Εν ολίγοις: Το security awareness για το προσωπικό της ομάδας ιστού σημαίνει: κάθε πρόσωπο που συντηρεί έναν ιστότοπο γνωρίζει τους τρεις με τέσσερις κινδύνους του ρόλου του, αναγνωρίζει τις ανωμαλίες και τις αναφέρει γρήγορα και χωρίς φόβο μομφής. Οι συντάκτες χρειάζονται διαφορετικό περιεχόμενο από τους διαχειριστές. Σύντομες, επαναλαμβανόμενες ενότητες με παραδείγματα από το δικό σας CMS λειτουργούν καλύτερα από μια ετήσια υποχρεωτική εκπαίδευση.
Γιατί η ομάδα ιστού βρίσκεται τώρα στο επίκεντρο
Η κατάσταση γύρω από το PHP2Shell έδειξε πόσα πέφτουν σε λίγες ημέρες πάνω στους διαχειριστές ιστότοπων: προειδοποιήσεις της BSI (Ομοσπονδιακή Υπηρεσία Ασφάλειας Πληροφοριών της Γερμανίας), ανακοινώσεις παρόχων φιλοξενίας, συμβουλές σε φόρουμ και κοινωνικά δίκτυα, ανάμεσά τους και λανθασμένες. Σε τέτοιες εβδομάδες αποφασίζουν όχι μόνο οι διαχειριστές, αλλά και οι συντάκτες, το μάρκετινγκ και η γραμματεία ποιο email θα ανοίξουν και ποιον σύνδεσμο θα πατήσουν.
Οι μεγάλες ειδησεογραφικές καταστάσεις αποτελούν, κατά την εμπειρία, αφορμή για απατεώνες. Υπολογίστε email που παρουσιάζονται ως πάροχος φιλοξενίας, κατασκευαστής CMS ή «τμήμα IT» και καλούν σε επείγουσα σύνδεση ή σε υποτιθέμενη ενημέρωση ασφαλείας. Όποιος γνωρίζει την πραγματική κατάσταση, πέφτει λιγότερο συχνά στην παγίδα. Την ίδια την τεχνική ευπάθεια δεν την κλείνει κανένας συντάκτης, αλλά μια κλεμμένη πρόσβαση διαχειριστή ανοίγει την πόρτα και χωρίς ευπάθεια.
Security awareness για εργαζόμενους: ποιος χρειάζεται τι;
Μια εκπαίδευση για όλους με τις ίδιες διαφάνειες συνήθως αστοχεί. Πιο λογική είναι η προσαρμογή ανά ρόλο. Η παρακάτω επισκόπηση βοηθά στον σχεδιασμό:
| Ρόλος | Τυπικοί κίνδυνοι | Τι πρέπει να μπορεί το πρόσωπο |
|---|---|---|
| Συντάκτης, μάρκετινγκ | email phishing, ανασφαλή ανεβάσματα αρχείων, κοινόχρηστες προσβάσεις | να ελέγχει τον αποστολέα, να ανεβάζει μόνο αναμενόμενους τύπους αρχείων, να μην μοιράζεται ποτέ τα δικά του διαπιστευτήρια |
| Διαχειριστής CMS | πρόσθετα άγνωστης προέλευσης, υπερβολικοί λογαριασμοί διαχειριστή, παλιοί λογαριασμοί πρώην εργαζομένων | να μοιράζει δικαιώματα με φειδώ, να ελέγχει τακτικά τους λογαριασμούς, επεκτάσεις μόνο μετά από έγκριση |
| Διαχειριστής διακομιστή | μη ελεγμένες συμβουλές από το διαδίκτυο, αλλαγές χωρίς καταγραφή, ξεχασμένα δοκιμαστικά αρχεία | να αξιολογεί πηγές, να τεκμηριώνει αλλαγές, να γνωρίζει τη διαδρομή έκτακτης ανάγκης |
| Διοίκηση | πίεση για γρήγορες αποφάσεις, ασαφείς αρμοδιότητες | να ορίζει διαδρομές απόφασης, να λαμβάνει σοβαρά τις αναφορές, να εγκρίνει προϋπολογισμό για πρόληψη |
| Εξωτερικό πρακτορείο | κοινές προσβάσεις, ελλιπείς συμφωνίες | να χρησιμοποιεί δικούς του, προσωπικούς λογαριασμούς, να ανακοινώνει αλλαγές |
Ο πίνακας δείχνει και πού πρέπει να βοηθήσει η τεχνολογία. Προσωπικοί λογαριασμοί αντί για κοινόχρηστες προσβάσεις και σύνδεση με δύο παράγοντες για όλους με δικαιώματα εγγραφής ελαφρύνουν σημαντικά την εκπαίδευση. Πώς γίνεται αυτό, εξηγεί το Σύνδεση δύο παραγόντων για προσβάσεις διαχειριστή.
