Em resumo: Um CIS Benchmark para servidores web fornece definições concretas e específicas de cada versão para o sistema operativo e o servidor web, por exemplo para Ubuntu, Debian, RHEL, Nginx ou Apache. Os módulos do IT-Grundschutz (proteção de base de TI) do BSI (Gabinete Federal Alemão para a Segurança da Informação) descrevem, por seu lado, que requisitos se aplicam a servidores web, aplicações web, gestão de patches e registo de eventos. Em conjunto, dão uma diretriz de reforço verificável; as definições específicas do PHP são complementadas por si.
Porque é que “bem configurado” não é uma referência
Depois de um incidente, a administração, a seguradora ou os auditores fazem, mais cedo ou mais tarde, a mesma pergunta: segundo que norma estava o servidor configurado? A resposta honesta, em muitas empresas, é: segundo o melhor conhecimento do administrador que o montou na altura. Isso não é necessariamente mau, mas não é nem rastreável nem repetível.
O PHP2Shell tornou isto visível. Quem queria saber que servidores estavam afetados, que modo de funcionamento do PHP estava em uso e quando tinha sido aplicado o último patch teve, em muitos sítios, de começar por procurar. Uma norma de reforço não substitui uma atualização, mas cria precisamente esta ordem: definições fixadas, um inventário e verificações regulares.
Duas obras provaram a sua utilidade para isso: os CIS Benchmarks do Center for Internet Security e o IT-Grundschutz do BSI.
O que contém um CIS Benchmark para servidores web
Os CIS Benchmarks são recomendações de configuração baseadas em consenso, elaboradas em conjunto por especialistas de muitas organizações. Segundo o CIS, existem para mais de 25 famílias de produtos. Para servidores web PHP são relevantes sobretudo estes: Ubuntu Linux, Debian Linux e Red Hat Enterprise Linux para o sistema operativo, e Apache HTTP Server 2.4 e NGINX para o servidor web.
Cada benchmark é uma lista de recomendações individuais com justificação, instrução de verificação e correção. Muitos benchmarks distinguem um perfil básico, que se pode aplicar sem grandes efeitos secundários, e um perfil mais rigoroso para necessidades de proteção mais elevadas. Para a verificação automática, o CIS oferece ferramentas, conhecidas no âmbito dos benchmarks pelo nome CIS-CAT.
A vantagem é a precisão: em vez de “proteger o SSH”, indica-se que definição deve ter que valor e como o verificar. A desvantagem é a dimensão. Um benchmark completo para um sistema Linux contém muitíssimos pontos, e nem todos se adequam a todas as operações.
Atenção também à versão. Os benchmarks aplicam-se a determinadas versões: a vista geral do CIS indica, por exemplo, edições separadas para versões LTS do Ubuntu até à 26.04, para o Debian 9 a 13 e para o RHEL 8, 9 e 10. Quem aplica o benchmark de uma versão mais antiga a um sistema novo verifica, em parte, definições que aí já não existem e deixa passar as novas. Se num servidor ainda corre um sistema operativo sem suporte do fabricante, isso é, por si só, a constatação mais importante.
Os módulos do BSI adequados para servidores web PHP
O IT-Grundschutz do BSI trabalha com módulos que descrevem requisitos para sistemas e processos. Atualmente, o Compêndio do IT-Grundschutz está na edição de 2023. O BSI está neste momento a converter o IT-Grundschutz num conjunto de regras orientado para processos e legível por máquina; segundo o BSI, o compêndio atual continua aplicável durante um período de transição de vários anos.
Para um servidor web PHP, estes são os módulos mais importantes:
| Módulo | Conteúdo | Relação com o servidor web PHP |
|---|---|---|
| APP.3.2 Servidor web | operação e configuração do servidor web | Nginx, Apache, LiteSpeed |
| APP.3.1 Aplicações web e serviços web | requisitos para a aplicação | CMS, loja, software PHP próprio |
| SYS.1.3 Servidores em Linux e Unix | reforço do sistema operativo | base de qualquer servidor web Linux |
| OPS.1.1.3 Gestão de patches e de alterações | aplicação ordenada de atualizações | atualizações do PHP, reinícios, comprovativo |
| OPS.1.1.5 Registo de eventos | recolha e análise de eventos | registos de acesso e de erros |
| CON.3 Conceito de cópias de segurança | backups e recuperação | cópia de segurança do código e da base de dados |
| CON.10 Desenvolvimento de aplicações web | desenvolvimento seguro | projetos PHP próprios |
O Grundschutz é menos concreto do que um CIS Benchmark, mas abrange processos que não estão em nenhum ficheiro de configuração: quem aplica os patches, quem verifica, quem é informado.
