Go achomair: Is timthriall caol athfhillteach í bainistíocht leochaileachtaí i bhFBManna: do chórais a bheith ar eolas agat, tuairiscí a leanúint go sprioctha, measúnú a dhéanamh de réir riosca, cinneadh a ghlacadh, an cinneadh a chur i bhfeidhm agus fianaise a thaifeadadh. Ní uirlisí costasacha atá cinntitheach, ach freagrachtaí soiléire agus tosaíocht a thógann san áireamh an inrochtaineacht, na sonraí agus an cás ionsaithe. Is sampla maith chun cleachtadh a dhéanamh é PHP2Shell, mar tá gach céim le fáil ann.
Na céadta tuairiscí, foireann bheag
Gach seachtain foilsítear leochaileachtaí nua slándála, i gcórais oibriúcháin, i dteangacha ríomhchlárúcháin, i bhfeidhmchláir agus i bhformhíreanna. Tá foireann ag cuideachta mhór chuige sin. Is minic nach mbíonn ag FBM ach ceannasaí TF amháin, riarthóir nó beirt agus roinnt soláthraithe seirbhíse seachtracha. Ní féidir le haon duine gach tuairisc a léamh, agus ní gá do dhuine ar bith sin a dhéanamh.
Is síothlán atá de dhíth: Cé acu de na tuairiscí a bhaineann lenár gcórais, cé acu díobh sin atá práinneach, agus cé a thugann aire dóibh? Gan an síothlán sin, tarlaíonn ceann amháin de dhá rud. Déantar neamhaird ar chách go dtí go dtarlaíonn rud éigin, nó spreagann gach tuairisc corraíl agus caillfear an tuairisc atá fíor-chriticiúil sa bhfuaim.
Timthriall na bainistíochta leochaileachtaí
Is féidir próiseas inbhuanaithe d'FBManna a chur síos i sé chéim:
- Taifead cad atá ag rith. Gan fardal, níl comparáid indéanta. Cé na suíomhanna gréasáin, na freastalaithe, na leaganacha PHP agus na feidhmchláir a oibríonn tú, agus cá bhfuil siad? Léiríonn Fios a bheith agat cad atá ag rith: fardal de gach suíomh gréasáin agus freastalaí conas é sin a bhaint amach.
- Tuairiscí a leanúint. Cláraigh do chúpla foinse iontaofa: rabhaidh an BSI, tuairiscí monaróirí do chuid bogearraí, leathanaigh slándála do dháileacháin Linux, agus i gcás PHP, príomhleathanach php.net.
- Measúnú a dhéanamh. An mbaineann an tuairisc linn? Más ea, cé chomh práinneach? Tuilleadh faoi sin thíos.
- Cinneadh a ghlacadh. Ceartú, cosaint shealadach, an córas a scaradh nó an riosca a ghlacadh d'aon ghnó. Cé a bhfuil cead aige cad a chinneadh?
- A chur i bhfeidhm. Nuashonrú a chur isteach, beart idirthréimhseach a leagan síos, soláthraí seirbhíse a choimisiúnú.
- Fianaise agus leanúint. An bhfuil an leochaileacht dúnta i ndáiríre? Cathain a chuirfear réiteach idirthréimhseach in ionad?
Ina dhiaidh sin tosaíonn an timthriall as an nua. Cuirtear córais nua leis, titeann seanchórais as, agus bíonn tuairiscí nua ann.
I gcás chéim 2, cabhraíonn riail shimplí: léigh cúpla foinse go rialta seachas a lán go hócáideach. I dtimpeallacht ghréasáin mheánmhéide tipiciúil is leor de ghnáth rabhaidh CERT-Bund ag an BSI, tuairiscí slándála an dáilte Linux atá in úsáid, leathanaigh mhonaróirí CMS agus siopaí, agus príomhleathanach php.net. Socraigh cé a léann na foinsí seo, agus cuir bosca poist comhroinnte nó cainéal ar bun nach mbraitheann ar dhuine aonair.
Is fiú cuid mhaith súil ón taobh amuigh a chur leis. Léiríonn scanadh rialta leochaileachtaí ar na córais atá inrochtana go poiblí an bhfuil bogearraí as dáta nó seirbhísí oscailte gan ghá infheicthe. Ní thagann sé in ionad fardail ná nuashonruithe, ach nochtann sé córais nach bhfuil i liosta ar bith.
Measúnú: cad a thagann ar dtús
Is pointe tosaigh maith é an luach CVSS, rangú caighdeánaithe ar dhéine. Ach ní leor é don ord i do theach féin. Cinneann trí cheist eile:
| Ceist | Méadaíonn sé an phráinn | Laghdaíonn sé an phráinn |
|---|---|---|
| An bhfuil an córas inrochtana ón idirlíon? | suíomh gréasáin poiblí, siopa, tairseach | inmheánach amháin, taobh thiar de VPN |
| An bhfuil logáil isteach ag teastáil chun leas a bhaint as an leochaileacht? | níl, gan fíordheimhniú | tá, do riarthóirí amháin |
| Cén sonraí a phróiseálann an córas? | sonraí custaiméirí, íocaíochtaí, rochtana | ábhar poiblí gan cuntais |
| An bhfuil tuairiscí ann ar ionsaithe? | iarrachtaí ionsaithe tuairiscithe | níl aon iarrachtaí aitheanta ann |
| An bhfuil beart idirthréimhseach ann? | níl | tá, le héifeacht chruthaithe |
Léiríonn PHP2Shell conas a oibríonn siad le chéile. Tá luach CVSS v4.0 de 9.2 ag an dá leochaileacht, ceadaíonn siad cód a rith gan logáil isteach agus bíonn tionchar acu ar fhreastalaithe gréasáin atá inrochtana go poiblí. De réir na meán, thuairiscigh Cloudflare agus Patchstack iarrachtaí ionsaithe, agus rangaigh an BSI an cás mar Leibhéal Rabhaidh 3. Ní thugann bearta idirthréimhseacha php.net cosaint iomlán, a deirtear go sainráite. Léiríonn gach ceist an treo céanna: gníomhaigh láithreach. Is féidir a fháil amach cad a mhol an BSI go sonrach ag Cad a mholann an BSI maidir le PHP2Shell.