Τι πρέπει να γνωρίζουν οι συντάκτες, χωρίς να γίνουν τεχνικοί
Οι συντάκτες δεν χρειάζεται να ξέρουν τι είναι ένας worker PHP. Θα πρέπει όμως να κατέχουν με βεβαιότητα τρία πράγματα. Πρώτον: μια πρόσκληση να συνδεθούν ξανά «λόγω περιστατικού ασφαλείας» δεν διεκπεραιώνεται ποτέ μέσω του συνδέσμου στο email, αλλά μέσω της συνήθους διαδρομής προς το CMS ή με ερώτηση στον διαχειριστή.
Δεύτερον: να αναφέρουν ανωμαλίες. Σε αυτές ανήκουν άγνωστοι λογαριασμοί χρηστών στη λίστα χρηστών, σελίδες ή αναρτήσεις που δεν δημιούργησε κανείς, ξαφνικές ανακατευθύνσεις και προειδοποιήσεις στον περιηγητή. Ένας συντάκτης βλέπει συχνά τον ιστότοπο πιο συχνά από τον διαχειριστή και προσέχει νωρίτερα τις αλλαγές.
Τρίτον: να χειρίζονται συνειδητά τα ανεβάσματα αρχείων. Εικόνες και PDF είναι καθημερινότητα, αλλά ένα αρχείο με ασυνήθιστη κατάληξη, ένα συμπιεσμένο αρχείο «για προώθηση» ή ένα έγγραφο με μακροεντολές δεν ανήκει στο CMS. Αν ένα αρχείο δεν μπορεί να ανεβεί, αυτό είναι συνήθως σκόπιμο και όχι σφάλμα που πρέπει να παρακαμφθεί.
Τι χρειάζονται επιπλέον οι διαχειριστές
Για τους διαχειριστές το θέμα δεν είναι τόσο το phishing όσο η κρίση υπό πίεση χρόνου. Την εβδομάδα του PHP2Shell κυκλοφόρησαν συμβουλές τις οποίες ειδικοί συγγραφείς απορρίπτουν ρητά, όπως ο αποκλεισμός όλων των αιτημάτων με PHPSESSID. Μια επισκόπηση τέτοιων πλάνων προσφέρει το άρθρο Επικίνδυνες λανθασμένες συμβουλές για το PHP2Shell. Οι καλοί διαχειριστές ελέγχουν πρώτα την πρωτογενή πηγή, δηλαδή το php.net, τη BSI ή τον κατασκευαστή, πριν αλλάξουν μια διαμόρφωση.
Σε αυτό ανήκει η πειθαρχία στις αλλαγές: τι άλλαξε, πότε, γιατί και πώς μπορεί να ανακληθεί; Μια σύντομη καταχώριση σε ticket ή wiki αρκεί. Σε περίπτωση έκτακτης ανάγκης αυτή η λίστα αξίζει χρυσάφι, επειδή δείχνει ποια αλλαγή προέρχεται από εσάς και ποια όχι.
Τέλος, οι διαχειριστές πρέπει να γνωρίζουν από τι αναγνωρίζουν μια πιθανή παραβίαση και τι δεν πρέπει να κάνουν τότε: να μην διαγράψουν βιαστικά, να μην εγκαταστήσουν αμέσως από την αρχή, αλλά να διασώσουν και να αναφέρουν. Τα τυπικά σημάδια συνοψίζει το Έχω ήδη παραβιαστεί;.
Σε 90 ημέρες σε μια ανήσυχη ομάδα ιστού
Ένα πρόγραμμα δεν χρειάζεται να είναι μεγάλο για να αποδώσει. Αυτά τα βήματα έχουν αποδειχθεί αποτελεσματικά:
- Διευκρινίστε την υπάρχουσα κατάσταση (εβδομάδα 1 έως 2): Ποιος έχει ποιες προσβάσεις σε CMS, φιλοξενία, domain και διακομιστή; Καταργήστε κοινόχρηστους λογαριασμούς, αποκλείστε παλιούς λογαριασμούς.
- Ορίστε διαδρομή αναφοράς (εβδομάδα 2): Μία διεύθυνση ή ένα κανάλι για το «κάτι μου φαίνεται περίεργο». Κάθε αναφορά απαντιέται, ακόμη κι αν ήταν αβλαβής.
