Kort sagt: Et CIS-benchmark til webservere leverer konkrete, versionsnøjagtige indstillinger til operativsystem og webserver, f.eks. til Ubuntu, Debian, RHEL, Nginx eller Apache. Modulerne i BSI's IT-Grundschutz (BSI er det tyske forbundsagentur for informationssikkerhed) beskriver dertil, hvilke krav der gælder for webservere, webapplikationer, patchstyring og logning. Sammen giver de en kontrollerbar hærdningsstandard; PHP-specifikke indstillinger supplerer I selv.
Hvorfor "godt sat op" ikke er en målestok
Efter en hændelse stiller ledelse, forsikringsselskab eller revisor før eller siden det samme spørgsmål: Efter hvilken standard var serveren sat op? Det ærlige svar er i mange virksomheder: efter bedste viden hos den administrator, der dengang satte den op. Det er ikke nødvendigvis dårligt, men det er hverken sporbart eller gentageligt.
PHP2Shell har gjort det synligt. Den, der ville vide, hvilke servere der var berørt, hvilken PHP-driftsform der kørte, og hvornår der sidst var patchet, måtte mange steder først søge. En hærdningsstandard erstatter ikke en opdatering, men skaber netop denne orden: fastlagte indstillinger, en oversigt og regelmæssige kontroller.
To værker har vist sig egnede hertil: CIS-benchmarks fra Center for Internet Security og BSI's IT-Grundschutz.
Hvad et CIS-benchmark til webservere indeholder
CIS-benchmarks er konsensusbaserede konfigurationsanbefalinger, som fagfolk fra mange organisationer udarbejder sammen. Ifølge CIS findes de til mere end 25 produktfamilier. For PHP-webservere er især disse relevante: Ubuntu Linux, Debian Linux og Red Hat Enterprise Linux til operativsystemet samt Apache HTTP Server 2.4 og NGINX til webserveren.
Hvert benchmark er en liste over enkelte anbefalinger med begrundelse, kontrolvejledning og rettelse. Mange benchmarks skelner mellem en grundprofil, der kan gennemføres uden store bivirkninger, og en strengere profil til højere beskyttelsesbehov. Til automatisk kontrol tilbyder CIS værktøjer, i benchmarkenes omgivelser under navnet CIS-CAT.
Fordelen er præcisionen: I stedet for "sikr SSH" står der dér, hvilken indstilling der skal have hvilken værdi, og hvordan I kontrollerer det. Ulempen er omfanget. Et komplet benchmark til et Linux-system indeholder meget mange punkter, og ikke alle passer til enhver drift.
Vær desuden opmærksom på versionen. Benchmarks gælder for bestemte udgivelser: CIS-oversigten fører f.eks. separate udgaver for Ubuntu-LTS-versioner til og med 26.04, for Debian 9 til 13 og for RHEL 8, 9 og 10. Den, der anvender et benchmark til en ældre version på et nyt system, kontrollerer til dels indstillinger, som ikke længere findes dér, og overser nye. Kører der stadig et operativsystem uden producentstøtte på en server, er det i sig selv det vigtigste fund.
De passende BSI-moduler til PHP-webservere
BSI's IT-Grundschutz arbejder med moduler, der beskriver krav til systemer og forløb. Aktuelt er IT-Grundschutz-kompendiet i Edition 2023. BSI ombygger i øjeblikket IT-Grundschutz til et procesorienteret, maskinlæsbart regelsæt; det hidtidige kompendium forbliver ifølge BSI anvendeligt i en flerårig overgangsperiode.
For en PHP-webserver er disse moduler de vigtigste:
| Modul | Indhold | Relation til PHP-webserveren |
|---|---|---|
| APP.3.2 Webserver | Drift og konfiguration af webserveren | Nginx, Apache, LiteSpeed |
| APP.3.1 Webanwendungen und Webservices | Krav til applikationen | CMS, shop, egen PHP-software |
| SYS.1.3 Server unter Linux und Unix | Hærdning af operativsystemet | Grundlag for enhver Linux-webserver |
| OPS.1.1.3 Patch- und Änderungsmanagement | Reguleret indspilning af opdateringer | PHP-opdateringer, genstarter, dokumentation |
| OPS.1.1.5 Protokollierung | Registrering og analyse af hændelser | Adgangs- og fejllogge |
| CON.3 Datensicherungskonzept | Backup og gendannelse | Sikring af kode og database |
| CON.10 Entwicklung von Webanwendungen | Sikker udvikling | egne PHP-projekter |
Grundschutz er mindre konkret end et CIS-benchmark, men dækker til gengæld forløb, som ikke står i nogen konfigurationsfil: Hvem patcher, hvem kontrollerer, hvem bliver informeret.
