Scripting og systemhærdning: en komplet guide til at styrke servere

Informatic Digital » Recursos » Scripting og systemhærdning: en komplet guide til at styrke servere

Hærdning af et system er ikke længere valgfrit: enhver server, der er forbundet med internettet, uanset om det er i et traditionelt datacenter eller i skyen , bliver et mål på få minutter. Hærdning og scripting går hånd i hånd : uden automatisering er det næsten umuligt at opretholde det samme sikkerhedsniveau på tværs af alle systemer over tid.

Når vi taler om "systemhærdende scripting", refererer vi til at kombinere scripts (bash, PowerShell, automatiseringsværktøjer osv.) med gode hærdningspraksisser for at minimere angrebsfladen. Det handler ikke om at anvende patches vilkårligt, men om at følge en klar metode, der er baseret på standarder (CIS, DISA STIG, ISO 27002 osv.) og omdanne disse beslutninger til gentagelige scripts, som vi kan anvende, teste og overvåge.

Hvad er systemhærdning, og hvorfor er det så vigtigt?

I cybersikkerhedens verden refererer begreberne hærdning, bastionering og styrkelse til alle handlinger, der sigter mod at minimere angrebsvektorer i operativsystemer, applikationer, netværk, databaser eller enheder. Producenter sender ofte deres produkter "åbne", så alt fungerer direkte fra fabrikken, men det betyder unødvendige tjenester, der kører, svage konfigurationer og muligheder, der prioriterer bekvemmelighed frem for sikkerhed.

Målet med hærdning er at bringe hvert system til en tilstand, hvor kun de strengt nødvendige funktioner er aktiveret , med passende adgangskontroller, begrænsede tjenester, kryptering hvor det er relevant, og overvågning for at detektere uautoriserede ændringer. Hver komponent (server, database, IoT-enhed, mobilenhed osv.) kræver sin egen specifikke tilgang og politikker baseret på dens rolle, miljø (produktion, præproduktion, laboratorium), version og kritikalitet.

I de senere år er hærdning blevet et formelt krav i alle slags regler og compliance-rammer. Standarder og vejledninger som CIS Benchmarks eller DISA STIG tilbyder detaljerede anbefalinger til specifikke systemer. Organisationer, der ønsker at overholde ISO 27001, ENS, PCI-DSS eller andre lignende ordninger, skal dokumentere og implementere ensartede hærdningspolitikker, gennemgå dem og demonstrere deres fortsatte effektivitet over tid.

Ud over teorien har god hærdning en direkte indvirkning på hændelser i den virkelige verden: det reducerer antallet af åbne døre , komplicerer angriberes laterale bevægelser, begrænser eskalering af privilegier og gør det frem for alt meget sværere for en engangsfejl at udvikle sig til et alvorligt brud.

Nøgleprincipper bag systemhærdning

Ethvert seriøst hærdningsprojekt er baseret på et par velkendte principper, som derefter omsættes til politikker, manuskripter og tekniske kontroller. De fire mest almindelige søjler er minimal eksponering, dybdegående forsvar, færrest privilegier og en nultrust-tilgang.

Princippet om minimal eksponering består i at kun lade essentielle komponenter, tjenester og porte være synlige. Enhver funktionalitet, der ikke bruges eller ikke er essentiel, bør deaktiveres eller i det mindste begrænses til velkontrollerede interne netværk. Enhver aktiv tjeneste repræsenterer en potentiel indtrængningsvektor, så det første skridt i hærdning er normalt at lave en opgørelse og lukke det ned, der er unødvendigt.

Dybdegående forsvar foreslår en lagdelt sikkerhedstilgang: netværksfirewalls, adgangskontrol til operativsystemer, kryptering under transport og i hvile, integritetsovervågning, ændringsrevision osv. Ideen er, at selvom ét lag fejler eller kompromitteres, findes der andre lag, der kan bremse eller hindre en angribers fremskridt og reducere virkningen.

Princippet om mindste rettigheder dikterer, at brugere, processer og tjenester kun bør have de tilladelser, der er strengt nødvendige for at udføre deres funktion. Dette gælder for både menneskelige konti og servicekonti, systemdæmoner, webapplikationer og automatiserede scripts. Reduktion af rettigheder gør mange eskaleringsteknikker, der er afhængige af overdrevne tilladelser eller slappe konfigurationer, ineffektive.

