In breve: un benchmark CIS per server web fornisce impostazioni concrete e specifiche per versione per sistema operativo e server web, ad esempio per Ubuntu, Debian, RHEL, Nginx o Apache. I moduli dell'IT-Grundschutz del BSI (Ufficio federale tedesco per la sicurezza informatica) descrivono inoltre quali requisiti valgano per server web, applicazioni web, gestione delle patch e registrazione dei log. Insieme formano una direttiva di hardening verificabile; le impostazioni specifiche di PHP le aggiunge Lei stesso.
Perché «ben configurato» non è un metro di misura
Dopo un incidente, direzione, assicuratori o auditor prima o poi pongono la stessa domanda: secondo quale standard era configurato il server? La risposta onesta, in molte aziende, è: secondo il meglio delle conoscenze dell'admin che a suo tempo lo ha messo in piedi. Non è necessariamente un male, ma non è né tracciabile né ripetibile.
PHP2Shell lo ha reso visibile. Chi voleva sapere quali server fossero interessati, quale modalità di esecuzione di PHP girasse e quando fosse stata applicata l'ultima patch, in molti posti ha dovuto prima mettersi a cercare. Uno standard di hardening non sostituisce un aggiornamento, ma crea proprio quest'ordine: impostazioni definite, un inventario e verifiche regolari.
Due opere si sono dimostrate valide allo scopo: i benchmark CIS del Center for Internet Security e l'IT-Grundschutz del BSI.
Che cosa contiene un benchmark CIS per server web
I benchmark CIS sono raccomandazioni di configurazione basate sul consenso, elaborate insieme da esperti di molte organizzazioni. Secondo CIS esistono per più di 25 famiglie di prodotti. Per i server web PHP sono rilevanti soprattutto questi: Ubuntu Linux, Debian Linux e Red Hat Enterprise Linux per il sistema operativo, nonché Apache HTTP Server 2.4 e NGINX per il server web.
Ogni benchmark è un elenco di singole raccomandazioni con motivazione, istruzioni di verifica e correzione. Molti benchmark distinguono un profilo di base, attuabile senza grandi effetti collaterali, e un profilo più severo per esigenze di protezione più alte. Per la verifica automatica CIS offre strumenti, nell'ambito dei benchmark con il nome CIS-CAT.
Il vantaggio è la precisione: invece di «mettere in sicurezza SSH» vi si legge quale impostazione debba avere quale valore e come verificarlo. Lo svantaggio è la mole. Un benchmark completo per un sistema Linux contiene moltissimi punti e non tutti si adattano a ogni attività.
Faccia inoltre attenzione alla versione. I benchmark valgono ciascuno per determinate release: la panoramica CIS riporta ad esempio edizioni separate per le versioni LTS di Ubuntu fino alla 26.04, per Debian da 9 a 13 e per RHEL 8, 9 e 10. Chi applica a un sistema nuovo un benchmark per una versione più vecchia verifica in parte impostazioni che lì non esistono più e ne trascura di nuove. Se su un server gira ancora un sistema operativo senza supporto del produttore, già questo è il rilievo più importante.
I moduli BSI adatti per i server web PHP
L'IT-Grundschutz del BSI lavora con moduli che descrivono requisiti per sistemi e procedure. Attualmente è in vigore il Compendio IT-Grundschutz nell'edizione 2023. Il BSI sta trasformando l'IT-Grundschutz in un insieme di regole orientato ai processi e leggibile da macchina; secondo il BSI il compendio attuale resta applicabile in un periodo transitorio di più anni.
Per un server web PHP questi moduli sono i più importanti:
| Modulo | Contenuto | Rapporto con il server web PHP |
|---|---|---|
| APP.3.2 Webserver | Gestione e configurazione del server web | Nginx, Apache, LiteSpeed |
| APP.3.1 Webanwendungen und Webservices | Requisiti per l'applicazione | CMS, shop, software PHP proprio |
| SYS.1.3 Server unter Linux und Unix | Hardening del sistema operativo | Base di ogni server web Linux |
| OPS.1.1.3 Patch- und Änderungsmanagement | Installazione regolata degli aggiornamenti | Aggiornamenti PHP, riavvii, documentazione |
| OPS.1.1.5 Protokollierung | Rilevazione e analisi degli eventi | Log di accesso e di errore |
| CON.3 Datensicherungskonzept | Backup e ripristino | Salvataggio di codice e database |
| CON.10 Entwicklung von Webanwendungen | Sviluppo sicuro | Progetti PHP propri |
L'Grundschutz è meno concreto di un benchmark CIS, ma in compenso copre procedure che non compaiono in alcun file di configurazione: chi applica le patch, chi controlla, chi viene informato.
