Stručně: Benchmark CIS pro webserver poskytuje konkrétní nastavení pro operační systém a webserver přesně podle verze, například pro Ubuntu, Debian, RHEL, Nginx nebo Apache. Moduly IT-Grundschutz německého úřadu BSI (Spolkový úřad pro informační bezpečnost) k tomu popisují, jaké požadavky platí pro webservery, webové aplikace, správu záplat a protokolování. Společně tvoří ověřitelný předpis hardeningu; nastavení specifická pro PHP doplníte sami.
Proč „dobře nastaveno“ není měřítko
Po incidentu si dříve nebo později položí stejnou otázku vedení, pojišťovna nebo auditor: podle jakého standardu byl server nastaven? Upřímná odpověď zní v mnoha firmách: podle nejlepšího vědomí administrátora, který ho tehdy zakládal. To nemusí být nutně špatné, ale není to ani dohledatelné, ani opakovatelné.
PHP2Shell to učinilo viditelným. Kdo chtěl vědět, které servery jsou zasaženy, jaký provozní režim PHP běží a kdy se naposledy záplatovalo, musel to na mnoha místech nejdřív hledat. Standard hardeningu nenahradí aktualizaci, ale vytvoří právě tento pořádek: stanovená nastavení, inventář a pravidelné kontroly.
Dva soubory předpisů se pro to osvědčily: benchmarky CIS organizace Center for Internet Security a IT-Grundschutz úřadu BSI.
Co obsahuje benchmark CIS pro webserver
Benchmarky CIS jsou konfigurační doporučení založená na konsenzu, která společně vypracovávají odborníci z mnoha organizací. Podle CIS existují pro více než 25 produktových řad. Pro webservery s PHP jsou důležité hlavně tyto: Ubuntu Linux, Debian Linux a Red Hat Enterprise Linux pro operační systém a Apache HTTP Server 2.4 a NGINX pro webserver.
Každý benchmark je seznam jednotlivých doporučení s odůvodněním, pokynem ke kontrole a opravou. Mnoho benchmarků rozlišuje základní profil, který lze zavést bez velkých vedlejších účinků, a přísnější profil pro vyšší potřebu ochrany. Pro automatickou kontrolu nabízí CIS nástroje, v okolí benchmarků pod názvem CIS-CAT.
Výhodou je přesnost: místo „zabezpečte SSH“ tam stojí, které nastavení má mít jakou hodnotu a jak to ověřit. Nevýhodou je rozsah. Úplný benchmark pro linuxový systém obsahuje velmi mnoho bodů a ne každý se hodí pro každý provoz.
Dávejte také pozor na verzi. Benchmarky platí vždy pro určitá vydání: přehled CIS uvádí například samostatná vydání pro verze Ubuntu LTS až do 26.04, pro Debian 9 až 13 a pro RHEL 8, 9 a 10. Kdo použije benchmark pro starší verzi na nový systém, kontroluje zčásti nastavení, která tam už neexistují, a přehlédne nová. Pokud na serveru stále běží operační systém bez podpory výrobce, je to samo o sobě nejdůležitější zjištění.
Vhodné moduly BSI pro webservery s PHP
IT-Grundschutz úřadu BSI pracuje s moduly, které popisují požadavky na systémy a postupy. Aktuální je IT-Grundschutz-Kompendium ve vydání 2023. BSI IT-Grundschutz nyní přestavuje na procesně orientovaný, strojově čitelný soubor pravidel; dosavadní kompendium zůstává podle BSI použitelné ve víceletém přechodném období.
Pro webserver s PHP jsou nejdůležitější tyto moduly:
| Modul | Obsah | Vztah k webserveru s PHP |
|---|---|---|
| APP.3.2 Webserver | provoz a konfigurace webserveru | Nginx, Apache, LiteSpeed |
| APP.3.1 Webanwendungen und Webservices | požadavky na aplikaci | CMS, e-shop, vlastní software v PHP |
| SYS.1.3 Server unter Linux und Unix | hardening operačního systému | základ každého linuxového webserveru |
| OPS.1.1.3 Patch- und Änderungsmanagement | řízené nasazování aktualizací | aktualizace PHP, restarty, doklad |
| OPS.1.1.5 Protokollierung | zachycování a vyhodnocování událostí | přístupové a chybové logy |
| CON.3 Datensicherungskonzept | zálohy a obnova | záloha kódu a databáze |
| CON.10 Entwicklung von Webanwendungen | bezpečný vývoj | vlastní projekty v PHP |
Grundschutz je méně konkrétní než benchmark CIS, ale pokrývá postupy, které nestojí v žádném konfiguračním souboru: kdo záplatuje, kdo kontroluje, kdo je informován.
