Εν ολίγοις: Ένα CIS Benchmark για διακομιστές ιστού παρέχει συγκεκριμένες ρυθμίσεις ανά έκδοση για το λειτουργικό σύστημα και τον διακομιστή ιστού, για παράδειγμα για Ubuntu, Debian, RHEL, Nginx ή Apache. Οι ενότητες (Bausteine) του IT-Grundschutz της BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών της Γερμανίας) περιγράφουν επιπλέον ποιες απαιτήσεις ισχύουν για διακομιστές ιστού, εφαρμογές ιστού, διαχείριση ενημερώσεων και καταγραφή. Μαζί δίνουν μια ελέγξιμη προδιαγραφή σκλήρυνσης· τις ρυθμίσεις που αφορούν ειδικά την PHP τις προσθέτετε εσείς.
Γιατί το «καλά στημένος» δεν αποτελεί μέτρο
Μετά από ένα περιστατικό, η διοίκηση, οι ασφαλιστές ή οι ελεγκτές θέτουν νωρίτερα ή αργότερα το ίδιο ερώτημα: με ποιο πρότυπο είχε στηθεί ο διακομιστής; Η ειλικρινής απάντηση σε πολλές επιχειρήσεις είναι: με την καλύτερη γνώση του διαχειριστή που τον εγκατέστησε τότε. Αυτό δεν είναι απαραίτητα κακό, δεν είναι όμως ούτε ανιχνεύσιμο ούτε επαναλήψιμο.
Το PHP2Shell το έκανε ορατό. Όποιος ήθελε να μάθει ποιοι διακομιστές επηρεάζονται, ποιος τρόπος λειτουργίας της PHP εκτελείται και πότε έγινε η τελευταία ενημέρωση, έπρεπε σε πολλά μέρη πρώτα να ψάξει. Ένα πρότυπο σκλήρυνσης δεν αντικαθιστά μια ενημέρωση, δημιουργεί όμως ακριβώς αυτή την τάξη: καθορισμένες ρυθμίσεις, ένα απόθεμα και τακτικούς ελέγχους.
Δύο έργα έχουν αποδειχθεί χρήσιμα γι' αυτό: τα CIS Benchmarks του Center for Internet Security και ο IT-Grundschutz της BSI.
Τι περιέχει ένα CIS Benchmark για διακομιστές ιστού
Τα CIS Benchmarks είναι συστάσεις διαμόρφωσης βασισμένες σε συναίνεση, που επεξεργάζονται από κοινού ειδικοί από πολλούς οργανισμούς. Σύμφωνα με το CIS υπάρχουν για περισσότερες από 25 οικογένειες προϊόντων. Για διακομιστές ιστού PHP σχετικά είναι κυρίως τα εξής: Ubuntu Linux, Debian Linux και Red Hat Enterprise Linux για το λειτουργικό σύστημα, καθώς και Apache HTTP Server 2.4 και NGINX για τον διακομιστή ιστού.
Κάθε benchmark είναι μια λίστα μεμονωμένων συστάσεων με αιτιολόγηση, οδηγία ελέγχου και διόρθωση. Πολλά benchmarks διακρίνουν ένα βασικό προφίλ, που εφαρμόζεται χωρίς μεγάλες παρενέργειες, και ένα αυστηρότερο προφίλ για υψηλότερη ανάγκη προστασίας. Για αυτόματο έλεγχο το CIS προσφέρει εργαλεία, στο περιβάλλον των benchmarks με το όνομα CIS-CAT.
Το πλεονέκτημα είναι η ακρίβεια: αντί για «ασφαλίστε το SSH» αναφέρεται εκεί ποια ρύθμιση πρέπει να έχει ποια τιμή και πώς το ελέγχετε. Το μειονέκτημα είναι η έκταση. Ένα πλήρες benchmark για ένα σύστημα Linux περιέχει πολλά σημεία και δεν ταιριάζει το καθένα σε κάθε λειτουργία.
Προσέξτε επίσης την έκδοση. Τα benchmarks ισχύουν κάθε φορά για συγκεκριμένα releases: η επισκόπηση του CIS αναφέρει για παράδειγμα χωριστές εκδόσεις για Ubuntu LTS μέχρι το 26.04, για Debian 9 έως 13 και για RHEL 8, 9 και 10. Όποιος εφαρμόζει ένα benchmark για παλαιότερη έκδοση σε νέο σύστημα, ελέγχει εν μέρει ρυθμίσεις που δεν υπάρχουν πια εκεί και παραβλέπει νέες. Αν σε έναν διακομιστή εκτελείται ακόμη λειτουργικό σύστημα χωρίς υποστήριξη του κατασκευαστή, αυτό από μόνο του είναι το σημαντικότερο εύρημα.
