Stručne: Stupeň varovania BSI oranžový je druhý najvyšší zo štyroch stupňov. Znamená: situácia IT ohrozenia je kritická pre podnikanie, bežná prevádzka môže byť masívne narušená. Pre PHP2Shell prideľuje BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) tento stupeň 3 a odporúča okamžitú aktualizáciu alebo, ak to nejde, dotknuté webové servery dočasne odpojiť od siete. Pre podniky znamená oranžový: téma patrí dnes na stôl vedenia.
Čo zaradenie znamená pre rozhodovateľov
Mnohí konatelia počuli v správach o „stupni varovania oranžový“, bez toho, aby vedeli, ako ho zaradiť. Je to poplach pre všetkých, alebo téma pre IT oddelenie? Krátka odpoveď: oranžový je stupeň, pri ktorom BSI vychádza z toho, že bez rýchleho konania hrozia dotknutým vážne poruchy ich podnikania.
Podľa hessenschau hovorilo BSI pri PHP2Shell o mimoriadnom potenciáli ohrozenia. Počítalo s rýchlym, plošným zneužívaním. Potvrdené úspešné útoky vo väčšom rozsahu neboli v čase varovania podľa BSI známe. Oboje patrí k sebe: vysoký stupeň opisuje riziko, nie škodu, ktorá už nastala.
Stupeň oranžový a ďalšie tri stupne
BSI zaraďuje svoje kybernetické bezpečnostné varovania na stupnici od 1 do 4. Nasledujúca tabuľka vystihuje význam zmysluplne:
| Stupeň | Farba | Význam (zmysluplne) |
|---|---|---|
| 1 | sivý | situácia IT ohrozenia bez podstatných nápadností |
| 2 | žltý | zvýšené sledovanie nápadností, bežná prevádzka dočasne narušená |
| 3 | oranžový | situácia kritická pre podnikanie, masívne narušenie bežnej prevádzky |
| 4 | červený | extrémne kritická situácia, bežnú prevádzku už nemožno v mnohých oblastiach udržať |
Stupeň vypovedá o situácii ako celku, nie o vašom jednotlivom serveri. Plne zaplátaný a skontrolovaný webový server je v dobrej pozícii aj pri oranžovom. Nezaplátaný server s PHP 8.1 a mod_php je ohrozený aj pri nižšom stupni.
Ako stupnicu využiť interne
Mnohé podniky majú vlastné núdzové stupne, napríklad v havarijnej príručke alebo v rámci systému riadenia informačnej bezpečnosti. Oplatí sa stupne BSI tam pevne priradiť. Jednoduché pravidlo môže znieť: pri žltom kontroluje IT v rámci bežnej prevádzky. Pri oranžovom je vedenie informované v ten istý deň, určí sa zodpovedná osoba a stav všetkých dotknutých systémov sa zistí písomne. Pri červenom sa zíde krízový štáb.
Tak sa z jednej správy stane nacvičená reakcia. Kto priradenie určil vopred, nemusí v krízovom prípade diskutovať, či je situácia „dosť vážna“. Pri PHP2Shell by toto pravidlo znamenalo: ešte 21. októbra súpis, plán záplat a rozhodnutie o vypnutiach.
Samotné varovania zverejňuje BSI na svojom webe, kde ich pri nových poznatkoch aj aktualizuje. Oplatí sa čítať vždy aktuálne znenie, lebo odporúčania a posúdenia sa môžu počas situácie meniť.
Prečo je PHP2Shell oranžový a nie červený
Na porovnanie sa často uvádza Log4Shell. Pre zraniteľnosť v knižnici Java Log4j vyhlásilo BSI v decembri 2021 stupeň červený, podľa vtedajších správ okrem iného preto, že zraniteľnosť bola triviálne zneužiteľná a kompromitácie boli už známe. V januári 2022 bolo varovanie podľa Bundestagu znížené na žltý.
Presné odôvodnenie oranžového stupňa pri PHP2Shell pozná len BSI. Rozpoznateľné rozdiely sú situácia pri potvrdených útokoch a skutočnosť, že pre všetky podporované vetvy PHP je aktualizácia k dispozícii. Podrobné porovnanie ponúka príspevok PHP2Shell a Log4Shell. Oranžový pritom nie je uvoľnením. Odporúčanie v prípade potreby odpojiť servery od siete je pre úrad jasné vyhlásenie.
Stupeň varovania sa môže meniť, oboma smermi. Rozhodujúci je aktuálny stav na webe BSI, nie novinový článok z predchádzajúceho dňa.
