Lühidalt: BSI (Saksamaa föderaalne infoturbeamet) hoiatustase oranž on neljast tasemest suuruselt teine. See tähendab: IT-ohuolukord on ärikriitiline, tavapärane töö võib olla tugevalt häiritud. PHP2Shelli kohta on BSI andnud selle taseme 3 ja soovitab kohest uuendust või, kui see ei õnnestu, mõjutatud veebiserverid ajutiselt võrgust maha võtta. Ettevõtete jaoks tähendab oranž: teema kuulub täna juhtkonna lauale.
Mida hinnang otsustajatele tähendab
Paljud tegevjuhid on uudistes kuulnud „hoiatustasemest oranž“, teadmata, kuidas seda mõista. Kas see on häire kõigile või IT-osakonna teema? Lühike vastus: oranž on tase, mille puhul BSI lähtub sellest, et mõjutatud isikud riskivad kiire tegutsemiseta oma ärile tõsiste häiretega.
Hessenschau andmetel rääkis BSI PHP2Shelli puhul silmapaistvast ohupotentsiaalist. See arvestas kiire ja laiaulatusliku ärakasutamisega. Kinnitatud edukaid laiaulatuslikke rünnakuid ei olnud hoiatuse ajal BSI andmetel teada. Mõlemad kuuluvad kokku: kõrge tase kirjeldab riski, mitte juba tekkinud kahju.
BSI hoiatustase oranž ja ülejäänud kolm taset
BSI liigitab oma küberturvalisuse hoiatused skaalal 1 kuni 4. Järgmine tabel annab tähenduse mõtte järgi edasi:
| Tase | Värv | Tähendus (mõtte järgi) |
|---|---|---|
| 1 | Hall | IT-ohuolukord ilma olulisemate kõrvalekalleteta |
| 2 | Kollane | kõrvalekallete tugevdatud jälgimine, tavapärane töö ajutiselt häiritud |
| 3 | Oranž | ärikriitiline olukord, tavapärase töö tugev häirimine |
| 4 | Punane | äärmiselt kriitiline olukord, tavapärast tööd ei saa paljudes valdkondades enam säilitada |
Tase ütleb midagi olukorra kui terviku kohta, mitte teie üksiku serveri kohta. Täielikult paigatud ja kontrollitud veebiserver on ka oranži korral heas seisus. Paigata PHP 8.1 ja mod_php-ga server on ohustatud ka madalama taseme korral.
Kuidas skaalat sisemiselt kasutada
Paljudel ettevõtetel on omad hädaolukorra tasemed, näiteks hädaolukorra käsiraamatus või infoturbehalduse raames. Tasub BSI tasemed sinna kindlalt vastavusse seada. Lihtne reegel võib olla: kollase korral kontrollib IT tavapärase töö raames. Oranži korral teavitatakse juhtkonda samal päeval, nimetatakse vastutaja ja kogutakse kõigi mõjutatud süsteemide seis kirjalikult. Punase korral kogunevad kriisikomisjon.
Nii saab teatest sisseharjutatud reaktsioon. Kes on vastavuse ette kindlaks määranud, ei pea tõsises olukorras arutama, kas olukord on „piisavalt tõsine“. PHP2Shelli puhul oleks see reegel tähendanud: juba 21. oktoobril ülevaade, paikamisplaan ja otsus väljalülitamiste üle.
Hoiatused ise avaldab BSI oma veebisaidil, kus neid uute teadmiste korral ka ajakohastatakse. Tasub lugeda alati ajakohast versiooni, sest soovitused ja hinnangud võivad olukorra käigus muutuda.
Miks PHP2Shell on oranž, mitte punane
Võrdluseks tuuakse sageli Log4Shell. Java teegi Log4j turvaauku jaoks kuulutas BSI 2021. aasta detsembris välja taseme punane, toonaste aruannete kohaselt muu hulgas seetõttu, et turvaauku sai triviaalselt ära kasutada ja kompromiteerimised olid juba teada. 2022. aasta jaanuaris viidi hoiatus Bundestagi andmetel kollasele.
PHP2Shelli oranži täpse põhjenduse teab ainult BSI. Tuvastatavad erinevused on olukord kinnitatud rünnakute osas ja asjaolu, et kõigi toetatud PHP harude jaoks on uuendus olemas. Üksikasjalikku võrdlust pakub artikkel PHP2Shell ja Log4Shell. Oranž ei ole seejuures vabastus. Soovitus võtta serverid vajaduse korral võrgust maha on ametiasutuse jaoks selge sõnum.
