdz konkrēti?
- Mēs apkopojam jūsu tīmekļa serverus un katram piešķiram piemēroto CIS Benchmark un attiecīgos Grundschutz moduļus.
- Mēs pārbaudām esošo stāvokli un sniedzam prioritizētu atkāpju sarakstu ar darba apjomu un ieguvumu.
- Mēs papildinām prasību kopu ar PHP bāzi php.ini, FPM pūliem un failu tiesībām.
- Mēs dokumentējam apzinātus izņēmumus tā, lai revidenti un apdrošinātāji tos var izsekot.
Ieviešanu veicam PHP tīmekļa serveru nostiprināšanas ietvaros.
Biežāk uzdotie jautājumi
Vai man jāievieš katrs CIS Benchmark ieteikums?
Nē. Benchmarks ir mērauklas, nevis likums. Daži ieteikumi neatbilst jūsu darbībai vai traucētu funkcijas. Svarīgi atkāpes izlemt apzināti, pamatot un dokumentēt.
Vai CIS Benchmarks un IT-Grundschutz ir konkurenti?
Drīzāk papildinājumi. CIS Benchmarks dod konkrētus iestatījumus katram produktam un versijai. IT-Grundschutz apraksta prasības sistēmām un procesiem, piemēram, ielāpu pārvaldībai un žurnālēšanai, un ievieto tās pārvaldības sistēmā.
Vai pastāv nostiprināšanas standarts tieši PHP?
PHP iestatījumi ierastajos serveru standartos parasti ir tikai pieminēti. Praksē servera prasības papildina ar savu PHP bāzi, piemēram, php.ini, FPM pūliem un failu tiesībām, un lietojumprogrammai orientējas uz moduļiem par tīmekļa lietojumprogrammām.
Vai CIS Benchmark būtu novērsis PHP2Shell?
Nē. PHP2Shell ir ievainojamības PHP interpretatorā, pret kurām palīdz tikai atjauninājums. Nostiprināts serveris tomēr var ierobežot ielaušanās sekas, un sakārtota ielāpu pārvaldība nodrošina, ka atjauninājumi tiek ieviesti ātrāk un pierādāmi.
Vai IT-Grundschutz mazajiem uzņēmumiem nav par lielu?
Kā pilnīga pārvaldības sistēma bieži jā. Tomēr atsevišķos moduļus labi var izmantot kā kontrolsarakstu tīmekļa serveriem un tīmekļa lietojumprogrammām, nepārņemot visu pieeju.