Kort sagt: En CIS-benchmark för webbservrar ger konkreta, versionsexakta inställningar för operativsystem och webbserver, till exempel för Ubuntu, Debian, RHEL, Nginx eller Apache. Modulerna i IT-Grundschutz från BSI (den tyska federala myndigheten för informationssäkerhet) beskriver dessutom vilka krav som gäller för webbservrar, webbapplikationer, patchhantering och loggning. Tillsammans ger de en kontrollerbar härdningsföreskrift; PHP-specifika inställningar kompletterar ni själva.
Varför ”väl uppsatt” inte är någon måttstock
Efter en incident ställer ledning, försäkringsgivare eller granskare förr eller senare samma fråga: Enligt vilken standard var servern uppsatt? Det ärliga svaret lyder i många företag: efter bästa kunskap hos den administratör som satte upp den på sin tid. Det är inte nödvändigtvis dåligt, men det är varken spårbart eller upprepbart.
PHP2Shell har gjort det synligt. Den som ville veta vilka servrar som berördes, vilket PHP-driftläge som kördes och när det senast patchades fick på många håll börja med att leta. En härdningsstandard ersätter ingen uppdatering men skapar just den ordningen: fastlagda inställningar, en inventering och regelbundna kontroller.
Två verk har visat sig fungera för det: CIS-benchmarks från Center for Internet Security och IT-Grundschutz från BSI.
Vad en CIS-benchmark för webbservrar innehåller
CIS-benchmarks är konsensusbaserade konfigurationsrekommendationer som fackfolk från många organisationer tar fram gemensamt. Enligt CIS finns de för fler än 25 produktfamiljer. För PHP-webbservrar är framför allt dessa relevanta: Ubuntu Linux, Debian Linux och Red Hat Enterprise Linux för operativsystemet samt Apache HTTP Server 2.4 och NGINX för webbservern.
Varje benchmark är en lista med enskilda rekommendationer med motivering, kontrollanvisning och åtgärd. Många benchmarks skiljer mellan en grundprofil som går att genomföra utan stora biverkningar och en strängare profil för högre skyddsbehov. För automatisk kontroll erbjuder CIS verktyg, i benchmarkarnas omgivning under namnet CIS-CAT.
Fördelen är precisionen: I stället för ”säkra SSH” står det där vilken inställning som ska ha vilket värde och hur ni kontrollerar det. Nackdelen är omfånget. En komplett benchmark för ett Linux-system innehåller mycket många punkter, och inte varje punkt passar varje drift.
Se också upp med versionen. Benchmarks gäller för bestämda utgåvor: CIS-översikten anger till exempel separata utgåvor för Ubuntu-LTS-versioner till och med 26.04, för Debian 9 till 13 och för RHEL 8, 9 och 10. Den som tillämpar en benchmark för en äldre version på ett nytt system kontrollerar delvis inställningar som inte längre finns där och missar nya. Körs fortfarande ett operativsystem utan tillverkarstöd på en server är det i sig det viktigaste fyndet.
Lämpliga BSI-moduler för PHP-webbservrar
IT-Grundschutz från BSI arbetar med moduler som beskriver krav på system och rutiner. Aktuellt är IT-Grundschutz-Kompendium i utgåvan 2023. BSI bygger för närvarande om IT-Grundschutz till ett processorienterat, maskinläsbart regelverk; det hittillsvarande kompendiet förblir enligt BSI tillämpligt under en flerårig övergångstid.
För en PHP-webbserver är dessa moduler viktigast:
| Modul | Innehåll | Koppling till PHP-webbservern |
|---|---|---|
| APP.3.2 Webbserver | Drift och konfiguration av webbservern | Nginx, Apache, LiteSpeed |
| APP.3.1 Webbapplikationer och webbtjänster | Krav på applikationen | CMS, butik, egen PHP-programvara |
| SYS.1.3 Servrar under Linux och Unix | Härdning av operativsystemet | Grunden för varje Linux-webbserver |
| OPS.1.1.3 Patch- och ändringshantering | reglerad installation av uppdateringar | PHP-uppdateringar, omstarter, bevis |
| OPS.1.1.5 Loggning | Insamling och utvärdering av händelser | Åtkomst- och felloggar |
| CON.3 Datasäkerhetskoncept | Backuper och återställning | Säkring av kod och databas |
| CON.10 Utveckling av webbapplikationer | säker utveckling | egna PHP-projekt |
Grundschutz är mindre konkret än en CIS-benchmark men täcker i gengäld rutiner som inte står i någon konfigurationsfil: vem patchar, vem kontrollerar, vem informeras.
