SIKKERHED · 5 MIN. LÆSNING
Kan det ikke opdateres? Så luk det eller skjul det
Gammel PHP, udstyr uden opdateringer eller et system ingen tør røre? Se de tre veje: sluk, skjul eller beskyt med en web-firewall.
Når opdateringen ikke findes
Det bedste råd ved et alvorligt sikkerhedshul er altid at opdatere. Men nogle gange kan det ikke lade sig gøre. Og så er det farligt bare at lade systemet stå og håbe på det bedste.
Det har PHP2Shell vist tydeligt. PHP kom med rettelser til version 8.2 til 8.5. PHP 8.1 og ældre får ikke officielle rettelser. Og i én undersøgelse af PHP-sites, der viste deres version, kørte næsten halvdelen en gammel version uden support.
Typiske grunde til, at noget ikke kan opdateres:
Hjemmesiden er gammel og går i stykker på en ny PHP-version.
Leverandøren er væk eller vil tage mange penge for at opdatere.
Udstyret er udgået, fx en gammel firewall, NAS eller printer med webside til administration.
Ingen tør røre det, fordi forretningen kører på det.
Alle fire er forståelige. Men hackerne er ligeglade med grunden. De scanner internettet og går efter det, der svarer.
Tre veje, når I ikke kan opdatere
1. Sluk: Tag systemet offline, til det er opdateret eller erstattet. Hvornår: Når hullet er kritisk, og angreb er i gang. Ulempe: Systemet er væk, mens det står slukket.
2. Skjul: Fjern det fra internettet, så kun jeres eget netværk eller VPN kan nå det. Hvornår: Administrationssider, intranet, gamle portaler. Ulempe: Kunder udefra kan ikke bruge det.
3. Beskyt: Sæt en web-firewall foran, som blokerer kendte angreb. Hvornår: Hjemmesider og webshops, der skal være åbne. Ulempe: Midlertidig. Det lukker ikke hullet.
Sluk er det, DMI, Aula og Københavns Kommune gjorde under PHP2Shell. Det britiske NCSC og det amerikanske NSA anbefalede det samme, hvis man ikke kunne opdatere med det samme. Det lyder voldsomt, men en hjemmeside, der er nede i to dage, er billigere end et indbrud.
Skjul er den undervurderede løsning. Rigtig mange angreb starter med en administrationsside, der aldrig skulle have været på internettet. Kan I flytte den ind bag jeres VPN, er hullet ikke væk, men hackerne kan ikke nå det.
Beskyt køber tid. Under PHP2Shell sendte Cloudflare nødregler ud til alle kunder, også dem på gratisplanen. Men Cloudflare kaldte selv reglerne midlertidige, og PHP's udviklere sagde klart, at kun opdateringen løser problemet. En web-firewall er altså et plaster, ikke en kur.
Sådan gør I
Lav en liste. Alt, der kan nås fra internettet: hjemmeside, webshop, portaler, VPN, firewall, fjernsupport og udstyr med webside.
Skriv versionen ud for hver ting. Og om der findes en opdatering.
Opdatér det, der kan opdateres. Med det samme, ikke næste måned.
Vælg en vej for resten. Sluk, skjul eller beskyt. Skriv ned, hvem der har besluttet det.
Sæt en slutdato. Et plaster holder ikke for evigt. Hvornår bliver det gamle system erstattet?
Sådan hjælper vi
Vi laver gerne listen sammen med jer og fortæller, hvad der haster mest. Med IT-drift holder vi jeres systemer opdateret, og vores SOC holder øje med det, der ikke kan opdateres endnu.
Har I noget, ingen tør røre? Ring på 82 82 82 95, eller book en snak.
Ofte stillede spørgsmål
Er en web-firewall nok?
Nej. Den blokerer kendte angreb og køber jer tid. Den lukker ikke selve hullet.
Hvad gør vi med en hjemmeside på PHP 8.1 eller ældre?
PHP laver ikke officielle rettelser til de versioner. Spørg jeres webhotel, om de har en rettet version, eller få hjemmesiden flyttet til en ny PHP-version.
Hvordan ved vi, hvad der er på internettet?
Start med jeres egen liste og spørg jeres leverandører. Vi kan også kigge udefra og se, hvad der svarer.