Fil-qosor: Security awareness għall-impjegati tat-tim tal-web ifisser: kull persuna li żżomm websajt tkun taf it-tlieta jew l-erba' riskji tar-rwol tagħha, tagħraf irregolaritajiet u tirrapportahom malajr u mingħajr biża' ta' ħtija. L-editors jeħtieġu kontenut differenti mill-amministraturi. Unitajiet qosra u rikorrenti b'eżempji mis-CMS proprju jaħdmu aħjar minn taħriġ obbligatorju annwali.
Għaliex bħalissa t-tim tal-web hu fiċ-ċentru
Is-sitwazzjoni madwar PHP2Shell wriet kemm jaqgħu fuq l-operaturi tal-websajts f'ftit jiem: twissijiet tal-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni), avviżi mill-hosters, pariri fil-forums u fin-netwerks soċjali, fosthom ukoll foloz. F'ġimgħat bħal dawn jiddeċiedu mhux biss l-amministraturi, imma wkoll l-editors, il-marketing u l-assistenti, liema email jiftħu u liema link jikklikkjaw.
Sitwazzjonijiet kbar fil-aħbarijiet skont l-esperjenza huma okkażjoni għall-frodisti. Ippreparaw ruħkom għal emails li jippretendu li huma mill-hoster, mill-manifattur tas-CMS jew mid-"dipartiment tal-IT" u jitolbu login urġenti jew aġġornament tas-sigurtà allegat. Min jaf is-sitwazzjoni vera jaqa' f'dan inqas spiss. Il-vulnerabbiltà teknika nnifisha ma jagħlaqha l-ebda editor, imma aċċess misruq ta' amministratur jiftaħ il-bieb anke mingħajr vulnerabbiltà.
Security awareness għall-impjegati: min jeħtieġ x'jeħtieġ?
Taħriġ għal kulħadd bl-istess slides ġeneralment jonqos mill-għan. Aktar raġonevoli huwa li jitfassal skont ir-rwoli. Il-ħarsa ġenerali li ġejja tgħin fl-ippjanar:
| Rwol | Riskji tipiċi | X'għandha tkun kapaċi tagħmel il-persuna |
|---|---|---|
| Editor, marketing | emails ta' phishing, uploads mhux sikuri, aċċessi kondiviżi | tivverifika l-mittent, tibgħat biss tipi ta' fajls mistennija, qatt ma tgħaddi l-kredenzjali proprji |
| Amministratur tas-CMS | plugins minn sors mhux magħruf, wisq kontijiet ta' amministratur, kontijiet qodma ta' impjegati preċedenti | tagħti drittijiet b'xi ftit, tivverifika l-kontijiet regolarment, estensjonijiet biss wara approvazzjoni |
| Amministratur tas-server | pariri mhux ivverifikati min-netwerk, bidliet mingħajr protokoll, fajls tat-test minsija | tevalwa s-sorsi, tiddokumenta l-bidliet, tkun taf il-mogħdija ta' emerġenza |
| Direzzjoni | pressjoni għal deċiżjonijiet mgħaġġla, responsabbiltajiet mhux ċari | tiffissa mogħdijiet tad-deċiżjoni, tieħu r-rapporti bis-serjetà, tapprova baġit għall-prevenzjoni |
| Aġenzija esterna | aċċessi kondiviżi, nuqqas ta' ftehim | tuża kontijiet proprji u personali, tħabbar il-bidliet |
It-tabella turi wkoll fejn it-teknika trid tgħin. Kontijiet personali minflok aċċessi kollettivi u login b'żewġ fatturi għal dawk kollha b'drittijiet ta' kitba jneħħu ħafna pressjoni mit-taħriġ. Kif isir dan jinsab f'Login b'żewġ fatturi għall-aċċessi tal-amministraturi.
X'jeħtieġu jafu l-editors, mingħajr ma jsiru tekniċi
L-editors m'għandhomx għalfejn jafu x'inhu worker ta' PHP. Imma għandhom ikunu sodi fi tliet affarijiet. L-ewwel: talba biex terġgħu tidħlu "minħabba inċident tas-sigurtà" qatt ma tiġi eżegwita permezz tal-link fl-email, imma permezz tal-mogħdija tas-soltu għas-CMS jew bi mistoqsija lill-amministratur.
It-tieni: irrapportaw irregolaritajiet. Hawnhekk jidħlu kontijiet tal-utenti mhux magħrufa fil-lista tal-utenti, paġni jew artikli li ħadd ma ħoloq, ridirezzjonijiet f'daqqa u twissijiet fil-browser. Editor spiss jara l-websajt aktar spiss mill-amministratur u jinnota l-bidliet aktar kmieni.
It-tielet: ittrattaw l-uploads b'mod konxju. Immaġini u PDFs huma ta' kuljum, imma fajl b'estensjoni mhux tas-soltu, arkivju "biex jintbagħat 'l quddiem" jew dokument b'macros ma jappartjenix fis-CMS. Jekk fajl ma jistax jinbagħat, dan ġeneralment huwa intenzjonat u mhux żball li wieħed għandu jaħrab.
X'jeħtieġu aktar l-amministraturi
Għall-amministraturi mhux tant il-phishing, imma l-ġudizzju taħt pressjoni ta' ħin. Fil-ġimgħa ta' PHP2Shell iċċirkolaw pariri li awturi speċjalizzati jirrifjutaw espliċitament, pereżempju li jiġu mblukkati t-talbiet kollha b'PHPSESSID. Ħarsa ġenerali lejn dawn it-toroq żbaljati toffri l-artikolu Pariri foloz perikolużi dwar PHP2Shell. Amministraturi tajbin jivverifikaw l-ewwel is-sors primarju, jiġifieri php.net, il-BSI jew il-manifattur, qabel ma jbiddlu konfigurazzjoni.
