Īsi sakot: Drošības izpratne (Security Awareness) tīmekļa komandas darbiniekiem nozīmē: katra persona, kas uztur vietni, pazīst trīs līdz četrus savas lomas riskus, atpazīst nepilnības un ziņo par tām ātri un bez bailēm no pārmetumiem. Redaktoriem vajadzīgs cits saturs nekā administratoriem. Īsas, atkārtotas nodarbības ar piemēriem no paša CMS darbojas labāk nekā ikgadēja obligāta apmācība.
Kāpēc tieši tagad uzmanības centrā ir tīmekļa komanda
Situācija ap PHP2Shell parādīja, cik daudz dažās dienās uzkrīt vietņu operatoriem: BSI brīdinājumi, hostinga pakalpojumu sniedzēju ziņojumi, padomi forumos un sociālajos tīklos, arī nepareizi. Šādās nedēļās par to, kuru e-pastu atvērt un kuru saiti noklikšķināt, lemj ne tikai administratori, bet arī redaktori, mārketings un asistenti.
Lielas ziņu situācijas pēc pieredzes krāpniekiem ir iemesls rīkoties. Rēķinieties ar e-pastiem, kas uzdodas par hostinga pakalpojumu sniedzēju, CMS ražotāju vai „IT nodaļu” un aicina steidzami pieteikties vai uzstādīt it kā drošības atjauninājumu. Kas zina īsto situāciju, tas uz to uzķeras retāk. Pašu tehnisko nepilnību neaizver neviens redaktors, taču nozagta administratora piekļuve atver durvis arī bez nepilnības.
Drošības izpratne darbiniekiem: kam kas vajadzīgs?
Apmācība visiem ar vieniem un tiem pašiem slaidiem parasti netrāpa mērķī. Lietderīgāks ir piegriezums pēc lomām. Turpmākais pārskats palīdz plānošanā:
| Loma | Tipiski riski | Ko personai vajadzētu spēt |
|---|---|---|
| Redaktors, mārketings | pikšķerēšanas e-pasti, nedroša failu augšupielāde, koplietotas piekļuves | pārbaudīt sūtītāju, augšupielādēt tikai gaidītos failu veidus, savus piekļuves datus nekad nenodot tālāk |
| CMS administrators | spraudņi no nezināma avota, pārāk daudz administratora kontu, bijušo darbinieku vecie konti | tiesības piešķirt taupīgi, regulāri pārbaudīt kontus, paplašinājumus tikai pēc apstiprinājuma |
| Servera administrators | nepārbaudīti padomi no tīkla, izmaiņas bez protokola, aizmirsti testa faili | novērtēt avotus, dokumentēt izmaiņas, zināt ārkārtas ceļu |
| Uzņēmuma vadība | spiediens uz ātriem lēmumiem, neskaidra atbildība | noteikt lēmumu pieņemšanas ceļus, nopietni uztvert ziņojumus, atbrīvot budžetu profilaksei |
| Ārēja aģentūra | kopīgas piekļuves, trūkstošas vienošanās | izmantot savus, personiskus kontus, izmaiņas paziņot iepriekš |
Tabula parāda arī, kur jāpalīdz tehnikai. Personiski konti kopīgu piekļuvju vietā un divfaktoru pieteikšanās visiem ar rakstīšanas tiesībām noņem lielu daļu spiediena no apmācības. Kā to izdarīt, lasiet sadaļā Divfaktoru pieteikšanās administratora piekļuvēm.
Kas redaktoriem jāzina, netiekot par tehniķiem
Redaktoriem nav jāzina, kas ir PHP darbinieks (worker). Taču trīs lietas viņiem jāapgūst droši. Pirmkārt: aicinājumu „drošības incidenta dēļ” pieteikties no jauna nekad neveic pa saiti e-pastā, bet ierastajā veidā CMS vai pajautājot administratoram.
Otrkārt: ziņot par nepilnībām. Pie tām pieder nezināmi lietotāju konti lietotāju sarakstā, lapas vai ieraksti, ko neviens nav izveidojis, pēkšņas pāradresācijas un brīdinājumi pārlūkā. Redaktors vietni bieži redz biežāk nekā administrators un izmaiņas pamana agrāk.
Treškārt: augšupielādes apzināti apstrādāt. Attēli un PDF ir ikdiena, taču fails ar neparastu paplašinājumu, arhīvs „tālākai nosūtīšanai” vai dokuments ar makro CMS nepieder. Ja failu nevar augšupielādēt, tas parasti ir ar nodomu un nav kļūda, ko vajadzētu apiet.
Ko administratoriem vajag papildus
Administratoriem runa ir mazāk par pikšķerēšanu, vairāk par spriestspēju laika spiedienā. PHP2Shell nedēļā cirkulēja padomi, ko speciālisti tieši noraida, piemēram, bloķēt visus pieprasījumus ar PHPSESSID. Šādu maldu pārskatu piedāvā raksts Bīstami nepareizi padomi par PHP2Shell. Labi administratori pirms konfigurācijas maiņas vispirms pārbauda primāro avotu, tātad php.net, BSI vai ražotāju.