Cinneadh agus taifeadadh
Ní féidir gach leochaileacht a dhúnadh láithreach. Ritheann seanchóras ar PHP 8.1 nach bhfuil nuashonruithe oifigiúla ar fáil dó a thuilleadh (féach PHP 8.1 agus níos sine: cad atá i bhfeidhm anois), ní fhéadann feidhmchlár speisialtóireachta an nuashonrú a ghlacadh go fóill. Ansin tá cinneadh de dhíth, agus ní leis an teicneolaíocht amháin é.
Sa nóta cinnidh maith luaitear an córas lena mbaineann, an leochaileacht, an measúnú, an rogha a roghnaíodh, na bearta idirthréimhseacha, an duine atá freagrach agus dáta le haghaidh athsheiceála. Má ghlactar riosca d'aon ghnó, is é an bhainistíocht a chinneann, ní an riarthóir ina aonar. Molann an OWASP Cheat Sheet maidir le déileáil le spleáchais leochaileacha freisin glacadh riosca a ancaireacht go sainráite ar leibhéal na bainistíochta.
Coinnigh liosta amháin de leochaileachtaí oscailte le stádas, duine freagrach agus spriocdháta. Is leor tábla. Is tábhachtach go ndéantar athbhreithniú air go rialta, mar shampla sa chruinniú míosúil leis an mbainistíocht.
Cad is gá do NIS2 agus soláthraithe seirbhíse leis seo
I gcás cuideachtaí a thagann faoi NIS2, tá láimhseáil leochaileachtaí mar chuid de na dualgais bainistíochta riosca. Déanann NIS2 agus slándáil freastalaí gréasáin cur síos ar na sonraí. Ach fiú gan dualgas dlí, is buntáiste é próiseas doiciméadaithe, mar shampla i leith custaiméirí, árachóirí agus bhainistíocht na cuideachta féin.
Is féidir a lán céimeanna a chur ar fhoinsiú seachtrach, mar shampla tuairiscí a leanúint nó nuashonruithe a chur isteach. Ba cheart, áfach, cinneadh faoi rioscaí agus an forléargas iomlán a fhágáil laistigh den teach. An té a thugann an timthriall go hiomlán do sholáthraí seirbhíse, ní bheidh a fhios aige san éigeandáil cén chórais atá aige ar chor ar bith. Léiríonn Bainistíocht paistí mar phróiseas in ionad briogáide dóiteáin conas a eagraítear an cur i bhfeidhm mar ghnáthamh.
Conas a chabhraíonn PHP SOS go nithiúil?
- Cruthaímid fardal de do shuíomhanna gréasáin agus de do fhreastalaithe leat mar bhunús le gach comparáid.
- Leanaimid na tuairiscí ábhartha do do chórais agus tugaimid measúnú i bhfocail shoiléire le moladh.
- Ullmhaímid nótaí cinnidh do chásanna nach féidir nuashonrú a chur isteach láithreach iontu.
- Trí Monatóireacht slándála seiceálaimid go leanúnach an dtagann córais chun solais mar chórais amhrasacha fad is atá leochaileacht oscailte fós.
Conclúid: Ní gá do bhainistíocht leochaileachtaí i bhFBManna a bheith mór, ach caithfidh sí a bheith ceangailteach. An té a bhfuil a chórais ar eolas aige, a léann cúpla foinse mhaith agus a thaifeadann cinntí, freagróidh sé go tapa agus i gceart don chéad tuairisc chriticiúil eile.
Ceisteanna coitianta
Cad is bainistíocht leochaileachtaí ann?
Is éard is ann ná próiseas athfhillteach lena bhfaigheann cuideachta amach faoi bhearnaí slándála ina córais, lena measann sí iad, lena gceartaíonn sí iad nó lena nglacann sí leo d'aon ghnó, agus lena ndéanann sí an toradh a thaifeadadh. Ní huirlis atá i gceist, ach freagrachtaí agus cinntí.
An leor luach CVSS chun tosaíocht a leagan síos?
Is pointe tosaigh maith é, ach ní leor é. Tá sé tábhachtach freisin an bhfuil an córas lena mbaineann inrochtana ón idirlíon, cén sonraí a phróiseálann sé agus an bhfuil ionsaithe breathnaithe cheana. Is féidir le leochaileacht a bhfuil luach ard aici ar chóras tástála inmheánach fanacht; ní féidir leis sin a dhéanamh ar an siopa.
An bhfuil uirlis ar leith ag teastáil ó chuideachta bheag chuige seo?
Ní ag an tús. Is leor liosta cothabhála de na córais, fógraí slándála ar a bhfuil síntiús agus tábla de phointí oscailte. Is fiú scanóirí leochaileachtaí nuair a fhásann líon na gcóras nó nuair is gá seiceálacha a chruthú go rialta.
An bhfuil cead leochaileacht a fhágáil gan cheartú d'aon ghnó?
Tá, má tá an riosca measta, má dhéanann an lucht bainistíochta atá freagrach an cinneadh agus má thaifeadtar é i scríbhinn, go hidéalach le bearta idirthréimhseacha agus dáta le haghaidh athsheiceála.