Endelig opgiver nultillidstilgangen ideen om, at noget er troværdigt, blot fordi det er "inde i netværket" eller "bag firewallen". Enhver bruger, enhed og tjeneste skal autentificeres, autoriseres, og deres aktivitet skal logges, hvilket begrænser adgangen efter kontekst (oprindelse, tidspunkt, operationstype) og sporer, hvem der gør hvad på et givet tidspunkt.

Praktisk hærdning på Linux-systemer med bash-scripts

Linux er allestedsnærværende på servere, containere og mange IoT-platforme (se de bedste Linux-distributioner til servere ), så det er logisk, at en stor del af hærdningsprojekter fokuserer på dette miljø. Automatisering af hærdning med bash-scripts er almindelig praksis, når brug af værktøjer som Ansible, Puppet eller lignende ikke er tilladt, eller når et hurtigt første lag af hærdning ønskes.

I et typisk scenarie starter du med en nyinstalleret server (enten i skyen eller lokalt) og designer et sæt scripts, der konfigurerer alt fra firewall- og adgangskodepolitikker til deaktivering af tjenester og installation af sikkerhedspakker. En almindelig tjekliste inkluderer opgaver som at bruge sikker SSH, oprette en bruger med sudo, aktivere en grundlæggende firewall, implementere fail2ban, aktivere SELinux eller AppArmor, hærde kernen og holde alt opdateret.

Blandt de klassiske Linux-hærdningsforanstaltninger er en af ​​de første at sikre systemets opstartsproces . Fra BIOS- eller UEFI-indstillingerne anbefales det generelt at deaktivere opstart fra eksterne enheder (USB-drev, eksterne harddiske osv.) og blokere ændring af boot-enheden uden legitimationsoplysninger. På operativsystemsiden er det næsten obligatorisk at beskytte boot manager (f.eks. GRUB) med en adgangskode, aktivere Secure Boot og forhindre direkte login som root.

Et andet nøgleelement er bruger- og gruppestyring . Det er afgørende at definere ensartede tilladelser på filer og mapper, især systemfiler, kernekonfigurationer og følsomme binære filer. Disse har typisk meget begrænsede tilladelser for andre brugere, hvilket kun tillader det, der er strengt nødvendigt for at systemet kan fungere. Brugernes personlige filer bør også have deres adgang begrænset af tredjeparter, hvor standard-umasken i filer som "/etc/bash.bashrc" eller "/etc/profile" justeres for at forhindre, at nye filer oprettes med for brede tilladelser.

I denne sammenhæng anbefales værktøjer som SELinux eller AppArmor til at etablere obligatoriske adgangskontrolpolitikker, der går ud over traditionelle Unix-tilladelser. Disse teknologier giver dig mulighed for at definere, hvilke handlinger hver proces kan udføre, selvom den er blevet kompromitteret, hvilket reducerer risikoen for skader fra exploits eller malware betydeligt.

Adgangskonfiguration er et andet nøgleelement. I Linux er det almindelig praksis at håndhæve periodiske ændringer af adgangskoder, både for individuelle brugere og for hele systemet, ved hjælp af kommandoer som "passwd" eller "change". Du kan definere krav til stærke adgangskoder , udløb af adgangskoder og genbrug af gamle adgangskoder, samt tvinge brugere til at ændre dem ved deres næste login. For globale handlinger kombineres værktøjer som "awk" og "xargs" for at iterere gennem "/etc/shadow"-filen og anvende udløbspolitikker på alle konti.

Hvad angår tjenester, er den grundlæggende regel at deaktivere alt, der ikke har et klart formål i produktion . Hver organisation bør analysere, hvilke dæmoner og tjenester der er essentielle for serverens rolle. Gamle og usikre protokoller som telnet, rsh, rlogin eller bestemte FTP-servere bør fjernes eller erstattes med krypterede alternativer som SSH eller SFTP. Hvis en tjeneste har kendte sårbarheder uden en tilgængelig patch, er det ofte bedst at deaktivere den, indtil en opdatering er tilgængelig.

Filsystemer spiller også en rolle i hærdning. I Linux anvendes Ext-varianter (Ext2, Ext3, Ext4) almindeligvis, hvor Ext4 er den foretrukne mulighed på grund af dens ydeevne og sikkerhedsforbedringer . Blandt andre fordele inkorporerer den integritetstjek, bedre fejlhåndtering og funktioner, der hjælper med at minimere skader fra korruption eller forkert manipulation. I krævende miljøer kombineres disse funktioner med separate partitioner til /home, /var, /tmp osv., hvor der anvendes restriktive monteringsmuligheder.

