Kort gezegd: Een CIS-benchmark voor webservers levert concrete, versiespecifieke instellingen voor besturingssysteem en webserver, bijvoorbeeld voor Ubuntu, Debian, RHEL, Nginx of Apache. De bouwstenen van de IT-Grundschutz van de BSI (de Duitse federale dienst voor informatiebeveiliging) beschrijven daarbij welke eisen gelden voor webservers, webapplicaties, patchbeheer en logging. Samen vormen ze een controleerbare hardeningrichtlijn; PHP-specifieke instellingen vult u zelf aan.
Waarom "goed ingericht" geen maatstaf is
Na een incident stellen directie, verzekeraar of auditor vroeg of laat dezelfde vraag: volgens welke standaard was de server ingericht? Het eerlijke antwoord luidt in veel bedrijven: naar beste weten van de beheerder die hem destijds heeft opgezet. Dat is niet per se slecht, maar het is noch navolgbaar, noch herhaalbaar.
PHP2Shell heeft dat zichtbaar gemaakt. Wie wilde weten welke servers zijn getroffen, welke PHP-bedrijfsmodus draait en wanneer voor het laatst is gepatcht, moest op veel plaatsen eerst gaan zoeken. Een hardeningstandaard vervangt geen update, maar schept precies die orde: vastgelegde instellingen, een inventaris en regelmatige controles.
Twee werken hebben zich daarvoor bewezen: de CIS-benchmarks van het Center for Internet Security en de IT-Grundschutz van de BSI.
Wat een CIS-benchmark voor webservers bevat
CIS-benchmarks zijn op consensus gebaseerde configuratieaanbevelingen die vakmensen uit veel organisaties samen opstellen. Volgens CIS bestaan ze voor meer dan 25 productfamilies. Voor PHP-webservers zijn vooral deze relevant: Ubuntu Linux, Debian Linux en Red Hat Enterprise Linux voor het besturingssysteem en Apache HTTP Server 2.4 en NGINX voor de webserver.
Elke benchmark is een lijst van afzonderlijke aanbevelingen met motivering, controle-instructie en correctie. Veel benchmarks onderscheiden een basisprofiel dat zonder grote bijwerkingen door te voeren is en een strenger profiel voor een hogere beschermingsbehoefte. Voor geautomatiseerde controle biedt CIS hulpmiddelen aan, in de omgeving van de benchmarks onder de naam CIS-CAT.
Het voordeel is de precisie: in plaats van "SSH beveiligen" staat er welke instelling welke waarde moet hebben en hoe u dat controleert. Het nadeel is de omvang. Een volledige benchmark voor een Linux-systeem bevat zeer veel punten en niet elk punt past bij elke bedrijfsvoering.
Let bovendien op de versie. Benchmarks gelden telkens voor bepaalde releases: het CIS-overzicht noemt bijvoorbeeld afzonderlijke uitgaven voor Ubuntu-LTS-versies tot 26.04, voor Debian 9 tot en met 13 en voor RHEL 8, 9 en 10. Wie een benchmark voor een oudere versie op een nieuw systeem toepast, controleert deels instellingen die daar niet meer bestaan en ziet nieuwe over het hoofd. Draait er op een server nog een besturingssysteem zonder ondersteuning van de fabrikant, dan is dat zelf al de belangrijkste bevinding.
De passende BSI-bouwstenen voor PHP-webservers
De IT-Grundschutz van de BSI werkt met bouwstenen die eisen aan systemen en processen beschrijven. Actueel is het IT-Grundschutz-Kompendium in de editie 2023. De BSI bouwt de IT-Grundschutz momenteel om tot een procesgericht, machineleesbaar regelwerk; het bestaande Kompendium blijft volgens de BSI gedurende een overgangsperiode van meerdere jaren toepasbaar.
Voor een PHP-webserver zijn deze bouwstenen het belangrijkst:
| Bouwsteen | Inhoud | Verband met de PHP-webserver |
|---|---|---|
| APP.3.2 Webserver | Beheer en configuratie van de webserver | Nginx, Apache, LiteSpeed |
| APP.3.1 Webanwendungen und Webservices | Eisen aan de applicatie | CMS, webshop, eigen PHP-software |
| SYS.1.3 Server unter Linux und Unix | Hardening van het besturingssysteem | Basis van elke Linux-webserver |
| OPS.1.1.3 Patch- und Änderungsmanagement | Geregeld doorvoeren van updates | PHP-updates, herstarts, bewijsvoering |
| OPS.1.1.5 Protokollierung | Vastleggen en beoordelen van gebeurtenissen | Toegangs- en foutenlogboeken |
| CON.3 Datensicherungskonzept | Back-ups en herstel | Back-up van code en database |
| CON.10 Entwicklung von Webanwendungen | veilige ontwikkeling | eigen PHP-projecten |
De Grundschutz is minder concreet dan een CIS-benchmark, maar dekt daarvoor processen die in geen enkel configuratiebestand staan: wie patcht, wie controleert, wie wordt geïnformeerd.