Οι κατάλληλες ενότητες BSI για διακομιστές ιστού PHP
Ο IT-Grundschutz της BSI λειτουργεί με ενότητες (Bausteine) που περιγράφουν απαιτήσεις για συστήματα και διαδικασίες. Τρέχουσα είναι η έκδοση 2023 του IT-Grundschutz-Kompendium. Η BSI μετασχηματίζει αυτή την περίοδο τον IT-Grundschutz σε ένα προσανατολισμένο σε διαδικασίες, αναγνώσιμο από μηχανές σύνολο κανόνων· το μέχρι τώρα Kompendium παραμένει σύμφωνα με τη BSI εφαρμόσιμο σε μια πολυετή μεταβατική περίοδο.
Για έναν διακομιστή PHP οι σημαντικότερες ενότητες είναι αυτές:
| Ενότητα | Περιεχόμενο | Σχέση με τον διακομιστή PHP |
|---|---|---|
| APP.3.2 Webserver | Λειτουργία και διαμόρφωση του διακομιστή ιστού | Nginx, Apache, LiteSpeed |
| APP.3.1 Webanwendungen und Webservices | Απαιτήσεις για την εφαρμογή | CMS, κατάστημα, δικό σας λογισμικό PHP |
| SYS.1.3 Server unter Linux und Unix | Σκλήρυνση λειτουργικού συστήματος | Βάση κάθε διακομιστή ιστού Linux |
| OPS.1.1.3 Patch- und Änderungsmanagement | Ρυθμισμένη εγκατάσταση ενημερώσεων | Ενημερώσεις PHP, επανεκκινήσεις, απόδειξη |
| OPS.1.1.5 Protokollierung | Καταγραφή και αξιολόγηση συμβάντων | Αρχεία καταγραφής πρόσβασης και σφαλμάτων |
| CON.3 Datensicherungskonzept | Αντίγραφα ασφαλείας και αποκατάσταση | Αντίγραφο κώδικα και βάσης δεδομένων |
| CON.10 Entwicklung von Webanwendungen | Ασφαλής ανάπτυξη | Δικά σας έργα PHP |
Ο Grundschutz είναι λιγότερο συγκεκριμένος από ένα CIS Benchmark, καλύπτει όμως διαδικασίες που δεν αναγράφονται σε κανένα αρχείο ρυθμίσεων: ποιος ενημερώνει, ποιος ελέγχει, ποιος ενημερώνεται.
CIS ή BSI: τι ταιριάζει στην επιχείρησή σας;
Η επιλογή εξαρτάται λιγότερο από την τεχνολογία και περισσότερο από το περιβάλλον. Ένας εμπειρικός κανόνας:
- Τεχνική βάση για μεμονωμένους διακομιστές: CIS Benchmark για λειτουργικό σύστημα και διακομιστή ιστού, συμπληρωμένο με δική σας προδιαγραφή PHP.
- Δημόσια διοίκηση, εντολείς με αναφορά στον Grundschutz, ρυθμιζόμενοι τομείς: ο IT-Grundschutz ως πλαίσιο, τα CIS Benchmarks για τη συγκεκριμένη υλοποίηση.
- Επιχειρήσεις με ISO 27001 ή TISAX: Και τα δύο έργα ταιριάζουν ως τεχνική υποστήριξη των δικών σας πολιτικών, δείτε ISO 27001 και TISAX: τι αφορά τον διακομιστή ιστού.
- Επιχειρήσεις που υπάγονται στην NIS2: Ένα τεκμηριωμένο πρότυπο σκλήρυνσης βοηθά στην απόδειξη κατάλληλων μέτρων. Τι απαιτεί η οδηγία, συνοψίζει το NIS2 και ασφάλεια διακομιστή ιστού· σε μεμονωμένες περιπτώσεις αποφασίζει η νομική σας συμβουλή.
Για την ίδια την PHP πρέπει να συμπληρώσετε τις προδιαγραφές του διακομιστή: κλειδωμένες τιμές στο php.ini, χωριστά pools FPM, καμία εκτέλεση σε φακέλους upload. Μια καλή βάση προσφέρει ο οδηγός Ασφαλής ρύθμιση του php.ini.
Σε έξι βήματα προς τη δική σας προδιαγραφή σκλήρυνσης
Ένα πρότυπο ωφελεί μόνο αν φτάσει στη λειτουργία. Αυτή η διαδικασία έχει αποδειχθεί αποτελεσματική:
- Δημιουργία αποθέματος: Ποιοι διακομιστές, λειτουργικά συστήματα, διακομιστές ιστού και εκδόσεις PHP εκτελούνται πού;
- Επιλογή benchmark και ενοτήτων, ανάλογα με την έκδοση και την ανάγκη προστασίας.
- Έλεγχος της υπάρχουσας κατάστασης, κατά το δυνατόν αυτοματοποιημένα, και συλλογή των αποκλίσεων.