Netværkssikkerhed, firewall og opdateringer i Linux

En kritisk del af at styrke ethvert system er alt, der er relateret til netværket. I et veludviklet Linux-miljø lægges der særlig vægt på SSH-konfiguration, VPN-brug, implementering af indtrængningsdetektionssystemer og firewallbeskyttelse på både værts- og netværksniveau.

I tilfælde af SSH anbefales det at prioritere brugen af ​​offentlige nøgler frem for adgangskoder, deaktivere direkte root-login, begrænse antallet af autoriserede brugere og, når det er muligt, ændre standardporten for at reducere støj fra automatiserede scanninger. Derudover kan adgangskontrollister, tofaktorgodkendelse og værktøjer som fail2ban bruges til at blokere IP'er, der udviser brute-force-mønstre.

VPN'er tillader indkapsling af følsom trafik i krypterede tunneler. Teknologier som OpenVPN eller L2TP/IPSec er almindelige i Linux-miljøer, mens PPTP, selvom det er kompatibelt, generelt betragtes som mindre sikkert. Administration af disse forbindelser kan forenkles med grafiske værktøjer som Network Manager, men det underliggende princip er, at fjernadministrationstjenester eller kritiske applikationer ikke bør eksponeres direkte for internettet, hvis de kan beskyttes bag en VPN.

Systemer til registrering og forebyggelse af indtrængen (IDS/IPS) supplerer firewallen. Muligheder som OSSEC, Tripwire og AIDE giver dig mulighed for at overvåge filintegritet, registrere mistænkelige ændringer og advare dig om angrebsmønstre. Værktøjer som Wireshark bruges til trafikanalyse . Disse systemer kombineres med logpolitikker for at give et ensartet overblik over, hvad der sker på serveren.

Hvad angår firewalls , har de klassiske værktøjer på Linux været iptables og, for nylig, nftables eller frontends som UFW. Filosofien er altid den samme: en standard denial-model ("alt lukket") og kun eksplicit åbning af de nødvendige porte (for eksempel 80/443 til HTTP/HTTPS og administrationsporten under strenge betingelser). Hver regel skal have en klar årsag, og i mere avancerede miljøer kombineres firewalls på værtsniveau med kontroller på perimeterenheder eller i selve skyen.

En anden vigtig komponent er softwareopdateringer . Ved at holde kernen og pakkerne opdaterede ved hjælp af pakkehåndteringssystemer som apt, yum eller dnf reduceres eksponeringen for kendte sårbarheder og udbredt udnyttelse betydeligt. Dette er ikke begrænset til operativsystemet: komponenter som drivere, eksterne moduler og middleware kræver også regelmæssige programrettelser. I nogle tilfælde er det tilrådeligt at kræve signerede drivere og altid verificere pakkernes oprindelse for at forhindre introduktion af rootkits eller ondsindede binære filer.

Konfiguration af logfiler og revision fuldender sikkerhedscyklussen. Justering af syslog eller journald for at bevare relevante hændelser, afsendelse af logfiler til en central server og definition af, hvilke handlinger der revideres (tilladelsesændringer, mislykkede adgangsforsøg, ændringer af kritiske filer osv.), er nøglen til at opdage hændelser og rekonstruere, hvad der skete. Tjenester som "auditd" eller specifikke revisionspakker i forskellige distributioner hjælper med at registrere følsomme systemhandlinger.

Faser i et professionelt hærdningsprojekt

Hærdning af systemer handler ikke om at køre et script og glemme alt om det. Seriøse projekter følger flere veldefinerede faser: planlægning, test, implementering, verifikation og kontinuerlig overvågning. Springes nogen af ​​disse faser over, resulterer det normalt i serviceafbrydelser eller konfigurationer, som ingen tør røre ved bagefter.

Den første fase er interventionsplanlægning . Dette involverer at definere omfanget (hvilke systemer, hvilke miljøer), identificere ejere og interessenter, estimere vedligeholdelsesvinduer og designe en basiskonfiguration for hver type komponent (webservere, applikationer, databaser, indlejrede systemer osv.). Det bestemmes også, hvilke standarder eller benchmarks der skal følges.

Dernæst er det nødvendigt at identificere kritiske komponenter og tjenester . Det er vigtigt at forstå, hvilke systemfunktioner der er uundværlige for virksomheden, og hvilke der kan deaktiveres eller begrænses. Uden denne klarhed er det nemt at forstyrre produktionstjenesterne ved at anvende alt for aggressive sikkerhedsforanstaltninger, der, selvom de tilsyneladende er "sikre", forhindrer den daglige drift.

