Fil-qosor: CIS Benchmark għal web server jagħti issettjar konkret, eżatt skont il-verżjoni, għas-sistema operattiva u għas-server tal-web, pereżempju għal Ubuntu, Debian, RHEL, Nginx jew Apache. Il-blocks tal-IT-Grundschutz tal-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni) jiddeskrivu minbarra dan liema rekwiżiti japplikaw għal web servers, applikazzjonijiet tal-web, patch management u logging. Flimkien jagħtu rekwiżit ta' hardening verifikabbli; l-issettjar speċifiku ta' PHP tissupplimentawh intom stess.
Għaliex „imwaqqaf tajjeb“ mhuwiex kejl
Wara inċident, id-direzzjoni, l-assiguraturi jew l-awdituri tard jew kmieni jistaqsu l-istess mistoqsija: skont liema standard kien imwaqqaf is-server? It-tweġiba onesta f'ħafna kumpaniji hija: skont l-aħjar għarfien tal-amministratur li waqqafu dak iż-żmien. Dan mhux neċessarjament ħażin, imma la jista' jiġi segwit u lanqas ripetut.
PHP2Shell għamel dan viżibbli. Min ried jaf liema servers huma affettwati, liema modalità ta' PHP taħdem u meta ġie ppatchjat l-aħħar kellu f'ħafna postijiet l-ewwel jfittex. Standard ta' hardening ma jissostitwix aġġornament, imma joħloq eżattament din l-ordni: issettjar stabbilit, inventarju u verifiki regolari.
Żewġ xogħlijiet urew li jaħdmu għal dan: is-CIS Benchmarks taċ-Center for Internet Security u l-IT-Grundschutz tal-BSI.
X'fih CIS Benchmark għal web server
Is-CIS Benchmarks huma rakkomandazzjonijiet ta' konfigurazzjoni bbażati fuq il-kunsens, li esperti minn ħafna organizzazzjonijiet jiżviluppaw flimkien. Skont CIS teżisti għal aktar minn 25 familja ta' prodotti. Għal web servers PHP huma rilevanti l-aktar dawn: Ubuntu Linux, Debian Linux u Red Hat Enterprise Linux għas-sistema operattiva, kif ukoll Apache HTTP Server 2.4 u NGINX għas-server tal-web.
Kull benchmark huwa lista ta' rakkomandazzjonijiet individwali b'ġustifikazzjoni, struzzjoni ta' verifika u korrezzjoni. Ħafna benchmarks jiddistingwu profil bażiku, li jista' jiġi implimentat mingħajr effetti sekondarji kbar, u profil aktar strett għal ħtieġa ogħla ta' protezzjoni. Għall-verifika awtomatika CIS joffri għodod, fl-ambjent tal-benchmarks taħt l-isem CIS-CAT.
L-vantaġġ huwa l-preċiżjoni: minflok „issigura SSH“ hemmhekk jingħad liema issettjar għandu liema valur u kif tivverifikawh. L-iżvantaġġ huwa l-ambitu. Benchmark komplut għal sistema Linux fih ħafna punti, u mhux kull wieħed jaqbel ma' kull operat.
Oqogħdu attenti wkoll għall-verżjoni. Il-benchmarks japplikaw kull wieħed għal releases speċifiċi: il-ħarsa ġenerali ta' CIS telenka pereżempju edizzjonijiet separati għal verżjonijiet LTS ta' Ubuntu sa 26.04, għal Debian 9 sa 13 u għal RHEL 8, 9 u 10. Min japplika benchmark għal verżjoni aktar qadima għal sistema ġdida, jivverifika parzjalment issettjar li ma jeżistix aktar hemmhekk u jinjora dak il-ġdid. Jekk fuq server għadha taħdem sistema operattiva mingħajr appoġġ tal-manifattur, dan innifsu huwa l-aktar sejba importanti.