CIS o BSI: che cosa si adatta alla sua azienda?
La scelta dipende meno dalla tecnica che dal contesto. Una regola pratica:
- Base tecnica per singoli server: benchmark CIS per sistema operativo e server web, integrato da una direttiva PHP propria.
- Pubblica amministrazione, committenti con riferimento all'Grundschutz, settori regolamentati: IT-Grundschutz come cornice, benchmark CIS per l'attuazione concreta.
- Aziende con ISO 27001 o TISAX: entrambe le opere sono adatte come supporto tecnico alle proprie direttive, vedi ISO 27001 e TISAX: che cosa riguarda i server web.
- Aziende che rientrano nella NIS2: uno standard di hardening documentato aiuta a dimostrare misure adeguate. Che cosa richieda la direttiva lo riassume NIS2 e sicurezza dei server web; nel singolo caso decide la sua consulenza legale.
Per PHP stesso conviene integrare le direttive del server: valori bloccati in php.ini, pool FPM separati, nessuna esecuzione nelle cartelle di upload. Una buona base è offerta dalla guida Configurare php.ini in modo sicuro.
In sei passi verso una propria direttiva di hardening
Uno standard serve solo se arriva nell'attività quotidiana. Si è dimostrato valido questo procedimento:
- Creare un inventario: quali server, sistemi operativi, server web e versioni di PHP girano dove?
- Scegliere benchmark e moduli, adatti a versione ed esigenza di protezione.
- Verificare lo stato attuale, se possibile in modo automatizzato, e raccogliere le deviazioni.
- Valutare le deviazioni: attuare, accettare consapevolmente o compensare con altre misure, sempre con motivazione.
- Fissare la direttiva, idealmente come automazione della configurazione, così i nuovi server sono sottoposti a hardening fin dall'inizio.
- Ripetere la verifica regolarmente e dopo aggiornamenti importanti, perché i nuovi pacchetti portano a volte nuovi valori predefiniti.
Il passo 6 collega l'hardening al processo delle patch. Come installare gli aggiornamenti in modo pianificabile anziché frenetico lo descrive Gestione delle patch come processo anziché pronto intervento.
Provi i profili severi prima su un sistema di staging. Alcune raccomandazioni, ad esempio su file system o servizi di rete, possono interrompere applicazioni o accessi remoti.
Come aiuta concretamente PHP SOS?
- Rileviamo i suoi server web e assegniamo a ciascuno il benchmark CIS adatto e i moduli di Grundschutz rilevanti.
- Verifichiamo lo stato attuale e forniamo un elenco prioritizzato delle deviazioni con impegno e beneficio.
- Integriamo la direttiva con una base PHP per php.ini, pool FPM e permessi dei file.
- Documentiamo le eccezioni consapevoli in modo che auditor e assicuratori possano seguirle.
L'attuazione la svolgiamo nell'ambito dell'hardening del server per server web PHP.
Domande frequenti
Devo attuare ogni raccomandazione di un benchmark CIS?
No. I benchmark sono un metro di misura, non una legge. Alcune raccomandazioni non si adattano alla sua attività o ostacolerebbero delle funzioni. Conta decidere le deviazioni in modo consapevole, motivarle e documentarle.
I benchmark CIS e l'IT-Grundschutz sono concorrenti?
Piuttosto si integrano. I benchmark CIS forniscono impostazioni concrete per prodotto e versione. L'IT-Grundschutz descrive i requisiti per sistemi e processi, ad esempio gestione delle patch e registrazione dei log, e li inserisce in un sistema di gestione.
Esiste uno standard di hardening specifico per PHP?
Le impostazioni di PHP sono contenute di solito solo marginalmente negli standard comuni per i server. Nella pratica si integrano le direttive del server con una base PHP propria, ad esempio per php.ini, pool FPM e permessi dei file, e per l'applicazione ci si orienta ai moduli sulle applicazioni web.
Un benchmark CIS avrebbe impedito PHP2Shell?
No. PHP2Shell indica vulnerabilità nell'interprete PHP, contro le quali aiuta solo l'aggiornamento. Un server sottoposto a hardening può però limitare le conseguenze di un'intrusione e, con una gestione regolata delle patch, far sì che gli aggiornamenti vengano installati più in fretta e in modo documentabile.
L'IT-Grundschutz è troppo grande per le piccole imprese?
Come sistema di gestione completo spesso sì. I singoli moduli si possono però usare bene come checklist per server web e applicazioni web, senza adottare subito l'intero metodo.