Pe scurt: Nivelul de alertă portocaliu BSI (Oficiul Federal German pentru Securitatea Informațiilor) este al doilea nivel dintre patru. El înseamnă: situația de amenințare IT este critică pentru afaceri, funcționarea normală poate fi afectată masiv. Pentru PHP2Shell, BSI a atribuit acest nivel 3 și recomandă actualizarea imediată sau, dacă aceasta nu este posibilă, scoaterea temporară din rețea a serverelor web afectate. Pentru companii, portocaliu înseamnă: subiectul trebuie pus astăzi pe masa conducerii.
Ce înseamnă încadrarea pentru factorii de decizie
Mulți directori au auzit la știri despre „nivelul de alertă portocaliu” fără să știe cum să îl încadreze. Este o alarmă pentru toți sau un subiect pentru departamentul IT? Răspunsul scurt: portocaliu este nivelul la care BSI pornește de la premisa că cei afectați riscă, fără acțiune rapidă, perturbări serioase ale afacerii lor.
Potrivit hessenschau, BSI a vorbit în cazul PHP2Shell despre un potențial de amenințare excepțional. A anticipat o exploatare rapidă și pe scară largă. Atacuri reușite confirmate pe scară largă nu erau cunoscute, potrivit BSI, la momentul avertismentului. Ambele aspecte merg împreună: nivelul ridicat descrie riscul, nu un prejudiciu deja produs.
Nivelul de alertă portocaliu BSI și celelalte trei niveluri
BSI își încadrează avertismentele de securitate cibernetică pe o scară de la 1 la 4. Tabelul următor redă sensul:
| Nivel | Culoare | Semnificație (în sens) |
|---|---|---|
| 1 | Gri | situație de amenințare IT fără aspecte semnificative |
| 2 | Galben | observare intensificată a unor aspecte neobișnuite, funcționarea normală afectată temporar |
| 3 | Portocaliu | situație critică pentru afaceri, afectare masivă a funcționării normale |
| 4 | Roșu | situație extrem de critică, funcționarea normală nu mai poate fi menținută în multe domenii |
Nivelul spune ceva despre situația în ansamblu, nu despre serverul dumneavoastră individual. Un server web complet actualizat și verificat se află într-o poziție bună și la portocaliu. Un server fără patch, cu PHP 8.1 și mod_php, este expus riscului și la un nivel mai scăzut.
Cum folosiți scara intern
Multe companii au propriile niveluri de urgență, de exemplu în manualul de urgență sau în cadrul unui sistem de management al securității informațiilor. Merită să atribuiți nivelurile BSI acolo în mod fix. O regulă simplă poate fi: la galben, IT verifică în cadrul funcționării normale. La portocaliu, conducerea este informată în aceeași zi, se numește un responsabil și se întocmește în scris starea tuturor sistemelor afectate. La roșu se întrunește celula de criză.
Astfel, dintr-un mesaj se naște o reacție exersată. Cine a stabilit atribuirea dinainte nu trebuie să discute în caz grav dacă situația este „suficient de gravă”. La PHP2Shell, această regulă ar fi însemnat: încă pe 21 octombrie inventariere, plan de patch și decizie privind opririle.
BSI publică avertismentele pe site-ul său, unde sunt actualizate și atunci când apar noi constatări. Merită să citiți versiunea actuală, deoarece recomandările și evaluările se pot schimba pe parcursul unei situații.
De ce este PHP2Shell portocaliu și nu roșu
Pentru comparație este adesea invocat Log4Shell. Pentru vulnerabilitatea din biblioteca Java Log4j, BSI a declarat în decembrie 2021 nivelul roșu, potrivit relatărilor de atunci printre altele pentru că vulnerabilitatea putea fi exploatată trivial și erau deja cunoscute compromiteri. În ianuarie 2022, avertismentul a fost retrogradat, potrivit Bundestagului, la galben.
Motivarea exactă a nivelului portocaliu la PHP2Shell o cunoaște doar BSI. Diferențe vizibile sunt situația atacurilor confirmate și faptul că există o actualizare pentru toate ramurile PHP suportate. O confruntare detaliată oferă articolul PHP2Shell și Log4Shell. Portocaliu nu este o încetare a alertei. Recomandarea de a scoate serverele din rețea la nevoie este, pentru o autoritate, o afirmație clară.
Nivelul de alertă se poate schimba, în ambele direcții. Hotărâtoare este starea actuală de pe site-ul BSI, nu un articol de ziar din ziua precedentă.