- Πρώτη σύντομη ενότητα ανά ρόλο (εβδομάδα 3 έως 4): 20 λεπτά, παραδείγματα από το δικό σας CMS, στιγμιότυπα οθόνης πραγματικών μενού.
- Εισαγάγετε σύνδεση δύο παραγόντων (έως την εβδομάδα 6): Για όλους με δικαιώματα εγγραφής, με κωδικούς έκτακτης ανάγκης σε ασφαλές σημείο.
- Δοκιμαστικό email και αξιολόγηση (εβδομάδα 8): Μια προαναγγελθείσα δοκιμαστική καμπάνια χωρίς διαπόμπευση μεμονωμένων προσώπων. Αξιολογείται αν έγινε αναφορά, όχι ποιος πάτησε.
- Δεύτερη ενότητα με αφορμή (εβδομάδα 10 έως 12): Για παράδειγμα μια τρέχουσα κατάσταση ασφαλείας, που παίζεται βήμα προς βήμα στο δικό σας σύστημα.
Μετρήστε την επιτυχία με αναφορές και όχι με ποσοστά κλικ. Μια ομάδα που αναφέρει πολλά είναι σε εγρήγορση. Μια ομάδα που δεν αναφέρει ποτέ είναι είτε τέλεια είτε ανασφαλής, και το πρώτο είναι σπάνιο.
Πώς βοηθά συγκεκριμένα η PHP SOS;
- Καταγράφουμε μαζί σας ποιος έχει ποιες προσβάσεις και δείχνουμε κοινόχρηστους λογαριασμούς, περιττούς διαχειριστές και ξεχασμένες προσβάσεις.
- Πραγματοποιούμε σύντομες ενότητες ανά ρόλο εξ αποστάσεως, με παραδείγματα από το CMS και το περιβάλλον διακομιστών σας.
- Συνδράμουμε στη ρύθμιση της διαδρομής αναφοράς και αξιολογούμε τις εισερχόμενες αναφορές υποψίας, αν το επιθυμείτε.
- Στο πλαίσιο μιας σύμβασης συντήρησης ασφάλειας επαναλαμβάνουμε τις ενότητες με τρέχουσες αφορμές και ελέγχουμε τακτικά τους λογαριασμούς.
Συμπέρασμα
Η ευαισθητοποίηση ασφάλειας στην ομάδα ιστού δεν γεννιέται από τον φόβο, αλλά από τη σαφήνεια: ο καθένας γνωρίζει τον ρόλο του, τους τυπικούς κινδύνους του και τον δρόμο για να αναφέρει ανωμαλίες. Σε συνδυασμό με προσωπικούς λογαριασμούς και σύνδεση δύο παραγόντων, αυτό είναι μια προστασία που αντέχει και στην επόμενη εβδομάδα κρίσης.
Συχνές ερωτήσεις
Χρειάζονται καν εκπαίδευση ασφάλειας οι συντάκτες;
Ναι. Οι συντάκτες έχουν πρόσβαση στο CMS, ανεβάζουν αρχεία και λαμβάνουν email που μοιάζουν με μηνύματα συστήματος. Δεν χρειάζεται να κατανοούν την τεχνολογία, αλλά να αναγνωρίζουν πότε κάτι είναι ασυνήθιστο και να γνωρίζουν σε ποιον θα το αναφέρουν.
Πόσο συχνά πρέπει να εκπαιδεύεται η ομάδα ιστού;
Καλύτερα σύντομα και τακτικά παρά μία φορά τον χρόνο και διεξοδικά. Έχουν αποδειχθεί αποτελεσματικές ενότητες 15 έως 20 λεπτών ανά διαστήματα λίγων εβδομάδων, συμπληρωμένες με μια αφορμή, όπως μια τρέχουσα κατάσταση ασφαλείας.
Τι κάνω αν ένας εργαζόμενος πάτησε έναν σύνδεσμο phishing;
Να αναφερθεί αμέσως, χωρίς μομφή. Έπειτα αλλαγή του επηρεαζόμενου κωδικού, τερματισμός των ενεργών συνεδριών και έλεγχος αν έγινε κάποια αλλαγή με τον λογαριασμό. Όσο νωρίτερα έρθει η αναφορά, τόσο μικρότερη είναι συνήθως η ζημία.
Αντικαθιστά η εκπαίδευση τα τεχνικά μέτρα προστασίας;
Όχι. Η εκπαίδευση και η τεχνολογία αλληλοσυμπληρώνονται. Η σύνδεση με δύο παράγοντες, οι χωριστοί ρόλοι και το επίκαιρο λογισμικό αναχαιτίζουν λάθη που συμβαίνουν και σε καλά εκπαιδευμένους ανθρώπους.