Ukratko: BSI-jeva razina upozorenja narančasta druga je najviša od četiri razine. Znači: IT-prijetnja je kritična za poslovanje, a redovni rad može biti masovno ometen. Za PHP2Shell BSI (njemački Savezni ured za informacijsku sigurnost) dodijelio je ovu razinu 3 i preporučuje trenutačno ažuriranje ili, ako to nije moguće, privremeno odspajanje pogođenih web-poslužitelja s mreže. Za tvrtke narančasta znači: tema danas pripada na stol uprave.
Što razvrstavanje znači za donositelje odluka
Mnogi direktori u vijestima su čuli za „razinu upozorenja narančasta“ a da ne znaju kako to razvrstati. Je li to alarm za sve ili tema za IT odjel? Kratak odgovor: narančasta je razina pri kojoj BSI polazi od toga da pogođeni bez brze reakcije riskiraju ozbiljne smetnje u poslovanju.
Prema hessenschauu BSI je kod PHP2Shella govorio o iznimnom potencijalu prijetnje. Računao je s brzim iskorištavanjem u velikom opsegu. Potvrđeni uspješni napadi u širokom opsegu u trenutku upozorenja prema BSI-ju nisu bili poznati. Oboje spada zajedno: visoka razina opisuje rizik, a ne već nastalu štetu.
BSI razina upozorenja narančasta i druge tri razine
BSI svoja kibernetičko-sigurnosna upozorenja razvrstava na ljestvici od 1 do 4. Sljedeća tablica daje značenje u smislu:
| Razina | Boja | Značenje (u smislu) |
|---|---|---|
| 1 | Sivo | IT-prijetnja bez bitnih neobičnosti |
| 2 | Žuto | pojačano praćenje neobičnosti, redovni rad povremeno ometen |
| 3 | Narančasto | stanje kritično za poslovanje, masovno ometanje redovnog rada |
| 4 | Crveno | izrazito kritično stanje, redovni rad u mnogim područjima nije moguće održati |
Razina govori o stanju u cjelini, a ne o Vašem pojedinačnom poslužitelju. Potpuno zakrpan i provjeren web-poslužitelj u dobrom je položaju i pri narančastoj. Nezakrpan poslužitelj s PHP-om 8.1 i mod_php ugrožen je i pri nižoj razini.
Kako ljestvicu koristiti interno
Mnoge tvrtke imaju vlastite razine uzbune, primjerice u priručniku za hitne slučajeve ili u okviru upravljanja informacijskom sigurnošću. Isplati se BSI-jeve razine tamo čvrsto pridružiti. Jednostavno pravilo može glasiti: kod žutog IT provjerava u okviru redovnog rada. Kod narančastog se uprava obavještava istoga dana, imenuje se odgovorna osoba i pisanim putem prikuplja stanje svih pogođenih sustava. Kod crvenog se sastaje krizni stožer.
Tako od vijesti nastaje uvježbana reakcija. Tko je pridruživanje unaprijed utvrdio, u hitnom slučaju ne mora raspravljati je li stanje „dovoljno ozbiljno“. Kod PHP2Shella to bi pravilo značilo: još 21. listopada popis stanja, plan zakrpa i odluka o isključenjima.
BSI sama upozorenja objavljuje na svojoj web-stranici, gdje se kod novih saznanja i ažuriraju. Isplati se čitati aktualnu verziju, jer se preporuke i procjene tijekom situacije mogu mijenjati.
Zašto je PHP2Shell narančasto, a ne crveno
Za usporedbu se često navodi Log4Shell. Za ranjivost u Java biblioteci Log4j BSI je u prosincu 2021. proglasio razinu crveno, prema tadašnjim izvješćima među ostalim zato što se ranjivost mogla trivijalno iskoristiti, a kompromitacije su već bile poznate. U siječnju 2022. upozorenje je prema Bundestagu snižen na žuto.
Točan razlog za narančasto kod PHP2Shella zna samo BSI. Uočljive razlike su stanje potvrđenih napada i činjenica da je za sve podržane PHP grane ažuriranje dostupno. Opsežnu usporedbu nudi članak PHP2Shell i Log4Shell. Narančasto pritom nije otklanjanje uzbune. Preporuka da se poslužitelji u nuždi odspoje s mreže za tijelo vlasti jasna je poruka.
Razina upozorenja može se promijeniti, u oba smjera. Mjerodavno je aktualno stanje na web-stranici BSI-ja, a ne novinski članak od jučer.
