Накратко: След предупреждението за PHP2Shell в Германия бяха изключени уебсайтове, между които според медиите уебпорталът на град Майнц, както и страници на правителството на Хесен и на BKA (Федералната криминална полиция на Германия). Това беше предпазна мярка по препоръка на BSI (Федералната служба за информационна сигурност на Германия), а не потвърдени атаки. Фирмите могат да научат от това: изключването е легитимна възможност, когато пачът не е възможен веднага, и най-добре се получава, когато е подготвено.
Изключени уебсайтове заради PHP: какво се случи на 21 октомври
В деня на актуализациите за сигурност на PHP в Германия множество публични уебсайтове не бяха достъпни. Според медийни съобщения град Майнц предпазно изключи централния си уебпортал. Ведомствата останаха достъпни по телефон и по имейл.
В Хесен според hessenschau, между другото, страниците на правителството на провинцията, на Федералната криминална полиция (BKA) и на градовете Касел и Висбаден бяха временно офлайн. Държавната канцелария говори за технически корекции и не съобщи за атака. Страниците на провинцията отново бяха достъпни вечерта. Други общини, висши училища и клиники според съобщенията също изключиха предпазно свои услуги.
Фонът е препоръката на BSI за PHP2Shell: актуализирайте незабавно и, ако това не е възможно веднага, изключете временно засегнатите уеб сървъри от мрежата. Какво точно съветва BSI, обобщава страницата Какво препоръчва BSI за PHP2Shell.
Изключен не означава хакнат
В коментарите и социалните мрежи „офлайн“ бързо се превърна в „хакнат“. Според всичко известно това е невярно. Изключванията бяха защитна мярка в момент, когато много оператори още не знаеха сигурно състоянието на пача на сървърите си.
За фирмите това разграничаване е важно двойно. Първо навън: който сам изключва предпазно, трябва да го назове така, а не да мълчи. Второ навътре: изключването не отговаря на въпроса дали сървърът е бил атакуван преди това. То само спира по-нататъшни опити. Проверката за следи остава необходима.
Една трета точка често се пренебрегва: изключването не бива да унищожава следи. Който за изключване просто преинсталира сървъра или изтрива логове, за да освободи място, си отнема възможността по-късно да изясни какво е станало преди изключването. По-добре е уеб сървърът да се пренасочи към страница за извънредни случаи или достъпът отвън да се блокира, а самият сървър да остане с всички логове непроменен.
Защо именно публичните органи реагираха така
Институциите често поддържат много уебсайтове едновременно: главен портал, специализирани портали, услуги с формуляри, страници на отделни ведомства и учреждения. Често в това участват няколко доставчици на услуги. В деня на предупреждението за много администрации просто не беше възможно в рамките на часове да получат доказано състояние на пача за всяка система. Предпазното изключване в тази ситуация беше най-бързият начин да се последва препоръката на BSI.
За фирми с разраснала се ИТ среда положението често е подобно. Въпросът „Всичко пачнато ли е?“ не се проваля заради техниката, а заради липсата на общ поглед.
Забележително е и колко бързо страниците на правителството на Хесен според съобщенията се върнаха: още вечерта на същия ден. Това показва, че предпазното изключване не е нужно да трае дни. Който познава системите си и владее пътя за актуализация, може за няколко часа да пачне, провери и отново да излезе онлайн. Изключването тогава само запълва времето до настъпване на яснота.
Кога предпазното изключване има смисъл за фирмите
Институциите са в особена ситуация: много уебсайтове, често поддържани разпръснато, и голяма обществена видимост. Преценката, пред която бяха изправени, обаче е същата като във всяка фирма. Следният преглед помага при решението:
| Ситуация | По-скоро изключване | По-скоро оставане онлайн |
|---|---|---|
| Състояние на пача | неясно или непотвърдено | поправено и доказано, процесите рестартирани |
| PHP версия | 8.1 или по-стара без потвърден backport | поддържан клон на актуално състояние |
| Режим на работа | Apache с mod_php | пачнат PHP-FPM със зададени временни мерки |
| Данни на сървъра | данни на клиенти, логини, платежни данни | изцяло статично съдържание |
| Достъпност на доставчика на услуги | пач възможен едва след дни | пач насрочен скоро |
Преценката между пачване, изключване и изчакване задълбочава статията Пачване, изключване или изчакване?. Какво е технически възможно като преход, когато актуализацията още липсва, е описано в Незабавни мерки без пач.