CIS ou BSI: o que serve à sua empresa?
A escolha depende menos da técnica do que do contexto. Uma regra prática:
- Base técnica para servidores individuais: CIS Benchmark para o sistema operativo e o servidor web, complementado por uma diretriz PHP própria.
- Administração pública, clientes com referência ao Grundschutz, áreas reguladas: IT-Grundschutz como enquadramento, CIS Benchmarks para a aplicação concreta.
- Empresas com ISO 27001 ou TISAX: ambas as obras servem de suporte técnico às políticas próprias, ver ISO 27001 e TISAX: o que afeta os servidores web.
- Empresas abrangidas pela NIS2: uma norma de reforço documentada ajuda a comprovar medidas adequadas. O que a diretiva exige é resumido em NIS2 e segurança dos servidores web; em cada caso concreto, decide o seu aconselhamento jurídico.
Para o próprio PHP, deve complementar as diretrizes do servidor: valores bloqueados no php.ini, pools FPM separados, sem execução em pastas de upload. Uma boa base é o guia Configurar o php.ini com segurança.
Em seis passos até à sua própria diretriz de reforço
Uma norma só serve se chegar à operação. Este procedimento provou ser útil:
- Criar o inventário: que servidores, sistemas operativos, servidores web e versões de PHP correm onde?
- Escolher o benchmark e os módulos, adequados à versão e à necessidade de proteção.
- Verificar o estado atual, se possível de forma automatizada, e recolher os desvios.
- Avaliar os desvios: aplicar, aceitar conscientemente ou compensar com outras medidas, sempre com fundamentação.
- Fixar a diretriz, idealmente como automatização da configuração, para que os novos servidores sejam reforçados desde o início.
- Verificar de novo regularmente e após atualizações maiores, pois os novos pacotes trazem por vezes novos valores por defeito.
O passo 6 liga o reforço ao processo de patches. Como aplicar atualizações de forma planeada, e não em pânico, é descrito em Gestão de patches como processo, e não como corpo de bombeiros.
Teste primeiro os perfis rigorosos num sistema de staging. Algumas recomendações, por exemplo sobre sistemas de ficheiros ou serviços de rede, podem interromper aplicações ou acessos remotos.
Como ajuda concretamente a PHP SOS?
- Registamos os seus servidores web e atribuímos a cada um o CIS Benchmark adequado e os módulos relevantes do Grundschutz.
- Verificamos o estado atual e entregamos uma lista priorizada dos desvios, com esforço e benefício.
- Complementamos a diretriz com uma base PHP para o php.ini, os pools FPM e as permissões de ficheiros.
- Documentamos as exceções deliberadas de modo a que auditores e seguradoras as possam compreender.
A implementação fica a nosso cargo no âmbito do reforço de segurança de servidores para servidores web PHP.
Perguntas frequentes
Tenho de aplicar todas as recomendações de um CIS Benchmark?
Não. Os benchmarks são uma referência, não uma lei. Algumas recomendações não se adequam à sua operação ou perturbariam funções. O importante é decidir os desvios de forma consciente, fundamentá-los e documentá-los.
Os CIS Benchmarks e o IT-Grundschutz são concorrentes?
Antes são complementares. Os CIS Benchmarks fornecem definições concretas por produto e versão. O IT-Grundschutz descreve requisitos para sistemas e processos, por exemplo gestão de patches e registo de eventos, e enquadra-os num sistema de gestão.
Existe uma norma de reforço específica para PHP?
As definições do PHP aparecem, nas normas de servidor correntes, normalmente só de forma marginal. Na prática, complementam-se as diretrizes do servidor com uma base PHP própria, por exemplo para php.ini, pools FPM e permissões de ficheiros, e orienta-se a aplicação pelos módulos sobre aplicações web.
Um CIS Benchmark teria evitado o PHP2Shell?
Não. O PHP2Shell são vulnerabilidades no interpretador PHP, contra as quais só ajuda a atualização. Um servidor reforçado pode, no entanto, limitar as consequências de uma intrusão e, através de uma gestão de patches ordenada, fazer com que as atualizações sejam aplicadas mais depressa e de forma comprovável.
O IT-Grundschutz é demasiado grande para pequenas empresas?
Como sistema de gestão completo, muitas vezes sim. Os módulos individuais podem, no entanto, ser bem usados como lista de verificação para servidores web e aplicações web, sem adotar de imediato todo o procedimento.