Stručne: Benchmark CIS pre webserver poskytuje konkrétne nastavenia presne podľa verzie pre operačný systém a webserver, napríklad pre Ubuntu, Debian, RHEL, Nginx alebo Apache. Moduly IT-Grundschutz od BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) k tomu opisujú, aké požiadavky platia pre webservery, webové aplikácie, správu záplat a protokolovanie. Spolu dávajú preveriteľnú smernicu spevnenia; nastavenia špecifické pre PHP doplníte sami.
Prečo „dobre nastavený“ nie je meradlo
Po incidente kladie vedenie, poisťovateľ alebo audítor skôr či neskôr tú istú otázku: podľa akého štandardu bol server nastavený? Úprimná odpoveď znie v mnohých firmách: podľa najlepšieho vedomia administrátora, ktorý ho vtedy zriaďoval. To nemusí byť nutne zlé, ale nie je to ani dohľadateľné, ani opakovateľné.
PHP2Shell to urobil viditeľným. Kto chcel vedieť, ktoré servery sú postihnuté, aký režim PHP beží a kedy sa naposledy záplatovalo, musel to na mnohých miestach najprv hľadať. Štandard spevnenia nenahrádza aktualizáciu, ale vytvára práve tento poriadok: určené nastavenia, inventár a pravidelné kontroly.
Dve diela sa na to osvedčili: benchmarky CIS od Center for Internet Security a IT-Grundschutz od BSI.
Čo obsahuje benchmark CIS pre webserver
Benchmarky CIS sú konfiguračné odporúčania založené na konsenze, ktoré spoločne vypracúvajú odborníci z mnohých organizácií. Podľa CIS existujú pre viac než 25 rodín produktov. Pre webservery PHP sú najdôležitejšie tieto: Ubuntu Linux, Debian Linux a Red Hat Enterprise Linux pre operačný systém a Apache HTTP Server 2.4 a NGINX pre webserver.
Každý benchmark je zoznam jednotlivých odporúčaní so zdôvodnením, pokynom na kontrolu a nápravou. Mnohé benchmarky rozlišujú základný profil, ktorý sa dá zaviesť bez veľkých vedľajších účinkov, a prísnejší profil pre vyššiu potrebu ochrany. Na automatickú kontrolu ponúka CIS nástroje, v prostredí benchmarkov pod názvom CIS-CAT.
Výhodou je presnosť: namiesto „zabezpečiť SSH“ tam stojí, ktoré nastavenie má mať akú hodnotu a ako to skontrolovať. Nevýhodou je rozsah. Úplný benchmark pre systém Linux obsahuje veľmi veľa bodov a nie každý sedí na každú prevádzku.
Dávajte pozor aj na verziu. Benchmarky platia vždy pre určité vydania: prehľad CIS uvádza napríklad oddelené vydania pre verzie Ubuntu LTS až po 26.04, pre Debian 9 až 13 a pre RHEL 8, 9 a 10. Kto použije benchmark pre staršiu verziu na nový systém, kontroluje sčasti nastavenia, ktoré tam už neexistujú, a prehliadne nové. Ak na serveri beží operačný systém bez podpory výrobcu, je to samo osebe najdôležitejšie zistenie.
Vhodné moduly BSI pre webservery PHP
IT-Grundschutz od BSI pracuje s modulmi, ktoré opisujú požiadavky na systémy a procesy. Aktuálny je kompendium IT-Grundschutz vo vydaní 2023. BSI IT-Grundschutz momentálne prestavuje na procesne orientovaný, strojovo čitateľný súbor pravidiel; doterajšie kompendium zostáva podľa BSI v niekoľkoročnom prechodnom období použiteľné.
Pre webserver PHP sú najdôležitejšie tieto moduly:
| Modul | Obsah | Vzťah k webserveru PHP |
|---|---|---|
| APP.3.2 Webserver | prevádzka a konfigurácia webservera | Nginx, Apache, LiteSpeed |
| APP.3.1 Webanwendungen und Webservices (webové aplikácie a webové služby) | požiadavky na aplikáciu | CMS, obchod, vlastný softvér PHP |
| SYS.1.3 Server unter Linux und Unix (servery s Linuxom a Unixom) | spevnenie operačného systému | základ každého webservera s Linuxom |
| OPS.1.1.3 Patch- und Änderungsmanagement (správa záplat a zmien) | usporiadané nasadzovanie aktualizácií | aktualizácie PHP, reštarty, doklady |
| OPS.1.1.5 Protokollierung (protokolovanie) | zachytávanie a vyhodnocovanie udalostí | prístupové a chybové protokoly |
| CON.3 Datensicherungskonzept (koncepcia zálohovania) | zálohy a obnova | zálohovanie kódu a databázy |
| CON.10 Entwicklung von Webanwendungen (vývoj webových aplikácií) | bezpečný vývoj | vlastné projekty PHP |
Grundschutz je menej konkrétny než benchmark CIS, pokrýva však procesy, ktoré nestoja v žiadnom konfiguračnom súbore: kto záplatuje, kto kontroluje, kto sa informuje.
