Trumpai: saugumo sąmoningumas žiniatinklio komandos darbuotojams reiškia: kiekvienas, kas prižiūri svetainę, žino tris ar keturias savo vaidmens rizikas, atpažįsta neįprastus dalykus ir apie juos praneša greitai ir nebijodamas priekaištų. Redaktoriams reikia kito turinio nei administratoriams. Trumpi, pasikartojantys užsiėmimai su pavyzdžiais iš savo CMS veikia geriau nei kasmetiniai privalomi mokymai.
Kodėl būtent dabar dėmesio centre žiniatinklio komanda
Padėtis aplink PHP2Shell parodė, kiek viso per kelias dienas užgriūna svetainių eksploatuotojus: BSI įspėjimai, hostingo teikėjų pranešimai, patarimai forumuose ir socialiniuose tinkluose, taip pat ir klaidingi. Tokiomis savaitėmis ne tik administratoriai, bet ir redaktoriai, rinkodara ir asistentai sprendžia, kurį laišką atidaryti ir kurią nuorodą paspausti.
Didelės naujienų situacijos, kaip rodo patirtis, yra sukčių proga. Tikėkitės laiškų, kurie prisistato kaip hostingo teikėjas, CMS gamintojas ar „IT skyrius“ ir ragina skubiai prisijungti arba tariamai įdiegti saugumo atnaujinimą. Kas žino tikrą padėtį, tuo rečiau pasiduoda. Pačios techninės spragos redaktorius neuždaro, bet pavogta administratoriaus prieiga atveria duris ir be spragos.
Saugumo sąmoningumas darbuotojams: kam ko reikia?
Mokymai visiems su tomis pačiomis skaidrėmis dažniausiai nepasiekia tikslo. Prasmingiau pritaikyti pagal vaidmenis. Toliau pateikta apžvalga padeda planuoti:
| Vaidmuo | Tipinės rizikos | Ką asmuo turėtų mokėti |
|---|---|---|
| Redaktorius, rinkodara | fišingo laiškai, nesaugūs failų įkėlimai, bendros prieigos | patikrinti siuntėją, įkelti tik numatytų tipų failus, niekada neperduoti savo prisijungimo duomenų |
| CMS administratorius | papildiniai iš nežinomo šaltinio, per daug administratoriaus paskyrų, buvusių darbuotojų senos paskyros | teises skirti taupiai, paskyras reguliariai tikrinti, plėtinius diegti tik su patvirtinimu |
| Serverio administratorius | netikrinti patarimai iš tinklo, pakeitimai be žurnalo, užmiršti bandomieji failai | vertinti šaltinius, dokumentuoti pakeitimus, žinoti avarinį kelią |
| Vadovybė | spaudimas greitiems sprendimams, neaiškios atsakomybės | nustatyti sprendimų kelius, rimtai vertinti pranešimus, skirti biudžetą prevencijai |
| Išorinė agentūra | bendros prieigos, trūkstami susitarimai | naudoti savo asmenines paskyras, pranešti apie pakeitimus |
Lentelė parodo ir tai, kur turi padėti technika. Asmeninės paskyros vietoj bendrų prieigų ir dviejų veiksnių prisijungimas visiems su rašymo teisėmis nuima daug spaudimo nuo mokymų. Kaip tai padaryti, aprašyta skyriuje Dviejų veiksnių prisijungimas administratoriaus prieigoms.
Ką redaktoriai turi žinoti netapdami technikais
Redaktoriams nereikia žinoti, kas yra PHP darbinis procesas. Tačiau jie turėtų užtikrintai valdyti tris dalykus. Pirma: raginimas „dėl saugumo incidento“ prisijungti iš naujo niekada neatliekamas per laiško nuorodą, o tik įprastu keliu į CMS arba pasiteiravus administratoriaus.
Antra: pranešti apie neįprastus dalykus. Tai nežinomos naudotojų paskyros naudotojų sąraše, puslapiai ar įrašai, kurių niekas nesukūrė, staigūs nukreipimai ir naršyklės įspėjimai. Redaktorius svetainę dažnai mato dažniau nei administratorius ir pokyčius pastebi anksčiau.
Trečia: sąmoningai elgtis su įkėlimais. Paveikslėliai ir PDF yra kasdienybė, tačiau failas su neįprastu plėtiniu, archyvas „perduoti toliau“ ar dokumentas su makrokomandomis CMS nepriklauso. Jei failo įkelti nepavyksta, tai dažniausiai tyčia, o ne klaida, kurią reikėtų apeiti.
Ko papildomai reikia administratoriams
Administratoriams svarbiau ne fišingas, o sprendimo gebėjimas esant laiko spaudimui. PHP2Shell savaitę cirkuliavo patarimai, kuriuos specialistai aiškiai atmeta, pavyzdžiui, blokuoti visas užklausas su PHPSESSID. Tokių klaidingų kelių apžvalgą pateikia straipsnis Pavojingi klaidingi patarimai dėl PHP2Shell. Geri administratoriai prieš keisdami konfigūraciją pirmiausia patikrina pirminį šaltinį, tai yra php.net, BSI arba gamintoją.
