Krótko: Poziom pomarańczowy BSI (niemieckiego Federalnego Urzędu ds. Bezpieczeństwa w Technice Informatycznej) jest drugim co do wysokości z czterech poziomów. Oznacza: sytuacja zagrożenia IT jest krytyczna dla biznesu, normalna praca może zostać poważnie zakłócona. Dla PHP2Shell BSI nadał ten poziom 3 i zaleca natychmiastową aktualizację lub, jeśli to niemożliwe, czasowe odłączenie dotkniętych serwerów WWW od sieci. Dla firm pomarańczowy oznacza: temat należy dziś do spraw kierownictwa.
Co klasyfikacja oznacza dla decydentów
Wielu prezesów usłyszało w wiadomościach o „poziomie pomarańczowym”, nie wiedząc, jak to ocenić. Czy to alarm dla wszystkich, czy temat dla działu IT? Krótka odpowiedź: pomarańczowy to poziom, przy którym BSI zakłada, że poszkodowani bez szybkiego działania ryzykują poważne zakłócenia swojej działalności.
Według hessenschau BSI mówiło w przypadku PHP2Shell o wyjątkowym potencjale zagrożenia. Spodziewało się szybkiego, szeroko zakrojonego wykorzystania. Potwierdzone udane ataki na szeroką skalę nie były w chwili ostrzeżenia według BSI znane. Jedno i drugie należy do siebie: wysoki poziom opisuje ryzyko, a nie szkodę, która już wystąpiła.
Poziom pomarańczowy BSI i pozostałe trzy poziomy
BSI klasyfikuje swoje ostrzeżenia dotyczące cyberbezpieczeństwa w skali od 1 do 4. Poniższa tabela oddaje znaczenie w przybliżeniu:
| Poziom | Kolor | Znaczenie (w przybliżeniu) |
|---|---|---|
| 1 | Szary | sytuacja zagrożenia IT bez istotnych nieprawidłowości |
| 2 | Żółty | wzmożona obserwacja nieprawidłowości, normalna praca czasowo zakłócona |
| 3 | Pomarańczowy | sytuacja krytyczna dla biznesu, poważne zakłócenie normalnej pracy |
| 4 | Czerwony | sytuacja skrajnie krytyczna, normalna praca w wielu obszarach niemożliwa do utrzymania |
Poziom mówi coś o sytuacji ogólnej, a nie o Państwa pojedynczym serwerze. W pełni załatany i sprawdzony serwer WWW jest w dobrej pozycji także przy pomarańczowym. Niezałatany serwer z PHP 8.1 i mod_php jest zagrożony także przy niższym poziomie.
Jak wykorzystać skalę wewnętrznie
Wiele firm ma własne poziomy awaryjne, na przykład w podręczniku postępowania awaryjnego lub w ramach zarządzania bezpieczeństwem informacji. Warto na stałe przyporządkować tam poziomy BSI. Prosta reguła może brzmieć: przy żółtym IT sprawdza w ramach normalnej pracy. Przy pomarańczowym kierownictwo jest informowane tego samego dnia, wyznaczana jest osoba odpowiedzialna, a stan wszystkich dotkniętych systemów jest ustalany na piśmie. Przy czerwonym zbiera się sztab kryzysowy.
W ten sposób z wiadomości powstaje wyćwiczona reakcja. Kto ustalił przyporządkowanie wcześniej, nie musi w przypadku poważnym dyskutować, czy sytuacja jest „dość poważna”. W przypadku PHP2Shell reguła ta oznaczałaby: jeszcze 21 października inwentaryzacja, plan łatania i decyzja o wyłączeniach.
Same ostrzeżenia BSI publikuje na swojej stronie, gdzie są też aktualizowane przy nowych ustaleniach. Warto czytać każdorazowo aktualną wersję, ponieważ zalecenia i oceny mogą się zmieniać w trakcie trwania sytuacji.
Dlaczego PHP2Shell jest pomarańczowe, a nie czerwone
Dla porównania często przywołuje się Log4Shell. Dla luki w bibliotece Javy Log4j BSI ogłosiło w grudniu 2021 roku poziom czerwony, według ówczesnych doniesień między innymi dlatego, że lukę można było wykorzystać trywialnie i znane były już naruszenia. W styczniu 2022 roku ostrzeżenie zostało według Bundestagu obniżone do żółtego.
Dokładne uzasadnienie poziomu pomarańczowego dla PHP2Shell zna tylko BSI. Widoczne różnice to sytuacja w zakresie potwierdzonych ataków oraz fakt, że dla wszystkich wspieranych gałęzi PHP dostępna jest aktualizacja. Szczegółowe zestawienie oferuje artykuł PHP2Shell i Log4Shell. Pomarańczowy nie jest przy tym odwołaniem alarmu. Zalecenie, by w razie potrzeby odłączyć serwery od sieci, jest dla urzędu wyraźnym komunikatem.