CIS alebo BSI: čo sedí na vašu firmu?
Voľba závisí menej od techniky než od prostredia. Základné pravidlo:
- Technický základ pre jednotlivé servery: benchmark CIS pre operačný systém a webserver, doplnený vlastnou smernicou pre PHP.
- Verejná správa, objednávatelia s väzbou na Grundschutz, regulované oblasti: IT-Grundschutz ako rámec, benchmarky CIS na konkrétne zavedenie.
- Firmy s ISO 27001 alebo TISAX: obe diela sa hodia ako technické podloženie vlastných smerníc, pozri ISO 27001 a TISAX: čo sa týka webservera.
- Firmy, na ktoré sa vzťahuje NIS2: zdokumentovaný štandard spevnenia pomáha pri preukazovaní primeraných opatrení. Čo smernica vyžaduje, zhŕňa NIS2 a bezpečnosť webservera; v jednotlivom prípade rozhoduje váš právny poradca (nejde o právne poradenstvo).
Pre samotné PHP by ste mali serverové požiadavky doplniť: zablokované hodnoty v php.ini, oddelené pooly FPM, žiadne spúšťanie v priečinkoch s uploadmi. Dobrý základ ponúka sprievodca Bezpečná konfigurácia php.ini.
V šiestich krokoch k vlastnej smernici spevnenia
Štandard je užitočný, len ak sa dostane do prevádzky. Osvedčil sa tento postup:
- Založiť inventár: ktoré servery, operačné systémy, webservery a verzie PHP bežia kde?
- Vybrať benchmark a moduly podľa verzie a potreby ochrany.
- Skontrolovať aktuálny stav, podľa možnosti automatizovane, a zbierať odchýlky.
- Vyhodnotiť odchýlky: zaviesť, vedome akceptovať alebo kompenzovať inými opatreniami, vždy so zdôvodnením.
- Smernicu zafixovať, ideálne ako automatizáciu konfigurácie, aby boli nové servery spevnené od začiatku.
- Pravidelne a po väčších aktualizáciách znova skontrolovať, pretože nové balíky niekedy prinášajú nové štandardné hodnoty.
Šiesty krok spája spevnenie s procesom záplatovania. Ako aktualizácie nasadzovať plánovane namiesto zhonu, opisuje Správa záplat ako proces namiesto hasenia požiarov.
Prísne profily najprv otestujte na staging systéme. Niektoré odporúčania, napríklad k súborovým systémom alebo sieťovým službám, môžu prerušiť aplikácie alebo vzdialený prístup.
Ako konkrétne pomáha PHP SOS?
- Zachytíme vaše webservery a každému priradíme vhodný benchmark CIS a relevantné moduly Grundschutz.
- Skontrolujeme aktuálny stav a dodáme prioritizovaný zoznam odchýlok s náročnosťou a prínosom.
- Smernicu doplníme o základ PHP pre php.ini, pooly FPM a práva k súborom.
- Vedomé výnimky zdokumentujeme tak, aby ich audítori a poisťovatelia vedeli dohľadať.
Zavedenie preberáme v rámci spevnenia servera (hardening) pre webservery PHP.
Časté otázky
Musím zaviesť každé odporúčanie benchmarku CIS?
Nie. Benchmarky sú meradlo, nie zákon. Niektoré odporúčania nesedia na vašu prevádzku alebo by rušili funkcie. Dôležité je odchýlky rozhodnúť vedome, zdôvodniť ich a zdokumentovať.
Sú benchmarky CIS a IT-Grundschutz konkurenti?
Skôr doplnky. Benchmarky CIS poskytujú konkrétne nastavenia pre jednotlivé produkty a verzie. IT-Grundschutz opisuje požiadavky na systémy a procesy, napríklad správu záplat a protokolovanie, a zaraďuje ich do systému riadenia.
Existuje štandard spevnenia špeciálne pre PHP?
Nastavenia PHP sú v bežných serverových štandardoch zvyčajne obsiahnuté len okrajovo. V praxi sa serverové požiadavky dopĺňajú o vlastný základ PHP, napríklad pre php.ini, pooly FPM a práva k súborom, a pre aplikáciu sa orientuje podľa modulov o webových aplikáciách.
Bol by benchmark CIS zabránil PHP2Shell?
Nie. PHP2Shell sú zraniteľnosti v interpreteri PHP, proti ktorým pomáha len aktualizácia. Spevnený server však dokáže obmedziť následky vlámania a usporiadanou správou záplat zabezpečiť, že sa aktualizácie nasadzujú rýchlejšie a preukázateľne.
Je IT-Grundschutz pre malé firmy príliš veľký?
Ako úplný systém riadenia často áno. Jednotlivé moduly sa však dajú dobre využiť ako kontrolný zoznam pre webservery a webové aplikácie bez toho, aby ste hneď prevzali celý postup.