Виправлення вийшли 21 жовтня, але низка країн не стала чекати. Фінляндія вимкнула всі державні вебсервіси для громадян, Нідерланди — урядовий портал, Франція — сайти Міністерства внутрішніх справ. У Польщі 22 жовтня, після засідання Об'єднаного операційного центру кібербезпеки, центральний державний ІТ-оператор тимчасово вимкнув частину сторінок Бюлетеня публічної інформації, а CERT Polska закликав негайно оновлювати PHP. Свої сайти вимикали й польські компанії та університети. Як сказав експерт з кібербезпеки Лукаш Олейнік, «не можна зламати те, чого немає в інтернеті».
«Звісно, кібербезпека — це, по суті, твоя безпека в цифровому просторі. Тобто для кожної людини, яка має доступ до інтернету або до якихось цифрових девайсів, важлива кібербезпека. Ми всі існуємо в цифровому просторі: є твої дані в інтернеті, або ти користуєшся якимись додатками. Але є ще інший рівень кібербезпеки, коли ми говоримо про безпеку компаній. Наприклад, ти компанія, яка розробляє програмне забезпечення або створює якийсь продукт, і тобі теж важлива кібербезпека. Бо виходить, що тепер ти з іншого боку цієї системи. Ти тепер маєш будувати свої системи так, щоб міг захистити дані своїх користувачів».
Загроза стосується не лише державних сайтів, а й інтернет-магазинів, сервісів, кав'ярень з програмами лояльності, зокрема тих, які в Польщі відкривають українці. Чи варто малому бізнесу будувати свої системи самостійно?
«Мені здається, що це теж залежить, треба подумати, коли ти починаєш такий бізнес. Є багато вже готових рішень, які можуть тобі дати цю важливу частину, наприклад сайт. Немає проблеми в тому, щоб разом із штучним інтелектом створити сайт для свого бізнесу або своєї компанії. Але потім, коли ми переходимо до баз даних, де ти обробляєш інформацію користувачів, якщо це онлайн-система з віддаленим доступом, то для тебе є багато готових рішень. І деколи, мені здається, буде дешевше скористатися готовим рішенням від компаній. Звісно, треба подумати, чи ти можеш довіряти компаніям, у яких купиш такі послуги. Але в багатьох випадках, мені здається, буде простіше купити це як готове рішення, ніж пробувати будувати його з нуля, особливо якщо ти одна людина, яка хоче зробити бізнес».
PHP2Shell — один із перших настільки масштабних випадків, коли критичну діру допоміг знайти штучний інтелект. Світлана Чаплінська каже: з появою ШІ загроз стало в рази більше.
«По суті, в безпеці ми завжди говоримо, що безпека — це не тільки відповідальність відділу інформаційної безпеки, якщо такий відділ існує, а відповідальність кожного. І зараз зі штучним інтелектом — певно, всі говорили про штучний інтелект — рівень загроз дуже сильно виріс. Раніше завжди було так, що в тебе як у відділу інформаційної безпеки більше роботи, ніж ти можеш зробити, але зараз це все зросло в 10, 20, 50 разів, бо їх зараз легше знайти. Але так само, мені здається, іншим легше зрозуміти, як себе захистити, бо ти можеш загуглити або поговорити зі штучним інтелектом, який тобі найбільше подобається. І насправді вони можуть дати тобі досить гарні поради, що саме тобі важливо зробити».
«Наприклад, я теж говорила про оцінку загроз у своїй доповіді. І тут штучний інтелект теж може дуже гарно тобі допомогти, бо, оцінюючи загрози, ти маєш зрозуміти, які місця у твоїй системі найбільш вразливі і як їх захистити. Ти можеш використати штучний інтелект, щоб він дав тобі приклади того, що саме може статися, які загрози в тебе є. Але зрештою ти маєш сам зрозуміти, що саме стосується тебе, а що ні. Тому, як на мене, світ змінюється, усе змінюється, і безпека ще більше стає відповідальністю кожного. І, як ми сказали на початку, кібербезпека стосується кожного, хто має вихід до інтернету чи цифрових послуг. Тож ми всі в цьому».
Чи не забере штучний інтелект роботу в самих фахівців з кібербезпеки?
«Ми сьогодні дуже багато разів жартували про те, що з усіх робіт він, певно, кібербезпеку забере останньою. Бо, як я вже раніше казала, зі штучним інтелектом зараз дуже легко знаходити різні вразливості в програмному забезпеченні. Та й не тільки в програмному забезпеченні. Кількість вразливостей, які публікуються щодня, просто шалена. Тому так, роботи, я думаю, нам вистачить надовго. І навіть багато процесів у кібербезпеці ми теж можемо автоматизувати за допомогою штучного інтелекту. Але все одно, зрештою, роботи поки що вистачає з головою».
Фінляндія, де живе Світлана, відреагувала на PHP2Shell одним із найрадикальніших кроків: вимкнула всі державні вебсервіси для громадян. Країна давно готується до загроз у кіберпросторі.
«І так само в плані кібербезпеки. Мені здається, що Фінляндія дуже класна, і взагалі є багато європейських країн, які разом проводять навчання з кібербезпеки, щоб у разі ескалації конфлікту вони могли в кіберпросторі теж захистити себе та інших у разі чого».
Сам PHP — проєкт із відкритим кодом. Його розвиває фонд PHP Foundation, де, за даними The Guardian, працює лише 13 людей, тоді як у штучний інтелект вкладають мільярди. Саме тут Світлана бачить шанс для тих, хто хоче працювати в кібербезпеці.
«Зараз в опенсорсі є дуже велика потреба закривати вразливості з безпеки. Тому, мені здається, гарна порада буде така: якщо у вас є якийсь улюблений опенсорс-проєкт і ви думаєте, що, може, хотіли б працювати в кібербезпеці, знайдіть частину цього проєкту, де можете поекспериментувати з безпекою. Якщо можете знайти якусь вразливість або просто проаналізувати, чи вони там є, то це можна додати собі в резюме, а потім знайти роботу».
Але перевіряти на вразливості чужі сайти без дозволу не можна.
«Це ніколи не буває так, що ти просто собі вирішив, що якусь систему можна спробувати зламати. Так ніколи не працює — за це можна в в'язницю піти. Зазвичай у тебе є контракт з якоюсь компанією, яка дала тобі дозвіл протестувати її систему».
Що робити зараз? Власникам сайтів — оновити PHP до версій 8.2.35, 8.3.36, 8.4.27 або 8.5.12. Якщо сайт стоїть на хостингу — запитати провайдера, чи це зроблено. Старіші версії PHP офіційно вже не підтримуються, і якщо оновитися неможливо, фахівці радять тимчасово вимкнути сайт. Ознаки атаки CERT Polska просить повідомляти через сайт incident.cert.pl.
Мирослав Трофимук