Īsi sakot: Ievainojamību pārvaldība vidējos un mazos uzņēmumos ir vienkāršs, atkārtots cikls: pazīt savas sistēmas, mērķtiecīgi sekot ziņojumiem, novērtēt pēc riska, pieņemt lēmumu, ieviest un apliecināt. Izšķiroši nav dārgi rīki, bet skaidra atbildību sadale un prioritāšu noteikšana, kas ņem vērā sasniedzamību, datus un uzbrukumu situāciju. PHP2Shell ir labs treniņa piemērs, jo tajā ir visi soļi.
Simtiem ziņojumu, maz darbinieku
Katru nedēļu tiek publicētas jaunas drošības nepilnības operētājsistēmās, programmēšanas valodās, lietojumprogrammās un spraudņos. Koncernam tam ir komanda. Vidējam uzņēmumam bieži ir IT vadītājs, viens vai divi administratori un vairāki ārējie pakalpojumu sniedzēji. Neviens nevar izlasīt katru ziņojumu, un tas nav arī vajadzīgs.
Vajadzīgs ir filtrs: kuri ziņojumi attiecas uz mūsu sistēmām, kuri no tiem ir steidzami un kas par tiem rūpējas? Ja šī filtra nav, notiek viens no diviem: vai nu viss tiek ignorēts, līdz kaut kas notiek, vai katrs ziņojums rada satraukumu, un patiesi kritiskais nozūd troksnī.
Ievainojamību pārvaldības cikls
Uzņēmumiem piemērotu procesu var aprakstīt sešos soļos:
- Uzskaitīt, kas darbojas. Bez inventāra nav salīdzināšanas. Kādas tīmekļa vietnes, serverus, PHP versijas un lietojumprogrammas jūs darbinājat un kur? Kā to izdarīt, parāda raksts Zināt, kas darbojas: visu tīmekļa vietņu un serveru inventārs.
- Sekot ziņojumiem. Abonēt dažus uzticamus avotus: BSI brīdinājumus, jūsu programmatūras ražotāju paziņojumus, jūsu Linux distribūcijas drošības lapas, PHP gadījumā php.net sākumlapu.
- Novērtēt. Vai ziņojums attiecas uz mums? Ja jā, cik tas ir steidzami? Par to vairāk tālāk.
- Lemt. Novērst, pagaidu kārtā nodrošināt, sistēmu izolēt vai apzināti uzņemties risku. Kam ir tiesības lemt?
- Ieviest. Uzstādīt atjauninājumu, ieviest pagaidu pasākumu, uzticēt uzdevumu pakalpojumu sniedzējam.
- Apliecināt un uzturēt. Vai nepilnība tiešām ir novērsta? Kad pagaidu risinājums tiks aizstāts?
Pēc tam cikls sākas no jauna. Parādās jaunas sistēmas, vecās izzūd, un tiek publicēti jauni ziņojumi.
- solī palīdz vienkāršs noteikums: labāk regulāri lasīt dažus avotus nekā reizēm daudzus. Tipiskai vidēja uzņēmuma tīmekļa videi parasti pietiek ar CERT-Bund brīdinājumiem BSI, izmantotās Linux distribūcijas drošības paziņojumiem, CMS un veikalu sistēmu ražotāju lapām un php.net sākumlapu. Nosakiet, kurš šos avotus lasa, un šim nolūkam izveidojiet kopīgu pastkasti vai kanālu, kas nav piesaistīts vienai personai.
Noder arī skats no ārpuses. Regulāra publiski sasniedzamo sistēmu ievainojamību skenēšana parāda, vai ir redzama novecojusi programmatūra vai nevajadzīgi atvērti pakalpojumi. Tā neaizstāj ne inventāru, ne atjauninājumus, bet atklāj sistēmas, kas nav iekļautas nevienā sarakstā.
Novērtēt: kas jādara vispirms
CVSS vērtība, standartizēts nopietnības līmeņa novērtējums, ir labs sākumpunkts. Taču secībai savā uzņēmumā ar to nepietiek. Izšķir vēl trīs jautājumi:
| Jautājums | Palielina steidzamību | Samazina steidzamību |
|---|---|---|
| Vai sistēma ir sasniedzama no interneta? | publiska vietne, veikals, portāls | tikai iekšēji, aiz VPN |
| Vai nepilnības izmantošanai nepieciešama pieteikšanās? | nē, bez autentifikācijas | jā, tikai administratoriem |
| Kādus datus sistēma apstrādā? | klientu dati, maksājumi, piekļuves dati | publisks saturs bez kontiem |
| Vai ir ziņojumi par uzbrukumiem? | ziņots par uzbrukuma mēģinājumiem | nav zināmu mēģinājumu |
| Vai ir pagaidu pasākums? | nē | jā, ar pierādītu iedarbību |
PHP2Shell parāda, kā tas darbojas kopā. Abām nepilnībām ir CVSS v4.0 vērtība 9,2, tās ļauj izpildīt kodu bez pieteikšanās un skar publiski sasniedzamus tīmekļa serverus. Pēc plašsaziņas līdzekļu ziņām Cloudflare un Patchstack ziņoja par uzbrukuma mēģinājumiem, BSI situāciju novērtēja ar 3. brīdinājuma līmeni. php.net pagaidu pasākumi tieši nenodrošina pilnīgu aizsardzību. Visi jautājumi norāda vienā virzienā: rīkoties nekavējoties. Ko BSI konkrēti ieteica, lasiet sadaļā Ko BSI iesaka attiecībā uz PHP2Shell.
