Застарілі системи та ПЗ за межами підтримки
Безпека PHP-застосунків за межами підтримки
PHP 4.x і 5.x вийшли з підтримки роками тому, але тисячі критичних для бізнесу застосунків досі працюють на них, зокрема ризиковані кастомні сайти, які ми щодня захищаємо. Коли виправлення безпеки не надходять, оборона означає ізоляцію, віртуальне латання на шарі WAF, жорстке посилення обробки вводу й контрольоване утримання, доки йде міграція.
Головне
- Ведіть інвентар кожного застосунку на EOL-PHP з версією, виставленістю в інтернет і критичністю для бізнесу.
- Ізолюйте застарілі застосунки на окремих облікових записах, пулах і, в ідеалі, окремих серверах.
- За кілька годин запускайте WAF-віртуальне латання на відомі патерни експлойтів PHP 4.x/5.x.
- Вимикайте небезпечні функції (exec, shell_exec, eval-подібні) на кожному застарілому vhost-і.
- Тримайте права «тільки читання» повсюди, окрім явно визначених шляхів зі завантаженнями файлів.
- Журналуйте й сповіщуйте про аномалії: закодовані корисні навантаження, несподівані оболонки, масові розсилки.
- Робіть резервні копії застарілих застосунків окремо, з протестованими відновленнями, — вони ламаються не так.
- Паралельно ведіть фінансовану лінію міграції; стримування — це міст, а не місце для життя.
Часті запитання
Чи справді небезпечно тримати PHP 5.4?
Так, і ось чому: непатчені CVE з відкритими експлойтами, а боти цілодобово сканують відбитки EOL-PHP.
Чи можна убезпечити старий PHP без оновлення?
Ізоляція та віртуальне латання різко знижують ризик, але не до рівня підтримуваних версій.
А чому не просто одразу оновити?
Застарілий код використовує вилучені функції і іншу поведінку; поспішне оновлення ламає те, що продано, і входи та інтеграції. Поетапна міграція — безпечний шлях.
Наскільки надовго вистачає стримування?
На місяці, максимум пару років, при дисципліні; але кожен квартал без міграції підвищує ймовірність інциденту.
Допомога Kinetikatech: застарілі системи та пз за межами підтримки
Ось у чому річ: Утримання безпеки старого PHP, Node.js і операційних систем — і міграція з них до того, як мігрують атакенти. Передайте це службі Адміністрування серверів та Безпека серверів Linux, і все буде закрито: грамотна оцінка, чисте впровадження, цілодобовий нагляд.