Čia priklauso ir drausmė keičiant: kas, kada ir kodėl buvo pakeista ir kaip tai galima atšaukti? Pakanka trumpo įrašo bilieto sistemoje ar wiki. Kritiniu atveju šis sąrašas neįkainojamas, nes parodo, kuris pakeitimas jūsų, o kuris ne.
Galiausiai administratoriai turėtų žinoti, pagal ką atpažinti galimą įsilaužimą ir ko tuomet nedaryti: neištrinti skubotai, iškart neinstaliuoti iš naujo, o išsaugoti ir pranešti. Tipinius požymius apibendrina Ar jau esu pažeistas?.
Per 90 dienų prie budrios žiniatinklio komandos
Programa neturi būti didelė, kad veiktų. Šie žingsniai pasiteisino:
- Išsiaiškinti būklę (1–2 savaitė): kas kokias prieigas turi prie CMS, hostingo, domeno ir serverio? Panaikinti bendras paskyras, užblokuoti senas paskyras.
- Nustatyti pranešimo kelią (2 savaitė): vienas adresas ar kanalas „man kažkas atrodo keista“. Į kiekvieną pranešimą atsakoma, net jei jis buvo nekenksmingas.
- Pirmas trumpas užsiėmimas kiekvienam vaidmeniui (3–4 savaitė): 20 minučių, pavyzdžiai iš savo CMS, tikrų meniu ekrano nuotraukos.
- Įvesti dviejų veiksnių prisijungimą (iki 6 savaitės): visiems su rašymo teisėmis, avariniai kodai saugioje vietoje.
- Bandomasis laiškas ir įvertinimas (8 savaitė): paskelbta bandomoji kampanija, nepažeminant atskirų asmenų. Vertinama, ar buvo pranešta, o ne kas paspaudė.
- Antras užsiėmimas pagal progą (10–12 savaitė): pavyzdžiui, aktuali saugumo situacija, atlikta su savo sistema.
Sėkmę matuokite pranešimais, o ne paspaudimų rodikliais. Komanda, kuri daug praneša, budri. Komanda, kuri niekada nepraneša, yra arba tobula, arba nedrąsi, o pirmasis atvejis retas.
Kaip PHP SOS padeda konkrečiai?
- Kartu su jumis išsiaiškiname, kas kokias prieigas turi, ir parodome bendras paskyras, perteklinius administratorius ir užmirštas prieigas.
- Vedame trumpus užsiėmimus kiekvienam vaidmeniui nuotoliu, su pavyzdžiais iš jūsų CMS ir serverio aplinkos.
- Padedame nustatyti pranešimo kelią ir, jei pageidaujate, vertiname gaunamus įtarimų pranešimus.
- Pagal saugumo priežiūros sutartį pakartojame užsiėmimus aktualiomis progomis ir reguliariai tikriname paskyras.
Išvada
Saugumo sąmoningumas žiniatinklio komandoje atsiranda ne iš baimės, o iš aiškumo: kiekvienas žino savo vaidmenį, tipines rizikas ir kelią, kuriuo pranešti apie neįprastus dalykus. Kartu su asmeninėmis paskyromis ir dviejų veiksnių prisijungimu tai apsauga, kuri išlaiko ir kitą krizės savaitę.
Dažni klausimai
Ar redaktoriams apskritai reikia saugumo mokymų?
Taip. Redaktoriai turi prieigą prie CMS, įkelia failus ir gauna laiškus, panašius į sistemos pranešimus. Jiems nereikia suprasti technikos, bet reikia atpažinti, kada kas nors neįprasta, ir žinoti, kam apie tai pranešti.
Kaip dažnai reikėtų mokyti žiniatinklio komandą?
Geriau trumpai ir reguliariai nei kartą per metus ilgai. Pasiteisino 15–20 minučių užsiėmimai kas kelias savaites, papildyti proga, pavyzdžiui, aktualia saugumo situacija.
Ką daryti, jei darbuotojas paspaudė fišingo nuorodą?
Iškart leisti pranešti, be priekaištų. Tada pakeisti paveiktą slaptažodį, nutraukti aktyvias sesijas ir patikrinti, ar su paskyra kas nors buvo pakeista. Kuo anksčiau ateina pranešimas, tuo žala dažniausiai mažesnė.
Ar mokymai pakeičia technines apsaugos priemones?
Ne. Mokymai ir technika papildo vienas kitą. Dviejų veiksnių prisijungimas, atskirti vaidmenys ir atnaujinta programinė įranga sustabdo klaidas, kurias daro ir gerai išmokyti žmonės.