Εν ολίγοις: Το επίπεδο προειδοποίησης πορτοκαλί της BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφορικής της Γερμανίας) είναι το δεύτερο υψηλότερο από τέσσερα επίπεδα. Σημαίνει: η απειλή στον χώρο της πληροφορικής είναι κρίσιμη για την επιχείρηση και η κανονική λειτουργία μπορεί να επιβαρυνθεί μαζικά. Για το PHP2Shell η BSI έδωσε αυτό το επίπεδο 3 και συνιστά άμεση ενημέρωση ή, αν αυτή δεν είναι δυνατή, προσωρινή απομάκρυνση των επηρεαζόμενων διακομιστών ιστού από το δίκτυο. Για τις επιχειρήσεις το πορτοκαλί σημαίνει: το θέμα ανήκει σήμερα στο τραπέζι της διοίκησης.
Τι σημαίνει η κατάταξη για τα διευθυντικά στελέχη
Πολλοί διευθύνοντες σύμβουλοι άκουσαν στις ειδήσεις για «επίπεδο προειδοποίησης πορτοκαλί», χωρίς να ξέρουν πώς να το εντάξουν. Είναι συναγερμός για όλους ή θέμα του τμήματος IT; Η σύντομη απάντηση: το πορτοκαλί είναι το επίπεδο όπου η BSI θεωρεί ότι οι θιγόμενοι κινδυνεύουν, χωρίς γρήγορη ενέργεια, με σοβαρές διαταραχές στην επιχείρησή τους.
Σύμφωνα με το hessenschau, η BSI μίλησε για το PHP2Shell ως απειλή με εξαιρετικό δυναμικό. Υπολόγιζε σε γρήγορη, μεγάλης κλίμακας εκμετάλλευση. Επιβεβαιωμένες επιτυχείς επιθέσεις σε μεγάλη κλίμακα δεν ήταν γνωστές, σύμφωνα με τη BSI, κατά τη στιγμή της προειδοποίησης. Και τα δύο ανήκουν μαζί: το υψηλό επίπεδο περιγράφει τον κίνδυνο και όχι μια ζημιά που έχει ήδη συμβεί.
Το επίπεδο πορτοκαλί της BSI και τα άλλα τρία επίπεδα
Η BSI κατατάσσει τις προειδοποιήσεις κυβερνοασφάλειας σε μια κλίμακα από το 1 έως το 4. Ο παρακάτω πίνακας αποδίδει τη σημασία κατά το νόημα:
| Επίπεδο | Χρώμα | Σημασία (κατά το νόημα) |
|---|---|---|
| 1 | Γκρι | απειλή στον χώρο της πληροφορικής χωρίς ουσιώδεις ανωμαλίες |
| 2 | Κίτρινο | ενισχυμένη παρακολούθηση ανωμαλιών, προσωρινή επιβάρυνση της κανονικής λειτουργίας |
| 3 | Πορτοκαλί | κρίσιμη για την επιχείρηση κατάσταση, μαζική επιβάρυνση της κανονικής λειτουργίας |
| 4 | Κόκκινο | εξαιρετικά κρίσιμη κατάσταση, η κανονική λειτουργία δεν μπορεί να διατηρηθεί σε πολλούς τομείς |
Το επίπεδο λέει κάτι για τη συνολική κατάσταση και όχι για τον μεμονωμένο διακομιστή σας. Ένας πλήρως διορθωμένος και ελεγμένος διακομιστής ιστού βρίσκεται σε καλή θέση και στο πορτοκαλί. Ένας διακομιστής χωρίς patch με PHP 8.1 και mod_php κινδυνεύει ακόμη και σε χαμηλότερο επίπεδο.
Πώς χρησιμοποιείτε την κλίμακα εσωτερικά
Πολλές επιχειρήσεις έχουν δικά τους επίπεδα έκτακτης ανάγκης, για παράδειγμα στο εγχειρίδιο έκτακτης ανάγκης ή στο πλαίσιο ενός συστήματος διαχείρισης ασφάλειας πληροφοριών. Αξίζει να αντιστοιχίσετε εκεί σταθερά τα επίπεδα της BSI. Ένας απλός κανόνας μπορεί να είναι: στο κίτρινο η IT ελέγχει στο πλαίσιο της κανονικής λειτουργίας. Στο πορτοκαλί ενημερώνεται η διοίκηση την ίδια ημέρα, ορίζεται υπεύθυνος και καταγράφεται γραπτώς η κατάσταση όλων των επηρεαζόμενων συστημάτων. Στο κόκκινο συγκροτείται η ομάδα διαχείρισης κρίσης.