CIS eller BSI: vad passar ert företag?
Valet beror mindre på tekniken än på omgivningen. En tumregel:
- Teknisk bas för enskilda servrar: CIS-benchmark för operativsystem och webbserver, kompletterad med en egen PHP-föreskrift.
- Offentlig förvaltning, uppdragsgivare med Grundschutz-koppling, reglerade områden: IT-Grundschutz som ramverk, CIS-benchmarks för det konkreta genomförandet.
- Företag med ISO 27001 eller TISAX: Båda verken lämpar sig som teknisk förstärkning av de egna riktlinjerna, se ISO 27001 och TISAX: vad som berör webbservern.
- Företag som omfattas av NIS2: En dokumenterad härdningsstandard hjälper vid beläggandet av lämpliga åtgärder. Vad direktivet kräver sammanfattar NIS2 och webbserversäkerhet; i det enskilda fallet avgör er juridiska rådgivning.
För själva PHP bör ni komplettera serverföreskrifterna: spärrade värden i php.ini, separata FPM-pooler, ingen körning i uppladdningsmappar. En bra grund ger guiden Konfigurera php.ini säkert.
I sex steg till en egen härdningsföreskrift
En standard är bara till nytta om den når fram i driften. Så här har det visat sig fungera:
- Lägg upp en inventering: Vilka servrar, operativsystem, webbservrar och PHP-versioner körs var?
- Välj benchmark och moduler som passar version och skyddsbehov.
- Kontrollera ärläget, helst automatiserat, och samla avvikelser.
- Bedöm avvikelser: genomföra, medvetet acceptera eller kompensera med andra åtgärder, i varje fall med motivering.
- Fastställ föreskriften, helst som konfigurationsautomatisering så att nya servrar är härdade från början.
- Kontrollera regelbundet och efter större uppdateringar på nytt, för nya paket för ibland med sig nya standardvärden.
Steg 6 knyter härdningen till patchprocessen. Hur ni installerar uppdateringar planerat i stället för hektiskt beskriver Patchhantering som process i stället för brandkår.
Testa stränga profiler först på ett staging-system. Vissa rekommendationer, till exempel om filsystem eller nätverkstjänster, kan avbryta applikationer eller fjärråtkomst.
Hur hjälper PHP SOS konkret?
- Vi registrerar era webbservrar och kopplar varje till lämplig CIS-benchmark och relevanta Grundschutz-moduler.
- Vi kontrollerar ärläget och levererar en prioriterad lista över avvikelser med insats och nytta.
- Vi kompletterar föreskriften med en PHP-bas för php.ini, FPM-pooler och filrättigheter.
- Vi dokumenterar medvetna undantag så att granskare och försäkringsgivare kan följa dem.
Genomförandet tar vi hand om inom ramen för serverhärdning för PHP-webbservrar.
Vanliga frågor
Måste jag genomföra varje rekommendation i en CIS-benchmark?
Nej. Benchmarks är en måttstock, inte en lag. Vissa rekommendationer passar inte er drift eller skulle störa funktioner. Viktigt är att avvikelser beslutas medvetet, motiveras och dokumenteras.
Är CIS-benchmarks och IT-Grundschutz konkurrenter?
Snarare komplement. CIS-benchmarks ger konkreta inställningar per produkt och version. IT-Grundschutz beskriver krav på system och processer, till exempel patchhantering och loggning, och placerar in dem i ett ledningssystem.
Finns det en härdningsstandard speciellt för PHP?
PHP-inställningar ingår i de gängse serverstandarderna oftast bara i utkanten. I praktiken kompletterar man serverföreskrifterna med en egen PHP-bas, till exempel för php.ini, FPM-pooler och filrättigheter, och utgår för applikationen från modulerna om webbapplikationer.
Hade en CIS-benchmark kunnat förhindra PHP2Shell?
Nej. PHP2Shell är sårbarheter i PHP-tolken som bara uppdateringen hjälper mot. En härdad server kan dock begränsa följderna av ett intrång och, genom en reglerad patchhantering, se till att uppdateringar installeras snabbare och spårbart.
Är IT-Grundschutz för stort för små företag?
Som komplett ledningssystem ofta ja. De enskilda modulerna går dock bra att använda som checklista för webbservrar och webbapplikationer, utan att man genast tar över hela tillvägagångssättet.