- Αξιολόγηση των αποκλίσεων: εφαρμογή, συνειδητή αποδοχή ή αντιστάθμιση με άλλα μέτρα, κάθε φορά με αιτιολόγηση.
- Καθιέρωση της προδιαγραφής, ιδανικά ως αυτοματοποίηση διαμόρφωσης, ώστε οι νέοι διακομιστές να είναι σκληρυμένοι από την αρχή.
- Επανέλεγχος τακτικά και μετά από μεγαλύτερες ενημερώσεις, γιατί τα νέα πακέτα φέρνουν μερικές φορές νέες προεπιλεγμένες τιμές.
Το βήμα 6 συνδέει τη σκλήρυνση με τη διαδικασία ενημερώσεων. Πώς εγκαθιστάτε τις ενημερώσεις με σχέδιο αντί για πανικό, περιγράφει το Διαχείριση ενημερώσεων ως διαδικασία και όχι ως πυροσβεστική.
Δοκιμάστε τα αυστηρά προφίλ πρώτα σε ένα σύστημα staging. Ορισμένες συστάσεις, για παράδειγμα για συστήματα αρχείων ή υπηρεσίες δικτύου, μπορεί να διακόψουν εφαρμογές ή απομακρυσμένες προσβάσεις.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Καταγράφουμε τους διακομιστές ιστού σας και αντιστοιχίζουμε σε καθέναν το κατάλληλο CIS Benchmark και τις σχετικές ενότητες Grundschutz.
- Ελέγχουμε την υπάρχουσα κατάσταση και παραδίδουμε μια ιεραρχημένη λίστα αποκλίσεων με κόστος προσπάθειας και όφελος.
- Συμπληρώνουμε την προδιαγραφή με μια βάση PHP για php.ini, pools FPM και δικαιώματα αρχείων.
- Τεκμηριώνουμε τις συνειδητές εξαιρέσεις έτσι ώστε να μπορούν να τις κατανοήσουν ελεγκτές και ασφαλιστές.
Την υλοποίηση αναλαμβάνουμε στο πλαίσιο της σκλήρυνσης διακομιστή για διακομιστές ιστού PHP.
Συχνές ερωτήσεις
Πρέπει να εφαρμόσω κάθε σύσταση ενός CIS Benchmark;
Όχι. Τα benchmarks είναι μέτρο σύγκρισης και όχι νόμος. Ορισμένες συστάσεις δεν ταιριάζουν στη λειτουργία σας ή θα επηρέαζαν λειτουργίες. Σημασία έχει να αποφασίζετε συνειδητά τις αποκλίσεις, να τις αιτιολογείτε και να τις τεκμηριώνετε.
Είναι ανταγωνιστικά τα CIS Benchmarks και ο IT-Grundschutz;
Μάλλον συμπληρωματικά. Τα CIS Benchmarks δίνουν συγκεκριμένες ρυθμίσεις ανά προϊόν και έκδοση. Ο IT-Grundschutz περιγράφει απαιτήσεις για συστήματα και διαδικασίες, για παράδειγμα διαχείριση ενημερώσεων και καταγραφή, και τις εντάσσει σε ένα σύστημα διαχείρισης.
Υπάρχει πρότυπο σκλήρυνσης ειδικά για την PHP;
Οι ρυθμίσεις PHP περιλαμβάνονται στα συνηθισμένα πρότυπα διακομιστών συνήθως μόνο στο περιθώριο. Στην πράξη συμπληρώνετε τις προδιαγραφές του διακομιστή με μια δική σας βάση PHP, για παράδειγμα για το php.ini, τα pools FPM και τα δικαιώματα αρχείων, και για την εφαρμογή προσανατολίζεστε στις ενότητες για εφαρμογές ιστού.
Θα είχε εμποδίσει ένα CIS Benchmark το PHP2Shell;
Όχι. Το PHP2Shell είναι ευπάθειες στον διερμηνέα PHP, απέναντι στις οποίες βοηθά μόνο η ενημέρωση. Ένας σκληρυμένος διακομιστής μπορεί όμως να περιορίσει τις συνέπειες μιας εισβολής και, με μια ρυθμισμένη διαχείριση ενημερώσεων, να φροντίσει ώστε οι ενημερώσεις να εγκαθίστανται ταχύτερα και αποδείξιμα.
Είναι ο IT-Grundschutz υπερβολικά μεγάλος για μικρές επιχειρήσεις;
Ως πλήρες σύστημα διαχείρισης συχνά ναι. Οι επιμέρους ενότητες μπορούν όμως να χρησιμοποιηθούν καλά ως λίστα ελέγχου για διακομιστές και εφαρμογές ιστού, χωρίς να υιοθετήσετε αμέσως ολόκληρη τη διαδικασία.