Poziom ostrzeżenia może się zmienić, w obu kierunkach. Miarodajny jest aktualny stan na stronie BSI, a nie artykuł prasowy z poprzedniego dnia.
Czego pomarańczowy nie oznacza
Trzy nieporozumienia spotykamy obecnie często:
- „Pomarańczowy znaczy, że nas zhakowano.” Nie. Poziom opisuje sytuację zagrożenia, a nie ustalenie dotyczące Państwa systemów.
- „Pomarańczowy dotyczy tylko urzędów.” Nie. Ostrzeżenia są skierowane do wszystkich operatorów dotkniętych systemów, także małych firm.
- „Jeśli mamy Cloudflare lub WAF, pomarańczowy nas nie dotyczy.” Nie. Reguły ochronne obniżają ryzyko, ale nie zastępują aktualizacji PHP.
To, czy z ostrzeżenia wynikają obowiązki prawne, na przykład w ramach NIS2, zależy od Państwa branży i wielkości. Nie jest to porada prawna; szczegóły proszę wyjaśnić z doradcą prawnym lub inspektorem ochrony danych.
Przełożenie klasyfikacji na decyzje
Poziom ostrzeżenia jest wart tyle, ile decyzji z niego wynika. Dla PHP2Shell polecamy firmom taką kolejność:
- Ustalić, kogo dotyczy: Które serwery i strony działają na PHP, kto je prowadzi?
- Udokumentować stan poprawek: naprawiona wersja 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo backport potwierdzony przez dostawcę.
- Zapewnić restart: Wszystkie procesy PHP muszą być zrestartowane.
- Jeśli nie da się tego zrobić od razu: wdrożyć środki przejściowe lub czasowo odłączyć serwer od sieci, jak zaleca BSI. Opcje opisuje strona Środki doraźne bez poprawki.
- Sprawdzić ślady i zabezpieczyć logi: od 20 października.
- Udokumentować decyzje: kto, co i kiedy zdecydował oraz na jakiej podstawie.
Właśnie ostatni punkt bywa niedoceniany. Kto przy oficjalnym ostrzeżeniu poziomu pomarańczowego działał w sposób możliwy do prześledzenia, stoi lepiej wobec ubezpieczycieli, klientów i organów nadzoru. Tło przedstawia strona o odpowiedzialności zarządu.
Jak konkretnie pomaga PHP SOS?
- Sytuacja dla Państwa firmy: Przekładamy klasyfikację BSI na listę dotkniętych Państwa systemów z priorytetem.
- Wdrożenie zalecenia: Łatamy, restartujemy lub wdrażamy środki przejściowe, aż aktualizacja będzie możliwa.
- Dowód: Otrzymują Państwo dokumentację, co i kiedy zostało zrobione na którym serwerze.
- Obserwacja: Jeśli BSI zmieni klasyfikację lub pojawią się nowe komunikaty, oceniamy je dla Państwa systemów.
Więcej pod hasłem natychmiastowa pomoc przy PHP2Shell.
Podsumowanie
Poziom pomarańczowy to drugi co do wysokości poziom BSI i dla PHP2Shell jest dobrze uzasadniony. Nie wymaga paniki, ale wymaga decyzji tego samego dnia: załatać, zrestartować, sprawdzić lub czasowo wyłączyć. Kto to udokumentuje, właściwie odczytał ostrzeżenie.
Częste pytania
Ile poziomów ostrzeżeń ma BSI?
Ostrzeżenia BSI w zakresie cyberbezpieczeństwa wykorzystują cztery poziomy: 1 / szary, 2 / żółty, 3 / pomarańczowy i 4 / czerwony. Pomarańczowy jest drugim co do wysokości poziomem i opisuje sytuację zagrożenia IT krytyczną dla biznesu, z poważnym zakłóceniem normalnej pracy.
Czy poziom pomarańczowy BSI to obowiązek działania?
Samo ostrzeżenie jest oceną fachową z zaleceniami działań. Jakie obowiązki wynikają z niego dla Państwa firmy, na przykład z NIS2, umów czy warunków ubezpieczenia, zależy od konkretnego przypadku. Proszę wyjaśnić to z doradcą prawnym; nie jest to porada prawna.
Dlaczego PHP2Shell nie ma poziomu czerwonego?
Powody klasyfikacji ustala sam BSI. Uderza różnica wobec Log4Shell, który w 2021 roku otrzymał poziom czerwony: według ówczesnych doniesień znane były tam już przypadki naruszeń. W przypadku PHP2Shell potwierdzone udane ataki na szeroką skalę według BSI początkowo nie były znane.
Czy poziom ostrzeżenia może się zmienić?
Tak. BSI dostosowuje klasyfikacje do sytuacji, w górę i w dół. Log4Shell został na przykład według Bundestagu w styczniu 2022 roku obniżony z czerwonego na żółty. Aktualny stan należy sprawdzać bezpośrednio w BSI.