Έτσι μια είδηση γίνεται εξασκημένη αντίδραση. Όποιος έχει ορίσει την αντιστοίχιση νωρίτερα, δεν χρειάζεται σε περίπτωση ανάγκης να συζητά αν η κατάσταση είναι «αρκετά σοβαρή». Στο PHP2Shell αυτός ο κανόνας θα σήμαινε: ήδη στις 21 Οκτωβρίου καταγραφή, σχέδιο patch και απόφαση για απενεργοποιήσεις.
Τις προειδοποιήσεις τις δημοσιεύει η ίδια η BSI στον ιστότοπό της, όπου ενημερώνονται και όταν υπάρχουν νέα στοιχεία. Αξίζει να διαβάζετε την εκάστοτε τρέχουσα εκδοχή, γιατί οι συστάσεις και οι εκτιμήσεις μπορεί να αλλάξουν κατά τη διάρκεια μιας κατάστασης.
Γιατί το PHP2Shell είναι πορτοκαλί και όχι κόκκινο
Για σύγκριση χρησιμοποιείται συχνά το Log4Shell. Για την ευπάθεια στη βιβλιοθήκη Java Log4j η BSI κήρυξε το επίπεδο κόκκινο τον Δεκέμβριο του 2021, σύμφωνα με τα τότε δημοσιεύματα μεταξύ άλλων επειδή η ευπάθεια ήταν ασήμαντα εκμεταλλεύσιμη και ήταν ήδη γνωστές παραβιάσεις. Τον Ιανουάριο του 2022 η προειδοποίηση υποβαθμίστηκε, σύμφωνα με την Bundestag, σε κίτρινο.
Την ακριβή αιτιολόγηση για το πορτοκαλί στο PHP2Shell τη γνωρίζει μόνο η BSI. Αναγνωρίσιμες διαφορές είναι η κατάσταση ως προς τις επιβεβαιωμένες επιθέσεις και το γεγονός ότι για όλους τους υποστηριζόμενους κλάδους PHP υπάρχει διαθέσιμη ενημέρωση. Μια αναλυτική αντιπαραβολή προσφέρει το άρθρο PHP2Shell και Log4Shell. Το πορτοκαλί δεν είναι εδώ καθησύχαση. Η σύσταση να βγουν οι διακομιστές, αν χρειαστεί, εκτός δικτύου είναι για μια αρχή σαφής δήλωση.
Το επίπεδο προειδοποίησης μπορεί να αλλάξει, προς κάθε κατεύθυνση. Αποφασιστική είναι η τρέχουσα κατάσταση στον ιστότοπο της BSI και όχι ένα άρθρο εφημερίδας της προηγούμενης ημέρας.
Τι δεν σημαίνει το πορτοκαλί
Τρεις παρανοήσεις συναντάμε αυτή την περίοδο συχνά:
- «Πορτοκαλί σημαίνει ότι μας χάκαραν.» Όχι. Το επίπεδο περιγράφει την κατάσταση της απειλής και όχι ένα εύρημα στα συστήματά σας.
- «Το πορτοκαλί ισχύει μόνο για τις αρχές.» Όχι. Οι προειδοποιήσεις απευθύνονται σε όλους τους διαχειριστές επηρεαζόμενων συστημάτων, και σε μικρές επιχειρήσεις.
- «Αν έχουμε Cloudflare ή WAF, το πορτοκαλί δεν μας αφορά.» Όχι. Οι κανόνες προστασίας μειώνουν τον κίνδυνο, αλλά δεν αντικαθιστούν την ενημέρωση της PHP.
Το αν από την προειδοποίηση προκύπτουν νομικές υποχρεώσεις, για παράδειγμα στο πλαίσιο του NIS2, εξαρτάται από τον κλάδο και το μέγεθός σας. Αυτό δεν αποτελεί νομική συμβουλή· διευκρινίστε τις λεπτομέρειες με τη νομική σας συμβουλή ή τον υπεύθυνο προστασίας δεδομένων σας.
Η μετάφραση της κατάταξης σε αποφάσεις
Ένα επίπεδο προειδοποίησης αξίζει όσο οι αποφάσεις που προκύπτουν από αυτό. Για το PHP2Shell συνιστούμε στις επιχειρήσεις αυτή τη σειρά:
- Διευκρινίστε την έκθεση: Ποιοι διακομιστές και ιστότοποι τρέχουν PHP, ποιος τους διαχειρίζεται;
- Τεκμηριώστε το επίπεδο patch: διορθωμένη έκδοση 8.5.12, 8.4.27, 8.3.36 ή 8.2.35, ή backport που επιβεβαιώνεται από τον πάροχο.
