Stručne: Po varovaní pred PHP2Shell boli v Nemecku vypnuté webové stránky, medzi nimi podľa médií webový portál mesta Mainz a stránky hesenskej vlády a BKA (nemecký Spolkový kriminálny úrad). Išlo o prevenciu podľa odporúčania BSI (nemecký Spolkový úrad pre informačnú bezpečnosť), nie o potvrdené útoky. Podniky sa z toho môžu poučiť: vypnutie je legitímna možnosť, ak záplata nie je okamžite možná, a najlepšie sa darí, keď je pripravené.
Weby vypnuté kvôli PHP: čo sa stalo 21. októbra
V deň bezpečnostných aktualizácií PHP boli v Nemecku nedostupné početné verejné weby. Podľa mediálnych správ mesto Mainz preventívne vypol svoj centrálny webový portál. Úrady zostali dosiahnuteľné telefonicky a e-mailom.
V Hesensku boli podľa hessenschau dočasne offline okrem iného stránky krajinskej vlády, Spolkového kriminálneho úradu (BKA) a miest Kassel a Wiesbaden. Štátna kancelária hovorila o technických úpravách a žiadny útok nehlásila. Krajinské stránky boli večer opäť dostupné. Ďalšie obce, vysoké školy a kliniky podľa správ takisto preventívne odpojili ponuky od siete.
Pozadím je odporúčanie BSI k PHP2Shell: okamžite aktualizovať a, ak to hneď nejde, dotknuté webové servery dočasne odpojiť od siete. Čo BSI konkrétne radí, zhŕňa stránka Čo BSI k PHP2Shell odporúča.
Vypnuté neznamená napadnuté
V komentároch a na sociálnych sieťach sa z „offline“ rýchlo stalo „napadnuté“. Podľa všetkého, čo je známe, to nie je pravda. Vypnutia boli ochranným opatrením v okamihu, keď mnohí prevádzkovatelia ešte nepoznali istý stav záplat svojich serverov.
Pre podniky je toto rozlíšenie dvojnásobne dôležité. Po prvé navonok: kto vypína preventívne, mal by to tak aj pomenovať a nemlčať. Po druhé dovnútra: vypnutie neodpovedá na otázku, či bol server predtým napadnutý. Zastaví len ďalšie pokusy. Kontrola stôp zostáva potrebná.
Tretí bod sa často prehliada: vypnutie nesmie zničiť stopy. Kto na účely vypnutia server jednoducho nainštaluje odznova alebo zmaže logy, aby uvoľnil miesto, pripraví sa o možnosť neskôr objasniť, čo sa stalo pred vypnutím. Lepšie je presmerovať webový server na núdzovú stránku alebo zablokovať prístup zvonka a samotný server so všetkými logmi ponechať nezmenený.
Prečo takto zareagovali práve verejné inštitúcie
Úrady často prevádzkujú veľa webov vedľa seba: hlavný portál, odborné portály, formulárové služby, stránky jednotlivých úradov a zariadení. Často sa na tom podieľa viacero dodávateľov. V deň varovania nebolo pre mnohé správy jednoducho možné získať do niekoľkých hodín doložený stav záplat pre každý systém. Preventívne vypnutie bolo v tejto situácii najrýchlejším spôsobom, ako sa riadiť odporúčaním BSI.
Pre podniky s vyrastenou IT infraštruktúrou je situácia často podobná. Otázka „Je všetko zaplátané?“ nezlyháva na technike, ale na chýbajúcom prehľade.
Pozoruhodné je aj to, ako rýchlo sa hesenské krajinské stránky podľa správ vrátili: ešte večer toho istého dňa. Ukazuje to, že preventívne vypnutie nemusí trvať celé dni. Kto svoje systémy pozná a ovláda cestu aktualizácie, môže v priebehu niekoľkých hodín zaplátať, skontrolovať a opäť sa pripojiť. Vypnutie potom len preklenie čas, kým nie je jasno.
