Na kratko: Opozorilna stopnja BSI oranžna je druga najvišja od štirih stopenj. Pomeni: položaj IT-groženj je poslovno kritičen, redno delovanje je lahko bistveno oviran. BSI (nemški zvezni urad za informacijsko varnost) je to stopnjo 3 dodelil za PHP2Shell in priporoča takojšnjo posodobitev ali, če to ni mogoče, začasen umik prizadetih spletnih strežnikov z omrežja. Za podjetja oranžna pomeni: tema sodi še danes na mizo vodstva.
Kaj ocena pomeni za odločevalce
Mnogi direktorji so v novicah slišali za „opozorilno stopnjo oranžna“, ne da bi vedeli, kako jo uvrstiti. Je to alarm za vse ali tema za IT-oddelek? Kratek odgovor: oranžna je stopnja, pri kateri BSI izhaja iz tega, da prizadeti brez hitrega ukrepanja tvegajo resne motnje svojega poslovanja.
Po poročanju hessenschau je BSI pri PHP2Shell govoril o izjemnem potencialu grožnje. Računal je s hitrim in obsežnim izkoriščanjem. Potrjeni uspešni napadi v širšem obsegu ob času opozorila po navedbah BSI niso bili znani. Oboje sodi skupaj: visoka stopnja opisuje tveganje, ne že nastale škode.
Opozorilna stopnja BSI oranžna in druge tri stopnje
BSI svoja kibernetska varnostna opozorila razvršča na lestvici od 1 do 4. Naslednja tabela pomen povzema po smislu:
| Stopnja | Barva | Pomen (po smislu) |
|---|---|---|
| 1 | siva | položaj IT-groženj brez bistvenih nepravilnosti |
| 2 | rumena | okrepljeno opazovanje nepravilnosti, redno delovanje občasno oviran |
| 3 | oranžna | poslovno kritičen položaj, bistveno oviranje rednega delovanja |
| 4 | rdeča | skrajno kritičen položaj, redno delovanje na mnogih področjih ni več mogoče vzdrževati |
Stopnja pove nekaj o položaju kot celoti, ne o vašem posameznem strežniku. Povsem popravljen in preverjen spletni strežnik je tudi pri oranžni v dobrem položaju. Nepopravljen strežnik s PHP 8.1 in mod_php je ogrožen tudi pri nižji stopnji.
Kako lestvico uporabite notranje
Mnoga podjetja imajo lastne zasilne stopnje, na primer v priročniku za izredne razmere ali v okviru sistema upravljanja informacijske varnosti. Splača se stopnje BSI tam trdno razvrstiti. Preprosto pravilo je lahko: pri rumeni IT preveri v okviru običajnega delovanja. Pri oranžni se poslovodstvo obvesti še isti dan, določi se odgovorna oseba in pisno se zajame stanje vseh prizadetih sistemov. Pri rdeči se sestane krizni štab.
Tako iz novice nastane izurjen odziv. Kdor je razvrstitev določil vnaprej, se mu v resnem primeru ni treba pogovarjati o tem, ali je stanje „dovolj resno“. Pri PHP2Shell bi to pravilo pomenilo: še 21. oktobra popis stanja, načrt posodobitev in odločitev o izklopih.
Opozorila sama BSI objavlja na svoji spletni strani, kjer jih ob novih spoznanjih tudi posodablja. Splača se prebrati vsakokratno aktualno različico, saj se priporočila in ocene lahko med potekom položaja spremenijo.
Zakaj je PHP2Shell oranžen in ne rdeč
Za primerjavo se pogosto uporablja Log4Shell. Za ranljivost v knjižnici Java Log4j je BSI decembra 2021 razglasil stopnjo rdečo, po takratnih poročilih med drugim zato, ker je bila ranljivost trivialno izkoristljiva in so bile kompromitacije že znane. Januarja 2022 so opozorilo po navedbah Bundestaga znižali na rumeno.
Natančno utemeljitev za oranžno pri PHP2Shell pozna samo BSI. Prepoznavne razlike so stanje pri potrjenih napadih in dejstvo, da je za vse podprte veje PHP na voljo posodobitev. Podrobnejšo primerjavo ponuja prispevek PHP2Shell in Log4Shell. Oranžna pri tem ni razglasitev odprave nevarnosti. Priporočilo, da se strežnike po potrebi umakne z omrežja, je za urad jasna izjava.
Opozorilna stopnja se lahko spremeni, v obe smeri. Merodajno je aktualno stanje na spletni strani BSI, ne časopisni članek od prejšnjega dne.