CIS eller BSI: Hvad passer til jeres virksomhed?
Valget afhænger mindre af teknikken end af omgivelserne. En tommelfingerregel:
- Teknisk basis for enkelte servere: CIS-benchmark til operativsystem og webserver, suppleret med et eget PHP-krav.
- Offentlig forvaltning, kunder med Grundschutz-reference, regulerede områder: IT-Grundschutz som ramme, CIS-benchmarks til den konkrete gennemførelse.
- Virksomheder med ISO 27001 eller TISAX: Begge værker egner sig som teknisk understøttelse af egne retningslinjer, se ISO 27001 og TISAX: Hvad der berører webservere.
- Virksomheder, der er omfattet af NIS2: En dokumenteret hærdningsstandard hjælper med at påvise passende foranstaltninger. Hvad direktivet kræver, sammenfatter NIS2 og webserversikkerhed; i det enkelte tilfælde afgør jeres juridiske rådgiver.
Til selve PHP bør I supplere serverkravene: spærrede værdier i php.ini, adskilte FPM-pools, ingen eksekvering i upload-mapper. Et godt grundlag giver vejledningen Konfigurer php.ini sikkert.
Til jeres egen hærdningsstandard i seks trin
En standard nytter kun, hvis den når ud i driften. Følgende fremgangsmåde har vist sig at fungere:
- Opret en oversigt: Hvilke servere, operativsystemer, webservere og PHP-versioner kører hvor?
- Vælg benchmark og moduler efter version og beskyttelsesbehov.
- Kontrollér den aktuelle tilstand, helst automatiseret, og saml afvigelser.
- Vurdér afvigelser: gennemfør, accepter bevidst eller udlign med andre foranstaltninger, hver gang med begrundelse.
- Fastlæg standarden skriftligt, ideelt som konfigurationsautomatisering, så nye servere er hærdet fra begyndelsen.
- Kontrollér igen regelmæssigt og efter større opdateringer, for nye pakker medbringer undertiden nye standardværdier.
Trin 6 forbinder hærdningen med patchprocessen. Hvordan I indspiller opdateringer planlagt i stedet for hektisk, beskriver Patchstyring som proces i stedet for brandslukning.
Test strenge profiler først på et staging-system. Nogle anbefalinger, f.eks. om filsystemer eller netværkstjenester, kan afbryde applikationer eller fjernadgange.
Hvordan hjælper PHP SOS konkret?
- Vi registrerer jeres webservere og knytter det passende CIS-benchmark og de relevante Grundschutz-moduler til hver af dem.
- Vi kontrollerer den aktuelle tilstand og leverer en prioriteret liste over afvigelserne med indsats og nytte.
- Vi supplerer standarden med et PHP-grundlag til php.ini, FPM-pools og filrettigheder.
- Vi dokumenterer bevidste undtagelser, så revisorer og forsikringsselskaber kan følge dem.
Gennemførelsen overtager vi som en del af serverhærdningen til PHP-webservere.
Ofte stillede spørgsmål
Skal jeg gennemføre hver anbefaling i et CIS-benchmark?
Nej. Benchmarks er en målestok, ikke en lov. Nogle anbefalinger passer ikke til jeres drift eller ville forstyrre funktioner. Vigtigt er at træffe afvigelser bevidst, begrunde dem og dokumentere dem.
Er CIS-benchmarks og IT-Grundschutz konkurrenter?
Snarere et supplement. CIS-benchmarks leverer konkrete indstillinger pr. produkt og version. IT-Grundschutz beskriver krav til systemer og processer, f.eks. patchstyring og logning, og placerer dem i et ledelsessystem.
Findes der en hærdningsstandard specielt til PHP?
PHP-indstillinger er i de gængse serverstandarder som regel kun med i periferien. I praksis supplerer man serverkravene med et eget PHP-grundlag, f.eks. til php.ini, FPM-pools og filrettigheder, og orienterer sig for applikationen efter modulerne om webapplikationer.
Ville et CIS-benchmark have forhindret PHP2Shell?
Nej. PHP2Shell er sårbarheder i PHP-fortolkeren, som kun opdateringen hjælper imod. En hærdet server kan dog begrænse følgerne af et indbrud og gennem en reguleret patchstyring sørge for, at opdateringer indspilles hurtigere og dokumenterbart.
Er IT-Grundschutz for stort til små virksomheder?
Som komplet ledelsessystem ofte ja. De enkelte moduler kan dog sagtens bruges som tjekliste til webservere og webapplikationer, uden at man straks overtager hele fremgangsmåden.