Krótko: Benchmark CIS dla serwera WWW dostarcza konkretnych, dokładnych co do wersji ustawień dla systemu operacyjnego i serwera WWW, na przykład dla Ubuntu, Debiana, RHEL, Nginx lub Apache. Moduły IT-Grundschutz niemieckiego urzędu BSI (Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) opisują do tego, jakie wymagania obowiązują dla serwerów WWW, aplikacji internetowych, zarządzania poprawkami i logowania zdarzeń. Razem tworzą weryfikowalne wytyczne utwardzania; ustawienia specyficzne dla PHP uzupełniasz samodzielnie.
Dlaczego „dobrze skonfigurowany” nie jest miarą
Po incydencie zarząd, ubezpieczyciel lub audytor prędzej czy później zadają to samo pytanie: według jakiego standardu skonfigurowano serwer? Szczera odpowiedź w wielu firmach brzmi: według najlepszej wiedzy administratora, który go wtedy stawiał. To niekoniecznie złe, ale ani nie da się tego prześledzić, ani powtórzyć.
PHP2Shell uwidocznił to wyraźnie. Kto chciał wiedzieć, które serwery są dotknięte, jaki tryb pracy PHP działa i kiedy ostatnio łatano system, w wielu miejscach musiał najpierw szukać. Standard utwardzania nie zastępuje aktualizacji, ale tworzy właśnie ten porządek: ustalone ustawienia, inwentarz i regularne kontrole.
Sprawdziły się tu dwa opracowania: benchmarki CIS organizacji Center for Internet Security oraz IT-Grundschutz urzędu BSI.
Co zawiera benchmark CIS dla serwera WWW
Benchmarki CIS to oparte na konsensusie zalecenia konfiguracyjne, które wspólnie opracowują specjaliści z wielu organizacji. Według CIS istnieją dla ponad 25 rodzin produktów. Dla serwerów WWW z PHP istotne są przede wszystkim: Ubuntu Linux, Debian Linux i Red Hat Enterprise Linux dla systemu operacyjnego oraz Apache HTTP Server 2.4 i NGINX dla serwera WWW.
Każdy benchmark to lista pojedynczych zaleceń z uzasadnieniem, instrukcją kontroli i sposobem naprawy. Wiele benchmarków rozróżnia profil podstawowy, który można wdrożyć bez dużych skutków ubocznych, oraz ostrzejszy profil dla wyższego zapotrzebowania na ochronę. Do automatycznej kontroli CIS oferuje narzędzia, w otoczeniu benchmarków pod nazwą CIS-CAT.
Zaletą jest precyzja: zamiast „zabezpiecz SSH” znajdziesz tam informację, które ustawienie ma mieć jaką wartość i jak to sprawdzić. Wadą jest objętość. Pełny benchmark dla systemu Linux zawiera bardzo wiele punktów i nie każdy pasuje do każdego środowiska.
Zwróć też uwagę na wersję. Benchmarki obowiązują zawsze dla określonych wydań: zestawienie CIS podaje na przykład osobne wydania dla wersji Ubuntu LTS do 26.04, dla Debiana od 9 do 13 oraz dla RHEL 8, 9 i 10. Kto stosuje benchmark dla starszej wersji na nowym systemie, sprawdza częściowo ustawienia, które już tam nie istnieją, i pomija nowe. Jeśli na serwerze nadal działa system operacyjny bez wsparcia producenta, jest to samo w sobie najważniejszy wniosek.
Odpowiednie moduły BSI dla serwerów WWW z PHP
IT-Grundschutz urzędu BSI opiera się na modułach, które opisują wymagania wobec systemów i procesów. Aktualny jest Kompendium IT-Grundschutz w edycji 2023. BSI przebudowuje obecnie IT-Grundschutz w zorientowany na procesy, czytelny maszynowo zbiór reguł; dotychczasowe kompendium pozostaje według BSI stosowalne w kilkuletnim okresie przejściowym.
Dla serwera WWW z PHP najważniejsze są te moduły:
| Moduł | Treść | Związek z serwerem WWW z PHP |
|---|---|---|
| APP.3.2 Webserver | Eksploatacja i konfiguracja serwera WWW | Nginx, Apache, LiteSpeed |
| APP.3.1 Webanwendungen und Webservices | Wymagania wobec aplikacji | CMS, sklep, własne oprogramowanie PHP |
| SYS.1.3 Server unter Linux und Unix | Utwardzanie systemu operacyjnego | Podstawa każdego serwera WWW z Linuksem |
| OPS.1.1.3 Patch- und Änderungsmanagement | uporządkowane wprowadzanie aktualizacji | Aktualizacje PHP, restarty, dowód |
| OPS.1.1.5 Protokollierung | Rejestrowanie i analiza zdarzeń | Logi dostępu i błędów |
| CON.3 Datensicherungskonzept | Kopie zapasowe i odtwarzanie | Zabezpieczenie kodu i bazy danych |
| CON.10 Entwicklung von Webanwendungen | bezpieczne programowanie | własne projekty PHP |
Grundschutz jest mniej konkretny niż benchmark CIS, ale obejmuje procesy, których nie ma w żadnym pliku konfiguracyjnym: kto łata, kto sprawdza, kto jest informowany.
