Na kratko: Security awareness za zaposlene v spletni ekipi pomeni: vsaka oseba, ki vzdržuje spletno stran, pozna tri do štiri tveganja svoje vloge, prepozna nenavadnosti in jih sporoči hitro in brez strahu pred očitki. Uredniki potrebujejo drugačne vsebine kot skrbniki. Kratke, ponavljajoče se enote s primeri iz lastnega CMS delujejo bolje kot letno obvezno usposabljanje.
Zakaj je ravno zdaj v središču spletna ekipa
Razmere okoli PHP2Shell so pokazale, koliko se v nekaj dneh vsuje na upravljavce spletnih strani: opozorila BSI, obvestila ponudnikov gostovanja, nasveti na forumih in v družbenih omrežjih, med njimi tudi napačni. V takih tednih ne odločajo le skrbniki, ampak tudi uredniki, trženje in pisarna, katero e-pošto odprejo in katero povezavo kliknejo.
Velike novice so po izkušnjah povod za goljufe. Računajte s sporočili, ki se izdajajo za ponudnika gostovanja, proizvajalca CMS ali »oddelek IT« in pozivajo k nujni prijavi ali domnevni varnostni posodobitvi. Kdor pozna resnične razmere, nanje redkeje nasede. Same tehnične vrzeli noben urednik ne zapre, vendar ukraden skrbniški dostop odpre vrata tudi brez vrzeli.
Security awareness za zaposlene: kdo potrebuje kaj?
Usposabljanje za vse z istimi diapozitivi običajno zgreši cilj. Smiselnejša je prilagoditev po vlogah. Naslednji pregled pomaga pri načrtovanju:
| Vloga | Značilna tveganja | Kaj naj oseba zna |
|---|---|---|
| Urednik, trženje | e-pošta za lov na podatke, nevarne naložitve datotek, deljeni dostopi | preveriti pošiljatelja, nalagati samo pričakovane vrste datotek, svojih dostopnih podatkov nikoli posredovati naprej |
| Skrbnik CMS | vtičniki iz neznanega vira, preveč skrbniških računov, stari računi nekdanjih zaposlenih | pravice dodeljevati zmerno, račune redno pregledovati, razširitve samo po odobritvi |
| Skrbnik strežnika | nepreverjeni nasveti iz omrežja, spremembe brez zapisnika, pozabljene testne datoteke | ocenjevati vire, dokumentirati spremembe, poznati pot za nujne primere |
| Vodstvo | pritisk za hitre odločitve, nejasne pristojnosti | določiti poti odločanja, resno jemati obvestila, sprostiti proračun za preventivo |
| Zunanja agencija | skupni dostopi, manjkajoči dogovori | uporabljati lastne, osebne račune, napovedati spremembe |
Tabela kaže tudi, kje mora pomagati tehnika. Osebni računi namesto skupnih dostopov in dvofaktorska prijava za vse s pravicami pisanja z usposabljanja odvzamejo veliko pritiska. Kako to storiti, je na strani Dvofaktorska prijava za skrbniške dostope.
Kaj morajo uredniki vedeti, ne da bi postali tehniki
Urednikom ni treba vedeti, kaj je delavec PHP. Tri stvari pa bi morali zanesljivo obvladati. Prvič: poziv k ponovni prijavi »zaradi varnostnega incidenta« se nikoli ne opravi prek povezave v e-pošti, ampak po običajni poti v CMS ali s povpraševanjem pri skrbniku.
Drugič: javljati nenavadnosti. Sem sodijo neznani uporabniški računi na seznamu uporabnikov, strani ali prispevki, ki jih nihče ni ustvaril, nenadne preusmeritve in opozorila v brskalniku. Urednik spletno stran pogosto vidi večkrat kot skrbnik in spremembe opazi prej.
Tretjič: zavestno ravnati z naložitvami. Slike in PDF so vsakdan, vendar datoteka z nenavadno končnico, arhiv »za posredovanje« ali dokument z makri ne sodi v CMS. Če datoteke ni mogoče naložiti, je to običajno namerno in ne napaka, ki bi jo bilo treba zaobiti.
Kaj dodatno potrebujejo skrbniki
Pri skrbnikih gre manj za lov na podatke kot za razsodnost pod časovnim pritiskom. V tednu PHP2Shell so krožili nasveti, ki jih strokovni avtorji izrecno zavračajo, na primer blokiranje vseh zahtev s PHPSESSID. Pregled takih zablod ponuja prispevek Nevarni napačni nasveti o PHP2Shell. Dobri skrbniki najprej preverijo primarni vir, torej php.net, BSI ali proizvajalca, preden spremenijo konfiguracijo.
