Stručne: Security awareness pre zamestnancov webového tímu znamená: Každá osoba, ktorá spravuje web, pozná tri až štyri riziká svojej roly, rozpoznáva nezvyčajné javy a hlási ich rýchlo a bez strachu z výčitiek. Redaktori potrebujú iný obsah než administrátori. Krátke, opakujúce sa bloky s príkladmi z vlastného CMS pôsobia lepšie než každoročné povinné školenie.
Prečo je webový tím v centre pozornosti práve teraz
Situácia okolo PHP2Shell ukázala, koľko toho sa za pár dní zvalí na prevádzkovateľov webov: varovania BSI (nemecký Spolkový úrad pre informačnú bezpečnosť), hlásenia poskytovateľov hostingu, rady vo fórach a na sociálnych sieťach, medzi nimi aj nesprávne. V takýchto týždňoch nerozhodujú iba administrátori, ale aj redaktori, marketing a asistencia o tom, ktorý e-mail otvoria a na ktorý odkaz kliknú.
Veľké spravodajské situácie sú podľa skúseností príležitosťou pre podvodníkov. Rátajte s e-mailami, ktoré sa vydávajú za poskytovateľa hostingu, výrobcu CMS alebo „IT oddelenie“ a vyzývajú na naliehavé prihlásenie alebo údajnú bezpečnostnú aktualizáciu. Kto pozná skutočnú situáciu, naletí na to zriedkavejšie. Samotnú technickú zraniteľnosť redaktor neuzavrie, ale ukradnutý administrátorský prístup otvorí dvere aj bez zraniteľnosti.
Security awareness zamestnancov: kto potrebuje čo?
Školenie pre všetkých s rovnakými prezentáciami väčšinou minie cieľ. Zmysluplnejšie je prispôsobenie podľa rolí. Nasledujúci prehľad pomáha pri plánovaní:
| Rola | Typické riziká | Čo by osoba mala vedieť |
|---|---|---|
| Redaktor, marketing | phishingové e-maily, nebezpečné nahrávanie súborov, zdieľané prístupy | skontrolovať odosielateľa, nahrávať len očakávané typy súborov, vlastné prístupové údaje nikdy neodovzdať |
| Administrátor CMS | pluginy z neznámeho zdroja, príliš veľa administrátorských účtov, staré účty bývalých zamestnancov | oprávnenia prideľovať šetrne, účty pravidelne kontrolovať, rozšírenia len po schválení |
| Administrátor servera | neoverené rady z internetu, zmeny bez záznamu, zabudnuté testovacie súbory | hodnotiť zdroje, dokumentovať zmeny, poznať núdzovú cestu |
| Konatelia | tlak na rýchle rozhodnutia, nejasné zodpovednosti | určiť rozhodovacie cesty, brať hlásenia vážne, uvoľniť rozpočet na prevenciu |
| Externá agentúra | spoločné prístupy, chýbajúce dohody | používať vlastné osobné účty, zmeny oznamovať |
Tabuľka ukazuje aj to, kde musí pomôcť technika. Osobné účty namiesto zberných prístupov a dvojfaktorové prihlásenie pre všetkých so zapisovacími právami zbavia školenie veľkej časti tlaku. Ako na to, nájdete v článku Dvojfaktorové prihlásenie pre administrátorské prístupy.
Čo musia redaktori vedieť bez toho, aby sa stali technikmi
Redaktori nemusia vedieť, čo je worker PHP. Tri veci by však mali zvládať s istotou. Po prvé: Výzva, aby sa „kvôli bezpečnostnému incidentu“ znova prihlásili, sa nikdy nevybavuje cez odkaz v e-maile, ale obvyklou cestou do CMS alebo opýtaním sa administrátora.
Po druhé: Hlásiť nápadnosti. Patria sem neznáme používateľské účty v zozname používateľov, stránky alebo príspevky, ktoré nikto nevytvoril, náhle presmerovania a varovania v prehliadači. Redaktor často vidí web častejšie než administrátor a zmeny si všimne skôr.
Po tretie: Nahrávanie súborov vnímať vedome. Obrázky a PDF sú bežné, ale súbor s nezvyčajnou príponou, archív „na ďalšie odoslanie“ alebo dokument s makrami do CMS nepatrí. Ak sa súbor nedá nahrať, je to väčšinou úmysel a nie chyba, ktorú treba obchádzať.