Ce nu înseamnă portocaliu
Trei neînțelegeri le întâlnim în prezent frecvent:
- „Portocaliu înseamnă că am fost hackuiți.” Nu. Nivelul descrie situația de amenințare, nu o constatare asupra sistemelor dumneavoastră.
- „Portocaliu se aplică doar autorităților.” Nu. Avertismentele se adresează tuturor operatorilor sistemelor afectate, inclusiv companiilor mici.
- „Dacă avem Cloudflare sau un WAF, portocaliu nu ne privește.” Nu. Regulile de protecție reduc riscul, dar nu înlocuiesc actualizarea PHP.
Dacă din avertisment rezultă obligații legale, de exemplu în cadrul NIS2, depinde de sectorul și de dimensiunea dumneavoastră. Aceasta nu este consultanță juridică; clarificați detaliile cu consilierul dumneavoastră juridic sau cu responsabilul cu protecția datelor.
Transpunerea încadrării în decizii
Un nivel de alertă valorează cât valorează deciziile care rezultă din el. Pentru PHP2Shell recomandăm companiilor această ordine:
- Clarificați dacă sunteți afectați: Ce servere și site-uri rulează cu PHP, cine le operează?
- Dovediți nivelul de patch: versiune corectată 8.5.12, 8.4.27, 8.3.36 sau 8.2.35, ori un backport confirmat de furnizor.
- Asigurați repornirea: Toate procesele PHP trebuie să fie repornite.
- Dacă aceasta nu este posibilă imediat: setați măsuri provizorii sau scoateți temporar serverul din rețea, așa cum recomandă BSI. Opțiunile le descrie Măsuri imediate fără patch.
- Verificați urmele și salvați logurile: începând cu 20 octombrie.
- Documentați deciziile: cine a decis ce, când și pe ce bază.
Tocmai ultimul punct este subestimat. Cine a acționat verificabil la un avertisment oficial de nivel portocaliu stă mai bine în fața asigurătorilor, clienților și autorităților de supraveghere. Context oferă pagina despre răspunderea conducerii.
Cum ajută PHP SOS concret?
- Situația pentru compania dumneavoastră: Traducem încadrarea BSI într-o listă a sistemelor dumneavoastră afectate, cu prioritate.
- Punerea în aplicare a recomandării: Aplicăm patchul, repornim sau setăm măsuri provizorii, până când actualizarea este posibilă.
- Dovadă: Primiți o documentație despre ce s-a făcut, când și pe ce server.
- Observare: Dacă BSI modifică încadrarea sau apar anunțuri noi, le încadrăm pentru sistemele dumneavoastră.
Mai mult la asistența de urgență PHP2Shell.
Concluzie
Nivelul de alertă portocaliu este al doilea nivel al BSI și este bine motivat pentru PHP2Shell. Nu cere panică, dar cere o decizie în aceeași zi: actualizare, repornire, verificare sau oprire temporară. Cine documentează acest lucru a citit corect avertismentul.
Întrebări frecvente
Câte niveluri de alertă are BSI?
Avertismentele de securitate cibernetică ale BSI folosesc patru niveluri: 1 / gri, 2 / galben, 3 / portocaliu și 4 / roșu. Portocaliu este al doilea nivel ca gravitate și descrie o situație de amenințare IT critică pentru afaceri, cu afectarea masivă a funcționării normale.
Este nivelul de alertă portocaliu o obligație de a acționa?
Avertismentul în sine este o evaluare de specialitate cu recomandări de acțiune. Ce obligații rezultă de aici pentru compania dumneavoastră, de exemplu din NIS2, din contracte sau din condițiile de asigurare, depinde de cazul concret. Clarificați cu consilierul dumneavoastră juridic; aceasta nu este consultanță juridică.
De ce nu este PHP2Shell nivel roșu?
Motivele unei încadrări le stabilește BSI însuși. Izbitoare este o diferență față de Log4Shell, care a primit roșu în 2021: acolo erau deja cunoscute, potrivit relatărilor de atunci, compromiteri. La PHP2Shell, atacurile reușite confirmate pe scară largă nu erau cunoscute inițial, potrivit BSI.
Se poate schimba nivelul de alertă?
Da. BSI adaptează încadrările la situație, în sus ca și în jos. Log4Shell, de exemplu, a fost retrogradat, potrivit Bundestagului, în ianuarie 2022 de la roșu la galben. Verificați starea actuală direct la BSI.