Kedy je preventívne vypnutie pre podniky rozumné
Úrady majú osobitnú situáciu: veľa webov, často spravovaných rozdelene, a vysoká verejná viditeľnosť. Úvaha, pred ktorou stáli, je však rovnaká ako v každom podniku. Nasledujúci prehľad pomáha pri rozhodovaní:
| Situácia | Skôr vypnúť | Skôr nechať online |
|---|---|---|
| Stav záplat | nejasný alebo nepotvrdený | opravený a doložený, procesy reštartované |
| Verzia PHP | 8.1 alebo staršia bez potvrdeného backportu | podporovaná vetva na aktuálnom stave |
| Režim prevádzky | Apache s mod_php | zaplátané PHP-FPM s nastavenými prechodnými opatreniami |
| Údaje na serveri | údaje zákazníkov, prihlasovacie údaje, platobné údaje | čisto statický obsah |
| Dostupnosť poskytovateľa služieb | záplata možná až o niekoľko dní | záplata naplánovaná v krátkom čase |
Úvahu medzi záplatovaním, vypnutím a čakaním prehlbuje príspevok Záplatovať, vypnúť alebo počkať?. Čo je technicky možné ako prechodné riešenie, ak aktualizácia ešte chýba, sa nachádza pod Okamžité opatrenia bez záplaty.
Dočasné vypnutie e-shopu alebo zákazníckeho portálu stojí tržby. Kompromitovaný server so zákazníckymi údajmi môže stáť podstatne viac, až po oznamovacie povinnosti. Rozhodnite sa vedome a rozhodnutie si zaznamenajte písomne.
Ako vypnutie pripraviť
Mainz ukázal, na čom záleží: správa zostala dosiahnuteľná inými kanálmi. To sa podarí len vtedy, ak je to pripravené. Tieto kroky sa oplatia, kým príde ďalší krízový prípad:
- Mať pripravenú núdzovú stránku: statická stránka HTML bez PHP, s krátkym vysvetlením, telefonickým a e-mailovým kontaktom a podľa potreby pokynmi k prebiehajúcim objednávkam alebo termínom.
- Určiť cestu prepnutia: Kto môže web presmerovať na núdzovú stránku, cez webový server, DNS alebo predradenú službu? Ako dlho to trvá?
- Vyjasniť rozhodovaciu právomoc: Kto smie nariadiť vypnutie, aj mimo pracovného času?
- Poznať závislé služby: Závisia od webu rozhrania, aplikácie alebo partneri? Koho treba informovať vopred?
- Definovať kritériá návratu: záplata doložená, reštart vykonaný, prvá kontrola stôp bez nálezu.
- Vopred sformulovať správu: dve až tri vety pre zákazníkov, partnerov a tlač.
Ako v takejto situácii komunikovať navonok, popisuje príručka o krízovej komunikácii.
Ako konkrétne pomáha PHP SOS?
- Podklad pre rozhodnutie: Zistíme stav záplat, režim prevádzky a údajovú situáciu vašich serverov a dáme vám jasné posúdenie, či je vypnutie namieste.
- Riadené vypnutie: Prepneme na statickú núdzovú stránku bez straty logov alebo stôp.
- Záplata a kontrola: Aktualizujeme PHP, reštartujeme všetky procesy a kontrolujeme nápadnosti.
- Kontrolovaný návrat: Web pripojíme späť až vtedy, keď sú dohodnuté kritériá splnené a zdokumentované.
Postup popisuje okamžitá pomoc pri PHP2Shell.
Záver
Vypnutia úradov neboli znakom straty kontroly, ale vedomým preventívnym opatrením. Pre podniky je to skutočné poučenie: ísť offline je legitímne rozhodnutie, ak je stav záplat nejasný. Kto má pripravenú núdzovú stránku, zodpovednosť a kritériá návratu, rozhodne sa v priebehu minút namiesto hodín.
Časté otázky
Prečo boli webové stránky úradov kvôli PHP vypnuté?
BSI pri PHP2Shell odporúča okamžitú aktualizáciu a, ak to nie je okamžite možné, dočasné odpojenie webových serverov od siete. Viaceré úrady sa týmto odporúčaním preventívne riadili, kým neboli ich systémy skontrolované a aktualizované.
Znamená vypnutý web, že bol napadnutý?
Nie. Preventívne vypnutie je ochranné opatrenie. Hesenská štátna kancelária napríklad podľa hessenschau výslovne nehlásila žiadny útok. Či bol server pred vypnutím dotknutý, objasní až kontrola.
Ako dlho má web zostať offline?
Dovtedy, kým nie je PHP na opravenej verzii, všetky procesy PHP nie sú reštartované a prvá kontrola stôp neodhalila nič nápadné. Pevná dĺžka neexistuje; hesenské krajinské stránky boli podľa správ opäť dostupné večer toho istého dňa.
Čo mám ukázať návštevníkom, kým je web offline?
Najlepšie jednoduchú statickú núdzovú stránku bez PHP s krátkym vysvetlením a kontaktnými cestami, cez ktoré zostanete dosiahnuteľní. Mala by byť pripravená predtým, než ju bude treba.