- Εξασφαλίστε την επανεκκίνηση: Όλες οι διεργασίες PHP πρέπει να έχουν επανεκκινηθεί.
- Αν αυτό δεν γίνεται άμεσα: εφαρμόστε προσωρινά μέτρα ή βγάλτε τον διακομιστή προσωρινά εκτός δικτύου, όπως συνιστά η BSI. Τις επιλογές περιγράφουν τα Άμεσα μέτρα χωρίς patch.
- Ελέγξτε για ίχνη και διασώστε τα logs: από τις 20 Οκτωβρίου.
- Τεκμηριώστε τις αποφάσεις: ποιος αποφάσισε τι, πότε και με ποια βάση.
Ιδίως το τελευταίο σημείο υποτιμάται. Όποιος ενήργησε κατανοητά σε μια επίσημη προειδοποίηση επιπέδου πορτοκαλί, βρίσκεται σε καλύτερη θέση απέναντι σε ασφαλιστές, πελάτες και εποπτικές αρχές. Υπόβαθρο προσφέρει η σελίδα για την ευθύνη της διοίκησης.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Εικόνα κατάστασης για την επιχείρησή σας: Μεταφράζουμε την κατάταξη της BSI σε λίστα των επηρεαζόμενων συστημάτων σας με προτεραιότητα.
- Υλοποίηση της σύστασης: Κάνουμε patch, επανεκκινούμε ή εφαρμόζουμε προσωρινά μέτρα μέχρι να γίνει δυνατή η ενημέρωση.
- Απόδειξη: Λαμβάνετε τεκμηρίωση για το τι έγινε, πότε και σε ποιον διακομιστή.
- Παρακολούθηση: Αν η BSI αλλάξει την κατάταξη ή υπάρξουν νέες ανακοινώσεις, τις αξιολογούμε για τα συστήματά σας.
Περισσότερα στην άμεση βοήθεια PHP2Shell.
Συμπέρασμα
Το επίπεδο προειδοποίησης πορτοκαλί είναι το δεύτερο υψηλότερο της BSI και για το PHP2Shell είναι καλά αιτιολογημένο. Δεν απαιτεί πανικό, αλλά απόφαση την ίδια ημέρα: patch, επανεκκίνηση, έλεγχος ή προσωρινή απενεργοποίηση. Όποιος το τεκμηριώνει, έχει διαβάσει σωστά την προειδοποίηση.
Συχνές ερωτήσεις
Πόσα επίπεδα προειδοποίησης έχει η BSI;
Οι προειδοποιήσεις κυβερνοασφάλειας της BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφορικής της Γερμανίας) χρησιμοποιούν τέσσερα επίπεδα: 1 / γκρι, 2 / κίτρινο, 3 / πορτοκαλί και 4 / κόκκινο. Το πορτοκαλί είναι το δεύτερο υψηλότερο επίπεδο και περιγράφει μια κρίσιμη για την επιχείρηση απειλή στον χώρο της πληροφορικής με μαζική επιβάρυνση της κανονικής λειτουργίας.
Είναι το επίπεδο πορτοκαλί υποχρέωση δράσης;
Η ίδια η προειδοποίηση είναι μια τεχνική εκτίμηση με συστάσεις ενεργειών. Ποιες υποχρεώσεις προκύπτουν από αυτήν για την επιχείρησή σας, για παράδειγμα από το NIS2, από συμβάσεις ή από όρους ασφάλισης, εξαρτάται από την κάθε περίπτωση. Διευκρινίστε το με τη νομική σας συμβουλή· αυτό δεν αποτελεί νομική συμβουλή.
Γιατί το PHP2Shell δεν είναι επίπεδο κόκκινο;
Τους λόγους της κατάταξης τους καθορίζει η ίδια η BSI. Εντυπωσιακή είναι μια διαφορά από το Log4Shell, που έλαβε κόκκινο το 2021: εκεί ήταν, σύμφωνα με τα τότε δημοσιεύματα, ήδη γνωστές παραβιάσεις. Στο PHP2Shell επιβεβαιωμένες επιτυχείς επιθέσεις σε μεγάλη κλίμακα δεν ήταν αρχικά γνωστές, σύμφωνα με τη BSI.
Μπορεί να αλλάξει το επίπεδο προειδοποίησης;
Ναι. Η BSI προσαρμόζει τις κατατάξεις στην εκάστοτε κατάσταση, προς τα πάνω και προς τα κάτω. Το Log4Shell υποβαθμίστηκε για παράδειγμα, σύμφωνα με την Bundestag, τον Ιανουάριο του 2022 από κόκκινο σε κίτρινο. Ελέγξτε την τρέχουσα κατάσταση απευθείας στη BSI.