CIS, nebo BSI: co se hodí pro vaši firmu?
Volba závisí méně na technice než na prostředí. Orientační pravidlo:
- Technický základ pro jednotlivé servery: benchmark CIS pro operační systém a webserver, doplněný vlastním předpisem pro PHP.
- Veřejná správa, zadavatelé s vazbou na Grundschutz, regulované oblasti: IT-Grundschutz jako rámec, benchmarky CIS pro konkrétní zavedení.
- Firmy s ISO 27001 nebo TISAX: obě sady se hodí jako technické podložení vlastních směrnic, viz ISO 27001 a TISAX: čeho se týkají webservery.
- Firmy, na které se vztahuje NIS2: zdokumentovaný standard hardeningu pomáhá při prokazování přiměřených opatření. Co směrnice požaduje, shrnuje stránka NIS2 a bezpečnost webserveru; v jednotlivém případě rozhoduje váš právní poradce.
Pro samotné PHP byste měli předpisy pro server doplnit: zamčené hodnoty v php.ini, oddělené pooly FPM, žádné spouštění ve složkách pro uploady. Dobrý základ nabízí příručka Bezpečná konfigurace php.ini.
Šest kroků k vlastnímu předpisu hardeningu
Standard je užitečný, jen když se dostane do provozu. Osvědčil se tento postup:
- Založte inventář: Které servery, operační systémy, webservery a verze PHP kde běží?
- Vyberte benchmark a moduly, odpovídající verzi a potřebě ochrany.
- Zkontrolujte skutečný stav, pokud možno automaticky, a sbírejte odchylky.
- Vyhodnoťte odchylky: zavést, vědomě akceptovat, nebo vyrovnat jinými opatřeními, vždy s odůvodněním.
- Předpis zafixujte, ideálně jako automatizaci konfigurace, aby byly nové servery zpevněné od začátku.
- Kontrolujte pravidelně a po větších aktualizacích znovu, protože nové balíčky někdy přinášejí nové výchozí hodnoty.
Šestý krok spojuje hardening s procesem záplatování. Jak nasazovat aktualizace plánovitě místo v hektice, popisuje článek Správa záplat jako proces, ne hašení požárů.
Přísné profily nejdřív otestujte na stagingovém systému. Některá doporučení, například k souborovým systémům nebo síťovým službám, mohou přerušit aplikace nebo vzdálený přístup.
Jak konkrétně pomáhá PHP SOS?
- Zaznamenáme vaše webservery a každému přiřadíme vhodný benchmark CIS a relevantní moduly Grundschutz.
- Zkontrolujeme skutečný stav a dodáme prioritizovaný seznam odchylek s náročností a přínosem.
- Předpis doplníme o základ pro PHP pro php.ini, pooly FPM a práva k souborům.
- Vědomé výjimky zdokumentujeme tak, aby je mohli auditoři a pojišťovny dohledat.
Zavedení převezmeme v rámci hardeningu serveru pro webservery s PHP.
Časté dotazy
Musím zavést každé doporučení benchmarku CIS?
Ne. Benchmarky jsou měřítko, ne zákon. Některá doporučení se k vašemu provozu nehodí nebo by rušila funkce. Důležité je rozhodovat o odchylkách vědomě, odůvodnit je a zdokumentovat.
Jsou benchmarky CIS a IT-Grundschutz konkurenti?
Spíše se doplňují. Benchmarky CIS poskytují konkrétní nastavení pro každý produkt a verzi. IT-Grundschutz popisuje požadavky na systémy a procesy, například správu záplat a protokolování, a zařazuje je do systému řízení.
Existuje standard hardeningu speciálně pro PHP?
Nastavení PHP bývá v běžných serverových standardech obsaženo jen okrajově. V praxi se předpisy pro server doplňují o vlastní základ pro PHP, například pro php.ini, pooly FPM a práva k souborům, a pro aplikaci se vychází z modulů o webových aplikacích.
Zabránil by benchmark CIS zranitelnosti PHP2Shell?
Ne. PHP2Shell jsou zranitelnosti v interpretu PHP, proti nimž pomáhá jen aktualizace. Zpevněný server ale může omezit následky průniku a řízenou správou záplat zajistit, že se aktualizace nasazují rychleji a prokazatelně.
Je IT-Grundschutz pro malé firmy příliš rozsáhlý?
Jako kompletní systém řízení často ano. Jednotlivé moduly lze ale dobře použít jako kontrolní seznam pro webservery a webové aplikace, aniž byste museli převzít celý postup.