Lemt un dokumentēt
Ne katru nepilnību var novērst uzreiz. Vecā sistēma darbojas ar PHP 8.1, kam oficiālu atjauninājumu vairs nav (skatiet PHP 8.1 un vecākas versijas: kas tagad ir spēkā), specializētā lietojumprogramma atjauninājumu vēl neiztur. Tad vajadzīgs lēmums, un tas nepieder vienīgi tehniskajai nodaļai.
Laba lēmuma piezīme ietver skarto sistēmu, nepilnību, novērtējumu, izvēlēto variantu, pagaidu pasākumus, atbildīgo personu un atkārtotas pārbaudes termiņu. Ja risks tiek apzināti uzņemts, lemj vadība, nevis administrators vienatnē. Arī OWASP Cheat Sheet par ievainojamo atkarību apstrādi iesaka riska pieņemšanu skaidri nostiprināt vadības līmenī.
Uzturiet vienu vienīgu atklāto ievainojamību sarakstu ar statusu, atbildīgo un termiņu. Pietiek ar tabulu. Svarīgi, lai to regulāri pārskatītu, piemēram, ikmēneša sanāksmē ar vadību.
Kāds sakars ir NIS2 un pakalpojumu sniedzējiem
Uzņēmumiem, uz kuriem attiecas NIS2, rīcība ar ievainojamībām ir daļa no riska pārvaldības pienākumiem. Sīkāk to apraksta NIS2 un tīmekļa serveru drošība. Taču arī bez likumiskā pienākuma dokumentēts process ir priekšrocība, piemēram, attiecībās ar klientiem, apdrošinātājiem un pašu vadību.
Daudzus soļus var uzticēt citiem, piemēram, ziņojumu uzraudzību vai atjauninājumu uzstādīšanu. Lēmumam par riskiem un kopskatam tomēr jāpaliek uzņēmumā. Kas visu ciklu nodod pakalpojumu sniedzējam, tas ārkārtas situācijā vairs nezina, kādas sistēmas tam vispār ir. Kā ieviešanu organizēt kā rutīnu, apraksta Ielāpu pārvaldība kā process, nevis ugunsdzēsēju darbs.
Kā PHP SOS palīdz konkrēti?
- Mēs kopā ar jums izveidojam jūsu tīmekļa vietņu un serveru inventāru kā pamatu katrai salīdzināšanai.
- Mēs jūsu sistēmām sekojam līdzi būtiskajiem ziņojumiem un sniedzam novērtējumu skaidrā valodā ar ieteikumu.
- Mēs sagatavojam lēmumu piezīmes gadījumiem, kad atjauninājumu nevar uzstādīt uzreiz.
- Ar drošības monitoringu mēs pastāvīgi pārbaudām, vai sistēmas kļūst aizdomīgas, kamēr nepilnība vēl ir atvērta.
Secinājums: Ievainojamību pārvaldībai vidējā uzņēmumā nav jābūt apjomīgai, bet tai jābūt saistošai. Kas pazīst savas sistēmas, regulāri lasa dažus labus avotus un fiksē lēmumus, tas nākamajā kritiskajā ziņojumā reaģē ātri un pareizi.
Biežāk uzdotie jautājumi
Kas ir ievainojamību pārvaldība?
Atkārtots process, kurā uzņēmums uzzina par drošības nepilnībām savās sistēmās, novērtē tās, novērš vai apzināti pieņem un fiksē rezultātu. Tas nav saistīts ar kādu rīku, bet ar atbildību sadali un lēmumiem.
Vai ar CVSS vērtību pietiek prioritāšu noteikšanai?
Tas ir labs sākumpunkts, bet nepietiek. Papildus izšķirīgi ir tas, vai skartā sistēma ir sasniedzama no interneta, kādus datus tā apstrādā un vai uzbrukumi jau tiek novēroti. Nepilnība ar augstu vērtību iekšējā testa sistēmā var pagaidīt, veikalā ne.
Vai mazam uzņēmumam tam vajadzīgs savs rīks?
Sākumā ne. Pietiek ar uzturētu sistēmu sarakstu, abonētiem drošības paziņojumiem un tabulu ar neatrisinātajiem punktiem. Ievainojamību skeneri atmaksājas, kad sistēmu skaits aug vai pārbaudes regulāri jāapliecina ar pierādījumiem.
Vai ievainojamību drīkst apzināti nenovērst?
Jā, ja risks ir novērtēts, lēmumu pieņēmusi atbildīgā vadība un tas ir fiksēts rakstveidā, labākajā gadījumā ar pagaidu pasākumiem un atkārtotas pārbaudes termiņu.