Česa oranžna ne pomeni
Trije nesporazumi so trenutno pogosti:
- „Oranžna pomeni, da smo vdrti.“ Ne. Stopnja opisuje položaj groženj, ne ugotovitve na vaših sistemih.
- „Oranžna velja samo za urade.“ Ne. Opozorila so namenjena vsem upravljavcem prizadetih sistemov, tudi majhnim podjetjem.
- „Če imamo Cloudflare ali WAF, nas oranžna ne zadeva.“ Ne. Zaščitna pravila zmanjšajo tveganje, a ne nadomestijo posodobitve PHP.
Ali iz opozorila izhajajo pravne obveznosti, na primer v okviru NIS2, je odvisno od vaše panoge in velikosti. To ni pravno svetovanje; podrobnosti razjasnite s svojim pravnim svetovalcem ali pooblaščencem za varstvo podatkov.
Oceno prevesti v odločitve
Opozorilna stopnja je vredna toliko kot odločitve, ki iz nje izhajajo. Za PHP2Shell podjetjem priporočamo ta vrstni red:
- Razjasnite prizadetost: Kateri strežniki in spletne strani tečejo s PHP, kdo jih upravlja?
- Dokažite stanje popravkov: odpravljena različica 8.5.12, 8.4.27, 8.3.36 ali 8.2.35 ali backport, ki ga je potrdil ponudnik.
- Zagotovite ponovni zagon: Vsi procesi PHP morajo biti znova zagnani.
- Če to ni takoj mogoče: Uvedite prehodne ukrepe ali strežnik začasno umaknite z omrežja, kot priporoča BSI. Možnosti opisuje Takojšnji ukrepi brez popravka.
- Preglejte sledi in varnostno shranite loge: od 20. oktobra.
- Dokumentirajte odločitve: kdo je kaj odločil, kdaj in na kakšni podlagi.
Prav zadnja točka je podcenjena. Kdor je ob uradnem opozorilu stopnje oranžna sledljivo ukrepal, je v boljšem položaju do zavarovalnic, strank in nadzornih organov. Ozadje ponuja stran o odgovornosti poslovodstva.
Kako konkretno pomaga PHP SOS?
- Stanje za vaše podjetje: Uvrstitev BSI prevedemo v seznam vaših prizadetih sistemov s prednostjo.
- Izvedba priporočila: Posodobimo, znova zaženemo ali uvedemo prehodne ukrepe, dokler posodobitev ni mogoča.
- Dokazilo: Prejmete dokumentacijo o tem, kaj se je kdaj zgodilo na kateri strežnik.
- Opazovanje: Če BSI spremeni uvrstitev ali pridejo nova obvestila, jih ocenimo za vaše sisteme.
Več pod takojšnja pomoč PHP2Shell.
Sklep
Opozorilna stopnja oranžna je druga najvišja stopnja BSI in je za PHP2Shell dobro utemeljena. Ne zahteva panike, ampak odločitev še isti dan: posodobiti, znova zagnati, preveriti ali začasno izklopiti. Kdor to dokumentira, je opozorilo pravilno prebral.
Pogosta vprašanja
Koliko opozorilnih stopenj ima BSI?
Kibernetska varnostna opozorila BSI uporabljajo štiri stopnje: 1 / siva, 2 / rumena, 3 / oranžna in 4 / rdeča. Oranžna je druga najvišja stopnja in opisuje poslovno kritičen položaj IT-groženj z bistvenim oviranjem rednega delovanja.
Ali je opozorilna stopnja oranžna dolžnost ukrepanja?
Opozorilo samo je strokovna ocena s priporočili za ukrepanje. Katere obveznosti iz tega izhajajo za vaše podjetje, na primer iz NIS2, pogodb ali zavarovalnih pogojev, je odvisno od posameznega primera. To razjasnite s svojim pravnim svetovalcem; to ni pravno svetovanje.
Zakaj PHP2Shell ni stopnja rdeča?
Razloge za uvrstitev določa BSI sam. Opazna je razlika do Log4Shell, ki je leta 2021 dobil rdečo: tam so bile po takratnih poročilih kompromitacije že znane. Pri PHP2Shell uspešni napadi v širšem obsegu po BSI sprva niso bili znani.
Ali se lahko opozorilna stopnja spremeni?
Da. BSI uvrstitve prilagaja položaju, navzgor in navzdol. Log4Shell so na primer po navedbah Bundestaga januarja 2022 znižali z rdeče na rumeno. Aktualno stanje preverite neposredno pri BSI.