CIS of BSI: wat past bij uw bedrijf?
De keuze hangt minder af van de techniek dan van de omgeving. Een vuistregel:
- Technische basis voor afzonderlijke servers: CIS-benchmark voor besturingssysteem en webserver, aangevuld met een eigen PHP-richtlijn.
- Overheid, opdrachtgevers met een Grundschutz-verwijzing, gereguleerde sectoren: IT-Grundschutz als kader, CIS-benchmarks voor de concrete uitvoering.
- Bedrijven met ISO 27001 of TISAX: beide werken zijn geschikt als technische onderbouwing van het eigen beleid, zie ISO 27001 en TISAX: wat geldt voor webservers.
- Bedrijven die onder NIS2 vallen: een gedocumenteerde hardeningstandaard helpt bij het aantonen van passende maatregelen. Wat de richtlijn eist, vat NIS2 en webserverbeveiliging samen; in een concreet geval beslist uw juridisch adviseur.
Voor PHP zelf moet u de servervoorschriften aanvullen: geblokkeerde waarden in de php.ini, gescheiden FPM-pools, geen uitvoering in uploadmappen. Een goede basis biedt de gids php.ini veilig configureren.
In zes stappen naar uw eigen hardeningrichtlijn
Een standaard is alleen nuttig als hij in de dagelijkse praktijk aankomt. Deze werkwijze heeft zich bewezen:
- Inventaris opstellen: welke servers, besturingssystemen, webservers en PHP-versies draaien waar?
- Benchmark en bouwstenen kiezen, passend bij versie en beschermingsbehoefte.
- Huidige toestand controleren, bij voorkeur geautomatiseerd, en afwijkingen verzamelen.
- Afwijkingen beoordelen: doorvoeren, bewust accepteren of door andere maatregelen compenseren, telkens met motivering.
- Richtlijn vastleggen, idealiter als configuratie-automatisering, zodat nieuwe servers van meet af aan gehard zijn.
- Regelmatig en na grotere updates opnieuw controleren, want nieuwe pakketten brengen soms nieuwe standaardwaarden mee.
Stap 6 verbindt de hardening met het patchproces. Hoe u updates plannen kunt in plaats van haastig door te voeren, beschrijft Patchbeheer als proces in plaats van brandweer.
Test strenge profielen eerst op een stagingsysteem. Sommige aanbevelingen, bijvoorbeeld over bestandssystemen of netwerkdiensten, kunnen applicaties of toegang op afstand onderbreken.
Hoe helpt PHP SOS concreet?
- Wij inventariseren uw webservers en wijzen elke server de passende CIS-benchmark en de relevante Grundschutz-bouwstenen toe.
- Wij controleren de huidige toestand en leveren een geprioriteerde lijst van afwijkingen met inspanning en baten.
- Wij vullen de richtlijn aan met een PHP-basis voor php.ini, FPM-pools en bestandsrechten.
- Wij documenteren bewuste uitzonderingen zo dat auditors en verzekeraars ze kunnen navolgen.
De uitvoering nemen wij op ons in het kader van de serverhardening voor PHP-webservers.
Veelgestelde vragen
Moet ik elke aanbeveling van een CIS-benchmark doorvoeren?
Nee. Benchmarks zijn een maatstaf, geen wet. Sommige aanbevelingen passen niet bij uw bedrijfsvoering of zouden functies verstoren. Belangrijk is dat u afwijkingen bewust beslist, motiveert en documenteert.
Zijn CIS-benchmarks en IT-Grundschutz concurrenten?
Eerder aanvullingen. CIS-benchmarks leveren concrete instellingen per product en versie. De IT-Grundschutz beschrijft eisen aan systemen en processen, zoals patchbeheer en logging, en plaatst ze in een managementsysteem.
Bestaat er een hardeningstandaard speciaal voor PHP?
PHP-instellingen komen in de gangbare serverstandaarden meestal maar zijdelings voor. In de praktijk vult men de servervoorschriften aan met een eigen PHP-basis, bijvoorbeeld voor php.ini, FPM-pools en bestandsrechten, en richt men zich voor de applicatie naar de bouwstenen over webapplicaties.
Zou een CIS-benchmark PHP2Shell hebben voorkomen?
Nee. PHP2Shell zijn kwetsbaarheden in de PHP-interpreter, waartegen alleen de update helpt. Een geharde server kan wel de gevolgen van een inbraak beperken en met een geregeld patchbeheer zorgen dat updates sneller en aantoonbaar worden doorgevoerd.
Is de IT-Grundschutz te groot voor kleine bedrijven?
Als volledig managementsysteem vaak wel. De afzonderlijke bouwstenen zijn echter goed te gebruiken als checklist voor webservers en webapplicaties, zonder meteen de hele werkwijze over te nemen.