Hawnhekk jidħol id-dixxiplina fil-bidliet: x'inbidel, meta, għaliex, u kif jista' jiġi mreġġa' lura? Dħul qasir fit-ticket jew fil-wiki huwa biżżejjed. F'emerġenza din il-lista tiswa deheb, għax turi liema bidla tiġi minnkom u liema le.
Fl-aħħar, l-amministraturi għandhom ikunu jafu minn xiex jagħrfu dħul possibbli u x'm'għandhomx jagħmlu f'dak il-każ: ma jħassrux bil-għaġla, ma jinstallawx mill-ġdid minnufih, imma jsalvaw u jirrapportaw. Is-sinjali tipiċi jiġbor fil-qosor Diġà kompromess?.
F'90 jum lejn tim tal-web viġilanti
Programm m'għandux għalfejn ikun kbir biex jaħdem. Dawn il-passi wrew li jaħdmu:
- Iċċarau l-istat attwali (ġimgħat 1 sa 2): Min għandu liema aċċessi għas-CMS, l-hosting, id-dominju u s-server? Neħħu l-kontijiet kollettivi, imblukkaw dawk qodma.
- Iffissaw il-mogħdija tar-rapporti (ġimgħa 2): Indirizz jew kanal wieħed għal "xi ħaġa tidhirli stramba". Kull rapport jiġi risposta, anke jekk kien bla ħsara.
- L-ewwel unità qasira għal kull rwol (ġimgħat 3 sa 4): 20 minuta, eżempji mis-CMS proprju, screenshots ta' menus veri.
- Introduċu login b'żewġ fatturi (sa ġimgħa 6): Għal dawk kollha b'drittijiet ta' kitba, b'kodiċijiet ta' emerġenza f'post sigur.
- Email ta' prattika u evalwazzjoni (ġimgħa 8): Kampanja ta' test imħabbra mingħajr tpoġġija fil-pubbliku ta' persuni individwali. Jiġi evalwat jekk ġiex irrapportat, mhux min ikklikkja.
- It-tieni unità skont l-okkażjoni (ġimgħat 10 sa 12): Pereżempju sitwazzjoni attwali tas-sigurtà, mgħaddija fuq is-sistema proprja.
Kejlu s-suċċess fuq rapporti, mhux fuq rati ta' klikks. Tim li jirrapporta ħafna huwa viġilanti. Tim li qatt ma jirrapporta jew huwa perfett jew mhux sigur, u l-ewwel huwa rari.
Kif tgħin PHP SOS b'mod konkret?
- Magħkom nirreġistraw min għandu liema aċċessi, u nuru kontijiet kollettivi, amministraturi żejda u aċċessi minsija.
- Nagħtu unitajiet qosra għal kull rwol mill-bogħod, b'eżempji mis-CMS tagħkom u mill-ambjent tas-servers tagħkom.
- Niffissaw magħkom il-mogħdija tar-rapporti u nevalwaw rapporti ta' suspett li jaslu, jekk tixtiequ.
- Fil-qafas ta' Kuntratt ta' manutenzjoni tas-sigurtà nirrepetu l-unitajiet skont okkażjonijiet attwali u niċċekkjaw il-kontijiet regolarment.
Konklużjoni
L-għarfien tas-sigurtà fit-tim tal-web ma jinħoloqx bil-biża', imma bil-ċarezza: kulħadd jaf ir-rwol tiegħu, ir-riskji tipiċi tiegħu u l-mogħdija biex jirrapporta irregolaritajiet. Flimkien ma' kontijiet personali u login b'żewġ fatturi dan huwa protezzjoni li żżomm anke fil-ġimgħa ta' kriżi li jmiss.
Mistoqsijiet frekwenti
L-editors verament jeħtieġu taħriġ dwar is-sigurtà?
Iva. L-editors għandhom aċċess għas-CMS, jibagħtu fajls u jirċievu emails li jidhru bħal messaġġi tas-sistema. M'għandhomx għalfejn jifhmu t-teknika, imma jagħrfu meta xi ħaġa hija mhux tas-soltu u jkunu jafu lil min jirrapportaw.
Kemm-il darba għandu jitħarreġ it-tim tal-web?
Aħjar qasir u regolari milli twil darba fis-sena. Wrew li jaħdmu unitajiet ta' 15 sa 20 minuta f'intervalli ta' ftit ġimgħat, issupplimentati b'okkażjoni bħal sitwazzjoni attwali tas-sigurtà.
X'nagħmlu jekk impjegat ikklikkja fuq link ta' phishing?
Ħalluh jirrapporta minnufih, mingħajr ħtija. Imbagħad biddlu l-password affettwata, itemmu s-sessjonijiet attivi u ivverifikaw jekk bil-kont inbidlitx xi ħaġa. Iktar kmieni tasal ir-rapport, iċken ġeneralment huwa d-dannu.
Taħriġ jissostitwixxi miżuri tekniċi ta' protezzjoni?
Le. It-taħriġ u t-teknika jikkumplimentaw lil xulxin. Login b'żewġ fatturi, rwoli separati u softwer aġġornat jaqbdu żbalji li jseħħu anke lil nies imħarrġa tajjeb.