Il-blocks adattati tal-BSI għal web servers PHP
L-IT-Grundschutz tal-BSI jaħdem b'blocks li jiddeskrivu rekwiżiti għal sistemi u proċessi. Bħalissa huwa l-IT-Grundschutz-Kompendium fl-edizzjoni 2023. Il-BSI bħalissa qed jibdel l-IT-Grundschutz f'sett ta' regoli orjentat lejn il-proċessi u li jinqara mill-magni; il-kompendju eżistenti jibqa', skont il-BSI, applikabbli f'perjodu ta' tranżizzjoni ta' ħafna snin.
Għal web server PHP dawn il-blocks huma l-aktar importanti:
| Block | Kontenut | Rabta mal-web server PHP |
|---|---|---|
| APP.3.2 Webserver | Operat u konfigurazzjoni tas-server tal-web | Nginx, Apache, LiteSpeed |
| APP.3.1 Webanwendungen und Webservices | Rekwiżiti għall-applikazzjoni | CMS, ħanut, softwer PHP proprju |
| SYS.1.3 Server unter Linux und Unix | Hardening tas-sistema operattiva | Bażi ta' kull web server Linux |
| OPS.1.1.3 Patch- und Änderungsmanagement | Installazzjoni regolata tal-aġġornamenti | Aġġornamenti ta' PHP, restarts, prova |
| OPS.1.1.5 Protokollierung | Reġistrazzjoni u evalwazzjoni ta' avvenimenti | Protokolli tal-aċċess u tal-iżbalji |
| CON.3 Datensicherungskonzept | Backups u rkupru | Backup tal-kodiċi u tad-database |
| CON.10 Entwicklung von Webanwendungen | Żvilupp sigur | Proġetti PHP proprji |
L-Grundschutz huwa inqas konkret minn CIS Benchmark, imma jkopri proċessi li ma jinsabu f'ebda fajl ta' konfigurazzjoni: min jipatchja, min jivverifika, min jiġi infurmat.
CIS jew BSI: x'jaqbel mal-kumpanija tagħkom?
L-għażla tiddependi inqas mit-teknoloġija milli mill-ambjent. Regola ġenerali:
- Bażi teknika għal servers individwali: CIS Benchmark għas-sistema operattiva u għas-server tal-web, issupplimentat b'rekwiżit proprju għal PHP.
- Amministrazzjoni pubblika, klijenti b'rabta mal-Grundschutz, oqsma regolati: l-IT-Grundschutz bħala qafas, CIS Benchmarks għall-implimentazzjoni konkreta.
- Kumpaniji b'ISO 27001 jew TISAX: iż-żewġ xogħlijiet huma adattati bħala sostenn tekniku tal-linji gwida proprji, ara ISO 27001 u TISAX: dak li jirrigwarda lill-web servers.
- Kumpaniji li jaqgħu taħt NIS2: Standard ta' hardening iddokumentat jgħin fil-prova ta' miżuri xierqa. X'jitlob id-direttiva jiġbor NIS2 u s-sigurtà tal-web servers; fil-każ individwali jiddeċiedi l-konsulent legali tagħkom.
Għal PHP stess għandkom tissupplimentaw ir-rekwiżiti tas-server: valuri mblukkati fil-php.ini, pools separati ta' FPM, l-ebda eżekuzzjoni fil-folders tal-upload. Bażi tajba tagħti l-gwida Ikkonfigura php.ini b'mod sigur.
Fi sitt passi għar-rekwiżit proprju ta' hardening
Standard jiswa biss jekk jasal fl-operat. Din il-proċedura wriet li taħdem:
- Oħolqu inventarju: Liema servers, sistemi operattivi, web servers u verżjonijiet ta' PHP jaħdmu fejn?
- Agħżlu benchmark u blocks, adattati għall-verżjoni u l-ħtieġa ta' protezzjoni.
- Ivverifikaw l-istat attwali, jekk possibbli b'mod awtomatiku, u ibgħu d-devjazzjonijiet.