Pie tā pieder disciplīna izmaiņās: kas, kad un kāpēc mainīts un kā to var atcelt? Pietiek ar īsu ierakstu biļetē vai wiki. Ārkārtas situācijā šis saraksts ir zelta vērtībā, jo tas parāda, kura izmaiņa nāk no jums un kura ne.
Visbeidzot administratoriem jāzina, pēc kā atpazīt iespējamu ielaušanos un ko tad nedarīt: nedzēst steigā, neuzstādīt uzreiz no jauna, bet nodrošināt un ziņot. Tipiskās pazīmes apkopo Vai es jau esmu kompromitēts?
90 dienās līdz modrai tīmekļa komandai
Programmai nav jābūt lielai, lai tā darbotos. Šie soļi ir sevi pierādījuši:
- Noskaidrot stāvokli (1. līdz 2. nedēļa): kam kādas piekļuves CMS, hostingam, domēnam un serverim? Likvidēt kopīgos kontus, bloķēt vecos kontus.
- Noteikt ziņošanas ceļu (2. nedēļa): viena adrese vai kanāls ziņojumiem „man kaut kas šķiet dīvains”. Uz katru ziņojumu tiek atbildēts, arī ja tas izrādījies nekaitīgs.
- Pirmā īsā nodarbība katrai lomai (3. līdz 4. nedēļa): 20 minūtes, piemēri no paša CMS, īstu izvēlņu ekrānuzņēmumi.
- Ieviest divfaktoru pieteikšanos (līdz 6. nedēļai): visiem ar rakstīšanas tiesībām, ar ārkārtas kodiem drošā vietā.
- Mācību e-pasts un izvērtējums (8. nedēļa): iepriekš paziņota testa kampaņa, nepazemojot atsevišķas personas. Izvērtē, vai tika ziņots, nevis kurš noklikšķināja.
- Otrā nodarbība pēc iemesla (10. līdz 12. nedēļa): piemēram, aktuāla drošības situācija, izspēlēta uz savas sistēmas.
Panākumus mēriet pēc ziņojumiem, nevis noklikšķināšanas rādītājiem. Komanda, kas daudz ziņo, ir modra. Komanda, kas nekad neziņo, ir vai nu perfekta, vai nedroša, un pirmais ir reti.
Kā PHP SOS palīdz konkrēti?
- Mēs kopā ar jums uzskaitām, kam kādas piekļuves ir, un parādām kopīgos kontus, lieko administratorus un aizmirstās piekļuves.
- Mēs attālināti vadām īsas nodarbības katrai lomai, ar piemēriem no jūsu CMS un servera vides.
- Mēs palīdzam iestatīt ziņošanas ceļu un novērtējam ienākošos aizdomu ziņojumus, ja to vēlaties.
- Ietvaros drošības apkopes līgumam mēs atkārtojam nodarbības pēc aktuāliem iemesliem un regulāri pārbaudām kontus.
Secinājums
Drošības izpratne tīmekļa komandā rodas nevis no bailēm, bet no skaidrības: katrs zina savu lomu, savus tipiskos riskus un ceļu, kā ziņot par nepilnībām. Kopā ar personiskiem kontiem un divfaktoru pieteikšanos tā ir aizsardzība, kas darbojas arī nākamajā krīzes nedēļā.
Biežāk uzdotie jautājumi
Vai redaktoriem vispār vajadzīga drošības apmācība?
Jā. Redaktoriem ir piekļuve CMS, viņi augšupielādē failus un saņem vēstules, kas izskatās kā sistēmas ziņojumi. Viņiem nav jāsaprot tehnika, bet jāatpazīst, kad kaut kas ir neparasts, un jāzina, kam par to ziņot.
Cik bieži tīmekļa komanda jāapmāca?
Labāk īsi un regulāri nekā reizi gadā ilgi. Sevi pierādījušas 15 līdz 20 minūšu nodarbības ik pēc dažām nedēļām, papildinātas ar iemeslu, piemēram, aktuālu drošības situāciju.
Ko darīt, ja darbinieks noklikšķinājis uz pikšķerēšanas saites?
Uzreiz likt ziņot, bez pārmetumiem. Tad nomainīt skarto paroli, beigt aktīvās sesijas un pārbaudīt, vai ar kontu kaut kas nav mainīts. Jo agrāk ziņojums, jo mazāks parasti ir kaitējums.
Vai apmācība aizstāj tehniskos aizsardzības pasākumus?
Nē. Apmācība un tehnika papildina viena otru. Divfaktoru pieteikšanās, nodalītas lomas un aktuāla programmatūra uztver kļūdas, kas gadās arī labi apmācītiem cilvēkiem.