PHP2Shell یک شات هشدار برای افشای آسیب‌پذیری است

جزئیات فنی پشته های وب سرور ارزش یادگیری دارد. ترجیحا از اخبار تلویزیون نباشد. هفته گذشته، دانستن در مورد PHP یک علاقه حرفه ای خاص بود. این هفته رانندگان تاکسی نظراتی دارند.

PHP داستان نیست. این تصویر است. دلایل خوبی وجود دارد که این تاسف بارترین نورافکن را دارد. خیلی قدیمیه و نشون میده این خودرو که ریشه در اواسط دهه 1990 داشت، هرگز از جلیقه‌ی یک ویژگی رنج نبرده است، و در حالی که بازسازی و نوسازی زیادی را به خود دیده است، عناصر طراحی بیش از 20 سال پیش را حفظ کرده است.

پی اچ پی اکیدا تنها پروژه ای نیست که در آن تقاضاهای فوری برای عملکرد، قابلیت اطمینان و ویژگی های بهتر، منابع مورد نیاز برای مرتب کردن داخلی های زشتی را مصرف می کند که به نظر می رسد به خوبی کار می کنند. تا اینکه روزی آن بدهی فنی سررسید شود. روزهای زیادی از این قبیل خواهد بود.

اهمیت PHP این است که منحصر به فرد نیست. جزئیات آنقدرها مهم نیستند، اگرچه اگر می خواهید در مورد آن بیاموزید، این نسخه کمیک حاشیه نویسی هم سرگرم کننده است و هم جزئی. اکنون پویایی امنیت سایبری به کمک هوش مصنوعی واضح‌تر می‌شود، مدافعان می‌توانند از ابزارها برای کشف معایب خطرناک استفاده کنند، اما مهاجمان با انگیزه و مبتکر نیز می‌توانند از آنها استفاده کنند. هیچ یک از طرفین انحصار منابع یا نبوغ را ندارند. سرعت و مقیاس درگیری به سرعت در حال رشد است که ما باید ببینیم جنگ جهانی واقعی چگونه برای پیکربندی مجدد کار می کند.

مهم ترین جنبه PHP2Shell افراد هستند، نه ماشین ها. ما می دانیم که LLM ها چگونه ترکیبی از مشکلات و بهره برداری از آنها را طی چند روز در ماه اوت شناسایی کردند، و می دانیم که با چه سرعتی می توان هرگونه اطلاعات عمومی در مورد چنین چیزهایی را به سلاح تبدیل کرد. یافتن روزها طول کشید نه ماه ها و ساعت ها به جای روزها برای بهره برداری. پروتکل صحیح این است که وصله‌ها را به‌طور خصوصی برای سازمان‌های مهم و مورد اعتماد فاش کنید، و سپس هنگامی که خدمات اصلی محافظت می‌شوند، عمومی شوند و به سختی انجام شوند.

اما PHP2Shell اینطور کار نکرد، زیرا بسیار خوشمزه بود و نمی‌توان آن را مخفی نگه داشت. اولین حملات چند روز قبل از پست ناشناس هکر نیوز مشاهده شد که از وجود و شدت مشکلات خبر می داد. آن پست دارای اعداد CVE صحیح بود. آن را از کسی در حلقه آمده است.

تأثیر مخرب اطلاعات فاش شده و تنش بین مخفی نگه داشتن داده های ارزشمند و امکان استفاده از آنها در جنگ جهانی دوم به وفور آشکار شد. این منجر به سیستمی از مجوزها، طبقه‌بندی و افسران رابط آموزش دیده شد که با استفاده از آن خروجی مکان‌هایی مانند بلچلی پارک می‌توانست فیلتر شود، هدایت شود و در مسیر خود برای افرادی که به آن نیاز داشتند محافظت شود و از چشم کسانی که به آن نیاز نداشتند دور نگه داشته شود.

بی‌نقص نبود، و محققان امنیتی نیازی به کار در کلبه‌ها در حالی که تظاهر به منشی تأمین می‌کنند، ندارند، اما درس‌های آموخته شده تا به امروز خوب بوده است.

افشاگری باید یک نظم باشد، نه یک پروتکل. گفتن از قبل به کل تیم IT ثانیه خوب نیست - حداقل تعداد مطلق افراد باید تا زمانی که ممکن است راز را حفظ کنند. آنها باید توسط توسعه دهندگان پچ و سازمان های خودشان آموزش ببینند و مورد اعتماد قرار گیرند. اگر سازمان شما نتواند شخصی را با بالاترین استانداردها به خدمت بگیرد، زمانی که اسرار به شما سپرده شود، از درجه نوک زدن پایین می آیید.

رابط پچ باید با جایگاهی که در ساختارهای شغلی و الزامات صلاحیت دارد به یک موقعیت استخدام تبدیل شود. این باید بخشی از یک ساختار گسترده صنعت باشد که در آن اطلاعات می‌تواند به هر دو طرف جریان داشته باشد. حضور و کیفیت فرد در آن نقش، محل نشستن شما را در توالی طبقه‌بندی شده استقرار تعیین می‌کند. این راهی برای مدیریت ریسک در بخش بسیار نامرتب، بسیار سریع و بسیار مهم دستگاه IT است. ما به همان اندازه که در جاهای دیگر انتظار داریم به تمرکز، هوش و مهارت نیاز داریم.

برای اینکه همه اینها کار کند، کسی باید همه چیز را در صنعت مدیریت کند. ابزارها و فرآیندها باید با هدف صریح استقرار بدون افشا توسعه داده شوند. در کنار آن باید یک سیستم رسمی شناسایی، تجزیه و تحلیل، و ایجاد گروه‌های سریع برای خطرناک‌ترین اجزای زیرساخت، هم از نظر پایه و هم از نظر ماهیت طراحی، وجود داشته باشد.

برای مثال، بحث های زیادی وجود دارد که آیا PHP می تواند و باید زنگ زده شود، اما هیچ انجمنی وجود ندارد که بتوان در آن بحث را با استانداردهای بالا و منابع مناسب برای تصمیم گیری سریع اجرا کرد. بر اساس برخی استانداردها گران است، توسط برخی دیگر به طرز شگفت انگیزی ارزان است.

ما هرگز مجبور نبودیم به طور رسمی در مورد این به عنوان یک رشته برای ساخت با استانداردهای حرفه ای فکر کنیم، اما هرگز چنین ترکیبی از بردارهای حمله پیچیده و قدرتمند در یک محیط خصمانه و مجهز نداشتیم. جدی است. این جنگ است. ®