- Evalwaw id-devjazzjonijiet: implimentaw, aċċettaw konxjament jew ikkumpensaw b'miżuri oħra, kull darba b'ġustifikazzjoni.
- Fissaw ir-rekwiżit, idealment bħala awtomatizzazzjoni tal-konfigurazzjoni, biex servers ġodda jkunu mwaqqfa sewwa mill-bidu.
- Erġgħu ivverifikaw regolarment u wara aġġornamenti akbar, għax pakketti ġodda xi kultant iġibu valuri awtomatiċi ġodda.
Il-pass 6 jgħaqqad il-hardening mal-proċess tal-patches. Kif tinstallaw aġġornamenti b'mod ippjanat minflok bla ħabel jiddeskrivi Patch management bħala proċess minflok dipartiment tan-nar.
Ittestjaw profili stretti l-ewwel fuq sistema ta' staging. Xi rakkomandazzjonijiet, pereżempju dwar sistemi tal-fajls jew servizzi tan-netwerk, jistgħu jfixklu applikazzjonijiet jew aċċessi mill-bogħod.
Kif tgħin PHP SOS b'mod konkret?
- Nirreġistraw il-web servers tagħkom u nassenjaw lil kull wieħed il-CIS Benchmark adattat u l-blocks rilevanti tal-Grundschutz.
- Nivverifikaw l-istat attwali u nagħtu lista prijoritizzata tad-devjazzjonijiet b'sforz u benefiċċju.
- Nissupplimentaw ir-rekwiżit b'bażi ta' PHP għal php.ini, pools ta' FPM u drittijiet tal-fajls.
- Niddokumentaw eċċezzjonijiet konxji b'mod li awdituri u assiguraturi jistgħu jsegwuhom.
L-implimentazzjoni nieħdu hi fil-qafas tal-Hardening tas-server għal servers tal-web PHP.
Mistoqsijiet frekwenti
Jeħtieġ nimplimenta kull rakkomandazzjoni ta' CIS Benchmark?
Le. Il-benchmarks huma kejl, mhux liġi. Xi rakkomandazzjonijiet ma jaqblux mal-operat tagħkom jew ifixklu funzjonijiet. L-importanti hu li d-devjazzjonijiet jiġu deċiżi konxjament, ġustifikati u ddokumentati.
CIS Benchmarks u IT-Grundschutz huma kompetituri?
Aktar kumplimenti. Is-CIS Benchmarks jagħtu issettjar konkret għal kull prodott u verżjoni. L-IT-Grundschutz jiddeskrivi rekwiżiti għal sistemi u proċessi, pereżempju patch management u logging, u jpoġġihom f'sistema ta' ġestjoni.
Teżisti standard ta' hardening speċifikament għal PHP?
L-issettjar ta' PHP fl-istandards tas-servers komuni normalment jidher biss fuq in-naħa. Fil-prattika r-rekwiżiti tas-server jissupplimentawhom b'bażi proprja ta' PHP, pereżempju għal php.ini, pools ta' FPM u drittijiet tal-fajls, u għall-applikazzjoni jorjentaw ruħhom fuq il-blocks dwar l-applikazzjonijiet tal-web.
CIS Benchmark kien jevita PHP2Shell?
Le. PHP2Shell huma vulnerabbiltajiet fl-interpretatur ta' PHP, li kontrihom jgħin biss l-aġġornament. Server imwaqqaf sewwa jista', madankollu, jillimita l-konsegwenzi ta' dħul u permezz ta' patch management regolat jiżgura li l-aġġornamenti jiddaħħlu aktar malajr u b'mod muri.
L-IT-Grundschutz huwa kbir wisq għal kumpaniji żgħar?
Bħala sistema ta' ġestjoni kompluta spiss iva. Il-blocks individwali, madankollu, jistgħu jintużaw sew bħala checklist għal web servers u applikazzjonijiet tal-web, mingħajr ma tiġi adottata l-proċedura kollha.