Što narančasto ne znači
Tri nesporazuma trenutačno nam se često javljaju:
- „Narančasto znači da smo hakirani.“ Ne. Razina opisuje stanje prijetnje, a ne nalaz na Vašim sustavima.
- „Narančasto vrijedi samo za tijela vlasti.“ Ne. Upozorenja su upućena svim operaterima pogođenih sustava, i malim tvrtkama.
- „Ako imamo Cloudflare ili WAF, narančasto nas se ne tiče.“ Ne. Zaštitna pravila smanjuju rizik, ali ne zamjenjuju PHP ažuriranje.
Proizlaze li iz upozorenja pravne obveze, primjerice u okviru NIS2, ovisi o Vašoj branši i veličini. To nije pravni savjet; pojedinosti razjasnite sa svojim pravnim savjetnikom ili službenikom za zaštitu podataka.
Razvrstavanje pretvoriti u odluke
Razina upozorenja vrijedi onoliko koliko vrijede odluke koje iz nje proizlaze. Za PHP2Shell tvrtkama preporučujemo ovaj redoslijed:
- Razjasniti pogođenost: Koji poslužitelji i web-stranice rade s PHP-om, tko ih vodi?
- Dokazati razinu zakrpe: ispravljena verzija 8.5.12, 8.4.27, 8.3.36 ili 8.2.35, ili backport koji je potvrdio pružatelj.
- Osigurati ponovno pokretanje: Svi PHP procesi moraju biti ponovno pokrenuti.
- Ako to ne ide odmah: postaviti prijelazne mjere ili poslužitelj privremeno odspojiti s mreže, kako preporučuje BSI. Mogućnosti opisuje Hitne mjere bez zakrpe.
- Provjeriti tragove i sigurnosno pohraniti logove: od 20. listopada.
- Dokumentirati odluke: tko je što i kada odlučio i na kojoj osnovi.
Upravo se posljednja točka podcjenjuje. Tko je kod službenog upozorenja razine narančasto postupao razumljivo i provjerljivo, u boljem je položaju prema osiguravateljima, kupcima i nadzornim tijelima. Pozadinu daje stranica o odgovornosti uprave.
Kako PHP SOS konkretno pomaže?
- Stanje za Vašu tvrtku: BSI-jevo razvrstavanje prevodimo u popis Vaših pogođenih sustava s prioritetom.
- Provedba preporuke: Zakrpamo, ponovno pokrenemo ili postavimo prijelazne mjere dok ažuriranje nije moguće.
- Dokaz: Dobivate dokumentaciju što je kada učinjeno na kojem poslužitelju.
- Praćenje: Ako BSI promijeni razvrstavanje ili stignu nove objave, procjenjujemo ih za Vaše sustave.
Više na PHP2Shell hitna pomoć.
Zaključak
Razina upozorenja narančasta druga je najviša razina BSI-ja i za PHP2Shell dobro je obrazložena. Ne traži paniku, ali traži odluku istoga dana: zakrpati, ponovno pokrenuti, provjeriti ili privremeno isključiti. Tko to dokumentira, upozorenje je ispravno pročitao.
Česta pitanja
Koliko razina upozorenja ima BSI?
BSI-jeva kibernetičko-sigurnosna upozorenja koriste četiri razine: 1 / sivo, 2 / žuto, 3 / narančasto i 4 / crveno. Narančasta je druga najviša razina i opisuje IT-prijetnju kritičnu za poslovanje s masovnim ometanjem redovnog rada.
Je li razina upozorenja narančasta obveza djelovanja?
Samo upozorenje je stručna procjena s preporukama za postupanje. Koje obveze iz njega proizlaze za Vašu tvrtku, primjerice iz NIS2, ugovora ili uvjeta osiguranja, ovisi o pojedinom slučaju. Razjasnite to sa svojim pravnim savjetnikom; ovo nije pravni savjet.
Zašto PHP2Shell nije razina crveno?
Razloge za razvrstavanje određuje sam BSI. Upadljiva je razlika u odnosu na Log4Shell, koji je 2021. dobio crveno: tamo su prema tadašnjim izvješćima kompromitacije već bile poznate. Kod PHP2Shella potvrđeni uspješni napadi u širokom opsegu prema BSI-ju u početku nisu bili poznati.
Može li se razina upozorenja promijeniti?
Da. BSI prilagođava razvrstavanje situaciji, prema gore i prema dolje. Log4Shell je primjerice prema njemačkom Bundestagu u siječnju 2022. snižen s crvenog na žuto. Aktualno stanje provjerite izravno kod BSI-ja.