CIS czy BSI: co pasuje do Państwa firmy?
Wybór zależy mniej od techniki, a bardziej od otoczenia. Reguła kciuka:
- Techniczna baza dla pojedynczych serwerów: benchmark CIS dla systemu operacyjnego i serwera WWW, uzupełniony o własne wytyczne PHP.
- Administracja publiczna, zleceniodawcy powołujący się na Grundschutz, sektory regulowane: IT-Grundschutz jako rama, benchmarki CIS do konkretnego wdrożenia.
- Firmy z ISO 27001 lub TISAX: oba opracowania nadają się jako techniczne uzupełnienie własnych polityk, zob. ISO 27001 i TISAX: co dotyczy serwera WWW.
- Firmy objęte NIS2: udokumentowany standard utwardzania pomaga w wykazaniu odpowiednich środków. Co wymaga dyrektywa, podsumowuje artykuł NIS2 a bezpieczeństwo serwera WWW; w indywidualnych przypadkach rozstrzyga Państwa doradztwo prawne.
Dla samego PHP należy uzupełnić wytyczne dla serwera: zablokowane wartości w php.ini, oddzielne pule FPM, brak wykonywania kodu w katalogach uploadu. Dobrą podstawę daje poradnik Bezpieczna konfiguracja php.ini.
Własne wytyczne utwardzania w sześciu krokach
Standard przydaje się tylko wtedy, gdy trafia do codziennej pracy. Sprawdził się taki sposób postępowania:
- Założyć inwentarz: jakie serwery, systemy operacyjne, serwery WWW i wersje PHP działają gdzie?
- Wybrać benchmark i moduły, odpowiednio do wersji i zapotrzebowania na ochronę.
- Sprawdzić stan faktyczny, możliwie automatycznie, i zebrać odstępstwa.
- Ocenić odstępstwa: wdrożyć, świadomie zaakceptować lub zrekompensować innymi środkami, za każdym razem z uzasadnieniem.
- Utrwalić wytyczne, najlepiej jako automatyzację konfiguracji, aby nowe serwery były utwardzone od początku.
- Sprawdzać ponownie regularnie i po większych aktualizacjach, ponieważ nowe pakiety czasem wprowadzają nowe wartości domyślne.
Krok 6 łączy utwardzanie z procesem łatania. Jak wprowadzać aktualizacje w sposób planowy, a nie w pośpiechu, opisuje artykuł Zarządzanie poprawkami jako proces, a nie gaszenie pożarów.
Ostre profile testuj najpierw na systemie stagingowym. Niektóre zalecenia, na przykład dotyczące systemów plików lub usług sieciowych, mogą przerwać działanie aplikacji lub dostęp zdalny.
Jak konkretnie pomaga PHP SOS?
- Spisujemy Państwa serwery WWW i przypisujemy każdemu odpowiedni benchmark CIS oraz właściwe moduły Grundschutz.
- Sprawdzamy stan faktyczny i dostarczamy priorytetową listę odstępstw z nakładem pracy i korzyścią.
- Uzupełniamy wytyczne o bazę PHP dla php.ini, pul FPM i uprawnień do plików.
- Dokumentujemy świadome wyjątki tak, aby audytorzy i ubezpieczyciele mogli je prześledzić.
Wdrożenie przejmujemy w ramach utwardzania serwerów PHP.
Częste pytania
Czy muszę wdrożyć każde zalecenie benchmarku CIS?
Nie. Benchmarki są miarą, a nie prawem. Niektóre zalecenia nie pasują do Państwa środowiska albo zakłóciłyby działanie funkcji. Ważne, aby odstępstwa wybierać świadomie, uzasadniać je i dokumentować.
Czy benchmarki CIS i IT-Grundschutz to konkurenci?
Raczej uzupełnienia. Benchmarki CIS dostarczają konkretnych ustawień dla produktu i wersji. IT-Grundschutz opisuje wymagania wobec systemów i procesów, na przykład zarządzania poprawkami i logowania zdarzeń, i osadza je w systemie zarządzania.
Czy istnieje standard utwardzania przeznaczony specjalnie dla PHP?
Ustawienia PHP są w powszechnych standardach serwerowych zwykle ujęte tylko marginalnie. W praktyce uzupełnia się wytyczne dla serwera o własną bazę PHP, na przykład dla php.ini, pul FPM i uprawnień do plików, a dla aplikacji opiera się na modułach dotyczących aplikacji internetowych.
Czy benchmark CIS zapobiegłby PHP2Shell?
Nie. PHP2Shell to luki w interpreterze PHP, przeciw którym pomaga tylko aktualizacja. Utwardzony serwer może jednak ograniczyć skutki włamania, a uporządkowane zarządzanie poprawkami sprawia, że aktualizacje są wprowadzane szybciej i w sposób udokumentowany.
Czy IT-Grundschutz jest za duży dla małych firm?
Jako kompletny system zarządzania często tak. Poszczególne moduły dobrze jednak sprawdzają się jako lista kontrolna dla serwerów WWW i aplikacji internetowych, bez przejmowania całej metodyki.