K temu sodi disciplina pri spremembah: kaj je bilo kdaj zakaj spremenjeno in kako ga je mogoče razveljaviti? Zadošča kratek vnos v zahtevku ali wikiju. V skrajnem primeru je ta seznam zlata vreden, ker pokaže, katera sprememba je vaša in katera ne.
Nazadnje bi morali skrbniki vedeti, po čem prepoznajo možen vdor in česa takrat ne smejo storiti: ne brisati paničnemu, ne takoj znova namestiti, ampak zavarovati in sporočiti. Značilne znake povzema Ali sem že ogrožen?.
V 90 dneh do budne spletne ekipe
Program ni treba biti velik, da deluje. Ti koraki so se obnesli:
- Razjasnite stanje (teden 1 do 2): Kdo ima katere dostope do CMS, gostovanja, domene in strežnika? Razrešite skupne račune, blokirajte stare račune.
- Določite pot prijave (teden 2): En naslov ali kanal za »nekaj se mi zdi čudno«. Vsaka prijava dobi odgovor, tudi če je bila neškodljiva.
- Prva kratka enota po vlogah (teden 3 do 4): 20 minut, primeri iz lastnega CMS, posnetki zaslona resničnih menijev.
- Uvedite dvofaktorsko prijavo (do tedna 6): Za vse s pravicami pisanja, z zasilnimi kodami na varnem mestu.
- Preizkusna e-pošta in vrednotenje (teden 8): Napovedana preizkusna kampanja brez izpostavljanja posameznikov. Vrednoti se, ali je bilo sporočeno, ne kdo je kliknil.
- Druga enota ob povodu (teden 10 do 12): Na primer aktualne varnostne razmere, prikazane na lastnem sistemu.
Uspeh merite po prijavah, ne po deležih klikov. Ekipa, ki veliko sporoča, je budna. Ekipa, ki nikoli ne sporoča, je bodisi popolna bodisi negotova, in prvo je redko.
Kako PHP SOS pomaga konkretno?
- Z vami zabeležimo, kdo ima katere dostope, in pokažemo skupne račune, odvečne skrbnike in pozabljene dostope.
- Kratke enote po vlogah izvajamo na daljavo, s primeri iz vašega CMS in strežniškega okolja.
- Sodelujemo pri vzpostavitvi poti prijave in po želji ocenjujemo prispele prijave suma.
- V okviru pogodbe o varnostnem vzdrževanju enote ponavljamo ob aktualnih povodih in redno pregledujemo račune.
Sklep
Varnostna ozaveščenost v spletni ekipi ne nastane iz strahu, ampak iz jasnosti: vsak pozna svojo vlogo, svoja značilna tveganja in pot za prijavo nenavadnosti. V kombinaciji z osebnimi računi in dvofaktorsko prijavo je to zaščita, ki zdrži tudi v naslednjem kriznem tednu.
Pogosta vprašanja
Ali urednike sploh potrebujejo varnostno usposabljanje?
Da. Uredniki imajo dostop do CMS, nalagajo datoteke in prejemajo e-pošto, ki izgleda kot sistemska sporočila. Tehnike jim ni treba razumeti, a morajo prepoznati, kdaj je nekaj nenavadno, in vedeti, komu to sporočiti.
Kako pogosto naj se spletna ekipa usposablja?
Bolje na kratko in redno kot enkrat letno dolgo. Obnesle so se enote po 15 do 20 minut v razmaku nekaj tednov, dopolnjene s povodom, kot so aktualne varnostne razmere.
Kaj storiti, če je zaposleni kliknil povezavo za lov na podatke (phishing)?
Takoj naj to sporoči, brez očitkov. Nato zamenjati prizadeto geslo, končati aktivne seje in preveriti, ali je bilo z računom kaj spremenjeno. Čim prej pride prijava, tem manjša je običajno škoda.
Ali usposabljanje nadomešča tehnične zaščitne ukrepe?
Ne. Usposabljanje in tehnika se dopolnjujeta. Dvofaktorska prijava, ločene vloge in ažurna programska oprema ujamejo napake, ki se zgodijo tudi dobro usposobljenim ljudem.