Hoiatustase võib muutuda, mõlemas suunas. Määrav on ajakohane seis BSI veebisaidil, mitte eilne ajaleheartikkel.
Mida oranž ei tähenda
Kolm arusaamatust kohtame praegu sageli:
- „Oranž tähendab, et meid on häkitud.“ Ei. Tase kirjeldab ohuolukorda, mitte leidu teie süsteemides.
- „Oranž kehtib ainult ametiasutustele.“ Ei. Hoiatused on suunatud kõigile mõjutatud süsteemide käitajatele, ka väikeettevõtetele.
- „Kui meil on Cloudflare või WAF, siis oranž meid ei puuduta.“ Ei. Kaitsereeglid vähendavad riski, kuid ei asenda PHP uuendust.
Kas hoiatusest tulenevad õiguslikud kohustused, näiteks NIS2 raames, sõltub teie tegevusalast ja suurusest. See ei ole õigusnõustamine; selgitage üksikasju oma õigusnõustaja või andmekaitsespetsialistiga.
Hinnangu tõlkimine otsusteks
Hoiatustase on väärt just nii palju, kui on sellest tulenevad otsused. PHP2Shelli puhul soovitame ettevõtetele sellist järjekorda:
- Selgitage mõjutatus: Millised serverid ja veebisaidid töötavad PHP-ga, kes neid käitab?
- Tõendage paigatud seis: parandatud versioon 8.5.12, 8.4.27, 8.3.36 või 8.2.35 või pakkuja kinnitatud backport.
- Tagage taaskäivitus: Kõik PHP protsessid peavad olema uuesti käivitatud.
- Kui see ei õnnestu kohe: seadke ajutised meetmed või võtke server ajutiselt võrgust maha, nagu BSI soovitab. Võimalusi kirjeldab Kohesed meetmed ilma paigata.
- Kontrollige jälgi ja kindlustage logid: alates 20. oktoobrist.
- Dokumenteerige otsused: kes mida millal otsustas ja millise aluse põhjal.
Just viimast punkti alahinnatakse. Kes on ametliku oranži taseme hoiatuse korral jälgitavalt tegutsenud, seisab kindlustajate, klientide ja järelevalveasutuste ees paremini. Taustainfot annab leht Juhtkonna vastutus.
Kuidas PHP SOS konkreetselt aitab?
- Olukord teie ettevõttes: Tõlgime BSI hinnangu teie mõjutatud süsteemide prioriteetseks loendiks.
- Soovituse elluviimine: Paigame, käivitame uuesti või seame ajutised meetmed, kuni uuendus on võimalik.
- Tõend: Saate dokumentatsiooni selle kohta, mis millal millisel serveril tehti.
- Jälgimine: Kui BSI hinnangut muudab või tulevad uued teated, hindame neid teie süsteemide jaoks.
Rohkem lehel PHP2Shelli kohene abi.
Kokkuvõte
Hoiatustase oranž on BSI suuruselt teine tase ja PHP2Shelli puhul hästi põhjendatud. See ei nõua paanikat, kuid nõuab otsust samal päeval: paikamine, taaskäivitamine, kontrollimine või ajutine väljalülitamine. Kes seda dokumenteerib, on hoiatust õigesti lugenud.
Korduma kippuvad küsimused
Mitu hoiatustaset BSI-l on?
BSI küberturvalisuse hoiatused kasutavad nelja taset: 1 / hall, 2 / kollane, 3 / oranž ja 4 / punane. Oranž on suuruselt teine tase ja kirjeldab ärikriitilist IT-ohuolukorda, kus tavapärane töö on tugevalt häiritud.
Kas hoiatustase oranž on tegutsemiskohustus?
Hoiatus ise on erialane hinnang koos tegevussoovitustega. Millised kohustused sellest teie ettevõttele tulenevad, näiteks NIS2-st, lepingutest või kindlustustingimustest, sõltub üksikjuhtumist. Selgitage seda oma õigusnõustajaga; see ei ole õigusnõustamine.
Miks PHP2Shell ei ole tase punane?
Hinnangu põhjused määrab BSI ise. Silmatorkav on erinevus Log4Shellist, mis sai 2021. aastal punase: seal olid toonaste aruannete kohaselt kompromiteerimised juba teada. PHP2Shelli puhul ei olnud kinnitatud edukad laiaulatuslikud rünnakud BSI andmetel alguses teada.
Kas hoiatustase võib muutuda?
Jah. BSI kohandab hinnanguid olukorrale, nii üles- kui allapoole. Log4Shell viidi näiteks Bundestagi andmetel 2022. aasta jaanuaris punaselt kollasele. Kontrollige ajakohast seisu otse BSI-lt.