الأنظمة القديمة والبرمجيات المنتهية
أمن تطبيقات PHP منتهية الدعم
انتهى دعم PHP 4.x و5.x منذ سنوات، لكن آلاف التطبيقات الحرجة للأعمال ما زالت تعمل عليها، بما فيها مواقع مخصصة عالية المخاطر نحميها يوميا. مع غياب الترقيعات الأمنية، يعني الدفاع العزل والترقيع الافتراضي عند طبقة WAF والتشديد الصارم للمدخلات والاحتواء المراقب أثناء تقدم خطط الترحيل.
النقاط الرئيسية
- جرد كل تطبيق PHP منتهي الدعم مع الإصدار والتعرض والأهمية للأعمال.
- عزل التطبيقات القديمة على حسابات وتجمعات مخصصة، ويفضل خوادم مخصصة.
- نشر ترقيع افتراضي عبر WAF لأنماط استغلال PHP 4.x و5.x المعروفة خلال ساعات.
- تعطيل الدوال الخطرة (exec وshell_exec وما يشبه eval) لكل مضيف قديم.
- فرض أذونات القراءة فقط في كل مكان عدا مسارات الرفع الصريحة.
- التسجيل والتنبيه عند الأنماط الشاذة: حمولات مشفرة وأصداف غير متوقعة وبريد جماعي.
- نسخ التطبيقات القديمة احتياطيا بشكل منفصل مع استعادات مختبرة، فهي تتعطل بشكل مختلف.
- تشغيل مسار ترحيل ممول بالتوازي، فالاحتواء جسر لا مسكن.
ملاحظة ميدانية
اعزل أولا، ورقع افتراضيا ثانيا، ورحل ثالثا، وبهذا الترتيب دائما. الفرق التي تبدأ بتخطيط الترحيل بينما التطبيق مكشوف تتعرض للاختراق أثناء التخطيط.
أسئلة شائعة
هل تشغيل PHP 5.4 خطير فعلا؟
نعم، ففيه ثغرات غير مرقعة باستغلالات علنية، والبوتات تفحص بصمات PHP منتهية الدعم باستمرار.
هل يمكن تأمين PHP القديم دون ترقية؟
يمكن خفض الخطر كثيرا بالعزل والترقيع الافتراضي، لكن لا يصل أبدا لمستوى الإصدارات المدعومة.
لماذا لا نرقي فورا؟
الشيفرة القديمة تستخدم دوالا محذوفة وسلوكيات متغيرة، فالترقيات المتسرعة تكسر السلات والدخول والتكاملات. الترحيل المرحلي هو الطريق الآمن.
كم يمكن أن يدوم الاحتواء؟
أشهر إلى سنتين بالانضباط، لكن كل ربع دون ترحيل يرفع احتمال الحادثة.
كيف تساعدك Kinetikatech في الأنظمة القديمة والبرمجيات المنتهية
هذا ما نقوم به كل يوم: الحفاظ على PHP وNode.js وأنظمة التشغيل المنتهية بأمان — والترحيل قبل المهاجمين. تغطي خدمة إدارة الخوادم و أمن خوادم لينكس ذلك من البداية إلى النهاية: التقييم والتنفيذ والمراقبة على مدار الساعة والاستجابة للطوارئ خلال 30 دقيقة.