Čo navyše potrebujú administrátori
Pre administrátorov ide menej o phishing a viac o úsudok pod časovým tlakom. V týždni PHP2Shell kolovali rady, ktoré odborní autori výslovne odmietajú, napríklad blokovať všetky požiadavky s PHPSESSID. Prehľad takýchto bludných ciest ponúka príspevok Nebezpečné nesprávne rady k PHP2Shell. Dobrí administrátori najprv skontrolujú primárny zdroj, teda php.net, BSI alebo výrobcu, skôr než zmenia konfiguráciu.
K tomu patrí disciplína pri zmenách: Čo sa kedy prečo zmenilo a ako sa to dá vrátiť späť? Stačí krátky záznam v tikete alebo wiki. V krízovej situácii je tento zoznam na nezaplatenie, pretože ukazuje, ktorá zmena pochádza od vás a ktorá nie.
Napokon by administrátori mali vedieť, podľa čoho rozpoznajú možné vniknutie a čo potom nerobiť: nemazať v panike, neinštalovať hneď nanovo, ale zabezpečiť a nahlásiť. Typické príznaky zhŕňa článok Som už kompromitovaný?
Za 90 dní k bdelému webovému tímu
Program nemusí byť veľký, aby pôsobil. Tieto kroky sa osvedčili:
- Ujasniť stav (týždeň 1 až 2): Kto má aké prístupy do CMS, hostingu, domény a servera? Zberné účty zrušiť, staré účty zablokovať.
- Určiť cestu hlásenia (týždeň 2): Jedna adresa alebo kanál pre „niečo mi príde čudné“. Na každé hlásenie sa odpovie, aj keď bolo neškodné.
- Prvý krátky blok pre každú rolu (týždeň 3 až 4): 20 minút, príklady z vlastného CMS, snímky obrazovky skutočných ponúk.
- Zaviesť dvojfaktorové prihlásenie (do týždňa 6): Pre všetkých so zapisovacími právami, s núdzovými kódmi na bezpečnom mieste.
- Cvičný e-mail a vyhodnotenie (týždeň 8): Ohlásená testovacia kampaň bez zahanbovania jednotlivcov. Vyhodnocuje sa, či sa hlásilo, nie kto klikol.
- Druhý blok k aktuálnej príležitosti (týždeň 10 až 12): Napríklad súčasná bezpečnostná situácia, prejdená na vlastnom systéme.
Úspech merajte podľa hlásení, nie podľa miery kliknutí. Tím, ktorý veľa hlási, je bdelý. Tím, ktorý nehlási nikdy, je buď dokonalý, alebo neistý, a to prvé je zriedkavé.
Ako konkrétne pomáha PHP SOS?
- Spolu s vami zistíme, kto má aké prístupy, a ukážeme zberné účty, nadbytočných administrátorov a zabudnuté prístupy.
- Krátke bloky pre jednotlivé roly vedieme na diaľku, s príkladmi z vášho CMS a vášho serverového prostredia.
- Pomáhame zriadiť cestu hlásenia a ak si to želáte, vyhodnocujeme prichádzajúce hlásenia podozrení.
- V rámci bezpečnostnej servisnej zmluvy bloky opakujeme pri aktuálnych príležitostiach a pravidelne kontrolujeme účty.
Záver
Bezpečnostné povedomie vo webovom tíme nevzniká strachom, ale jasnosťou: Každý pozná svoju rolu, svoje typické riziká a cestu, ako nahlásiť nápadnosti. V kombinácii s osobnými účtami a dvojfaktorovým prihlásením je to ochrana, ktorá obstojí aj v ďalšom krízovom týždni.
Časté otázky
Potrebujú redaktori vôbec bezpečnostné školenie?
Áno. Redaktori majú prístup do CMS, nahrávajú súbory a dostávajú e-maily, ktoré vyzerajú ako systémové správy. Technike rozumieť nemusia, ale musia rozpoznať, kedy je niečo nezvyčajné, a vedieť, komu to nahlásiť.
Ako často by sa mal webový tím školiť?
Lepšie krátko a pravidelne než raz ročne dlho. Osvedčili sa 15- až 20-minútové bloky s odstupom niekoľkých týždňov, doplnené o aktuálnu príležitosť, ako je súčasná bezpečnostná situácia.
Čo robiť, ak zamestnanec klikol na phishingový odkaz?
Dať to okamžite nahlásiť, bez výčitiek. Potom zmeniť dotknuté heslo, ukončiť aktívne relácie a skontrolovať, či sa s účtom niečo zmenilo. Čím skôr príde oznámenie, tým menšia je zvyčajne škoda.
Nahrádza školenie technické ochranné opatrenia?
Nie. Školenie a technika sa dopĺňajú. Dvojfaktorové prihlásenie, oddelené roly a aktuálny softvér zachytia chyby, ktoré sa stanú aj dobre vyškoleným ľuďom.