Временното изключване на магазин или клиентски портал струва приходи. Компрометиран сървър с данни на клиенти може да струва значително повече, включително задължения за уведомяване. Вземете решението съзнателно и го запишете писмено.
Как да подготвите изключване
Майнц показа какво е важно: администрацията остана достъпна по други канали. Това се получава само ако е подготвено. Тези стъпки си струват, преди да настъпи следващият сериозен случай:
- Дръжте готова страница за извънредни случаи: статична HTML страница без PHP, с кратко обяснение, телефон и имейл за контакт и, при нужда, указания за текущи поръчки или срещи.
- Определете пътя за превключване: Кой може да пренасочи уебсайта към страницата за извънредни случаи, чрез уеб сървъра, DNS или предварително включена услуга? Колко време отнема това?
- Изяснете правомощията за решение: Кой има право да нареди изключване, дори извън работното време?
- Познавайте зависимите услуги: Зависят ли интерфейси, приложения или партньори от уебсайта? Кой трябва да бъде информиран предварително?
- Определете критерии за връщане: пачът е доказан, рестартът е извършен, първата проверка за следи е без находка.
- Формулирайте съобщението предварително: две до три изречения за клиенти, партньори и пресата.
Как да комуникирате навън в такава ситуация, описва ръководството за кризисна комуникация.
Как помага PHP SOS конкретно?
- Основа за решение: Установяваме състоянието на пача, режима на работа и данните на Вашите сървъри и Ви даваме ясна оценка дали е необходимо изключване.
- Подредено изключване: Превключваме към статична страница за извънредни случаи, без да губим логове или следи.
- Пач и проверка: Актуализираме PHP, рестартираме всички процеси и проверяваме за необичайни находки.
- Контролирано връщане: Връщаме уебсайта онлайн едва когато уговорените критерии са изпълнени и документирани.
Процесът описва Спешната помощ при PHP2Shell.
Заключение
Изключванията от страна на институциите не бяха признак за загуба на контрол, а съзнателна предпазна мярка. За фирмите това е същинската поука: да се излезе офлайн е легитимно решение, когато състоянието на пача е неясно. Който е подготвил страница за извънредни случаи, отговорност и критерии за връщане, го взема за минути вместо за часове.
Често задавани въпроси
Защо уебсайтовете на институции бяха изключени заради PHP?
При PHP2Shell BSI препоръчва незабавна актуализация, а ако тя не е възможна веднага, временно изключване на уеб сървърите от мрежата. Няколко институции последваха предпазно тази препоръка, докато системите им бъдат проверени и актуализирани.
Означава ли изключен уебсайт, че е бил хакнат?
Не. Предпазното изключване е защитна мярка. Държавната канцелария на Хесен например според hessenschau изрично не съобщи за атака. Дали един сървър е бил засегнат преди изключването, изяснява едва проверка.
Колко дълго трябва да остане уебсайтът офлайн?
Докато PHP не е на поправена версия, всички PHP процеси не са рестартирани и първата проверка за следи не е показала нищо необичайно. Няма фиксирана продължителност; страниците на правителството на Хесен според съобщенията отново бяха достъпни същата вечер.
Какво да покажа на посетителите, докато уебсайтът е офлайн?
Най-добре проста статична страница за извънредни случаи, без PHP, с кратко обяснение и пътищата за контакт, по които оставате достъпни. Тя трябва да е подготвена, преди да е нужна.