Čo oranžový neznamená
V súčasnosti sa stretávame najčastejšie s tromi nedorozumeniami:
- „Oranžový znamená, že sme napadnutí.“ Nie. Stupeň opisuje situáciu ohrozenia, nie nález na vašich systémoch.
- „Oranžový platí len pre úrady.“ Nie. Varovania sú určené všetkým prevádzkovateľom dotknutých systémov, aj malým podnikom.
- „Ak máme Cloudflare alebo WAF, oranžový sa nás netýka.“ Nie. Ochranné pravidlá znižujú riziko, ale aktualizáciu PHP nenahrádzajú.
Či z varovania vyplývajú právne povinnosti, napríklad v rámci NIS2, závisí od vášho odvetvia a veľkosti. Toto nie je právne poradenstvo; podrobnosti objasnite s vaším právnym poradcom alebo zodpovednou osobou pre ochranu údajov.
Zaradenie premeniť na rozhodnutia
Stupeň varovania má hodnotu len taký, aké rozhodnutia z neho vyplynú. Pre PHP2Shell odporúčame podnikom toto poradie:
- Objasniť dotknutosť: Ktoré servery a weby bežia s PHP, kto ich prevádzkuje?
- Doložiť stav záplat: opravená verzia 8.5.12, 8.4.27, 8.3.36 alebo 8.2.35, alebo backport potvrdený poskytovateľom.
- Zabezpečiť reštart: Všetky procesy PHP musia byť reštartované.
- Ak to hneď nejde: Nastaviť prechodné opatrenia alebo server dočasne odpojiť od siete, ako odporúča BSI. Možnosti popisuje Okamžité opatrenia bez záplaty.
- Skontrolovať stopy a zálohovať logy: od 20. októbra.
- Zdokumentovať rozhodnutia: kto, čo a kedy rozhodol a na akom základe.
Práve posledný bod sa podceňuje. Kto pri oficiálnom varovaní stupňa oranžový konal nasledovateľne, stojí voči poisťovniam, zákazníkom a dohľadovým orgánom lepšie. Súvislosti poskytuje stránka o zodpovednosti vedenia.
Ako konkrétne pomáha PHP SOS?
- Situácia pre váš podnik: Zaradenie BSI premieňame na zoznam vašich dotknutých systémov s prioritou.
- Realizácia odporúčania: Záplatujeme, reštartujeme alebo nastavujeme prechodné opatrenia, kým nie je aktualizácia možná.
- Doklad: Dostanete dokumentáciu, čo sa kedy stalo na ktorom serveri.
- Sledovanie: Ak BSI zmení zaradenie alebo prídu nové hlásenia, zaradíme ich pre vaše systémy.
Viac pod okamžitá pomoc pri PHP2Shell.
Záver
Stupeň varovania oranžový je druhý najvyšší stupeň BSI a pre PHP2Shell je dobre odôvodnený. Nevyžaduje paniku, ale rozhodnutie v ten istý deň: záplatovať, reštartovať, skontrolovať alebo dočasne vypnúť. Kto to zdokumentuje, varovanie správne pochopil.
Časté otázky
Koľko stupňov varovania má BSI?
Kybernetické bezpečnostné varovania BSI používajú štyri stupne: 1 / sivý, 2 / žltý, 3 / oranžový a 4 / červený. Oranžový je druhý najvyšší stupeň a opisuje situáciu IT ohrozenia kritickú pre podnikanie s masívnym narušením bežnej prevádzky.
Je stupeň varovania oranžový povinnosťou konať?
Samotné varovanie je odborné posúdenie s odporúčaniami krokov. Aké povinnosti z neho pre váš podnik vyplývajú, napríklad z NIS2, zmlúv alebo poistných podmienok, závisí od konkrétneho prípadu. Objasnite to s vaším právnym poradcom; toto nie je právne poradenstvo.
Prečo PHP2Shell nie je stupeň červený?
Dôvody zaradenia určuje samotné BSI. Nápadný je rozdiel oproti Log4Shell, ktorý v roku 2021 dostal červený stupeň: tam boli podľa vtedajších správ známe už kompromitácie. Pri PHP2Shell neboli potvrdené úspešné útoky vo väčšom rozsahu podľa BSI spočiatku známe.
Môže sa stupeň varovania zmeniť?
Áno. BSI prispôsobuje zaradenie situácii, smerom nahor aj nadol. Log4Shell bol napríklad podľa Bundestagu v januári 2022 znížený z červeného na žltý. Aktuálny stav si overte priamo na BSI.