Et obligatorisk trin, før man foretager væsentlige ændringer, er at udføre fulde sikkerhedskopier og, hvis det er muligt, konfigurationssnapshots. Dette giver dig mulighed for at vende tilbage til tidligere versioner, hvis ændringer forårsager alvorlige fejl eller inkompatibiliteter. Mange organisationer springer dette trin over på grund af hastværk og opdager derefter, at det er næsten umuligt manuelt at vende tilbage til en dårligt implementeret hærdning.

Testfasen i kontrollerede miljøer er normalt den mest komplekse og tidskrævende. Den involverer replikering af produktionsnetværket i et laboratorie- eller præproduktionsmiljø, anvendelse af hærdningspolitikker og evaluering af effekten: hvad der bryder, hvilke regler forårsager inkompatibiliteter, og hvilke tjenester bliver uresponsive. Denne iteration hjælper med at forfine politikkerne, før de implementeres i live-systemer.

Når politikkerne er forfinet, begynder implementerings- og compliance- fasen . Det er her, scripts, konfigurationsværktøjer og automatiseringsløsninger kommer i spil for at implementere ændringer på en kontrolleret og ensartet måde. Denne fase er udsat for menneskelige fejl, hvis det udføres manuelt, deraf vigtigheden af ​​scripting- og konfigurationsstyringsplatforme.

Efter implementering er det obligatorisk at evaluere resultaterne af hærdningen gennem funktionstest (for at verificere, at systemet fortsat fungerer som tilsigtet) og sikkerhedstest (sårbarhedsscanninger, porttjek, politikverifikation osv.). Eventuelle væsentlige afvigelser dokumenteres, og politikker justeres baseret på observationer i produktionen.

Den sidste del er kontinuerlig overvågning . Netværk ændres, servere tilføjes og fjernes, nye applikationer installeres, og folk ændrer konfigurationer. Uden et system til at overvåge afvigelser fra basislinjen (hvad er blevet ændret, hvem har ændret det, og hvornår), vender sikkerhedstilstanden gradvist tilbage til sin oprindelige tilstand. Overvågning bør også omfatte advarsler om mistænkelige eller uautoriserede ændringer.

Typer af hærdning: system, applikationer, netværk og mere

Når man diskuterer hærdning af et miljø, er det nyttigt at skelne mellem flere forskellige lag eller områder , fordi hvert enkelt kræver specifikke kontroller. Blandt de mest almindelige er hærdning af operativsystemer, applikationshærdning, netværkshærdning, databasehærdning, webserverhærdning, netværks- og IoT-enhedshærdning, hærdning af indlejrede systemer og hærdning af mobile enheder.

Hærdning af operativsystemer adresserer det fundament, som alle andre tjenester kører på. Dette inkluderer deaktivering af unødvendige funktioner, firewallregler, konto- og gruppeadministration, fil- og mappetilladelser, programrettelser, adgangskodepolitikker og revision. Det er det første niveau af hærdning, der skal håndteres på Linux, Windows og andre operativsystemer.

Applikationshærdning fokuserer på, hvordan de specifikke programmer, der kører på disse systemer, konfigureres og opdateres: databaseservere, ERP'er, CRM'er, webapplikationer, kontorværktøjer osv. Det involverer gennemgang af interne sikkerhedsparametre, adgangskontroller, kryptering, grænsefladeeksponering og specifikke sikkerhedstests (f.eks. statisk kodeanalyse eller applikationspenetrationstest).

Netværkshærdning omfatter alt relateret til kommunikationsinfrastrukturen: firewalls, netværkssegmentering, adgangskontroller på VLAN- eller SDN-niveau, systemer til detektion og forebyggelse af indtrængen, routingpolitikker og perimeterbeskyttelse. Dette omfatter f.eks. at definere, hvilke undernet der kan kommunikere med hinanden, hvordan følsomme systemer tilgås, og hvordan eksterne forbindelser administreres.

Databasehærdning har til formål at bevare datas fortrolighed og integritet. Almindelige fremgangsmåder omfatter reduktion af rettigheder på databasekonti, kryptering i hvile og under overførsel, miljøseparation, gennemgang af standardsikkerhedsparametre, beskyttelse mod SQL-injektion og aktivering af revisionslogfiler for kritiske forespørgsler og ændringer.

Hærdning af webservere er specialiseret i at beskytte HTTP/HTTPS og tilhørende webapplikationer. Dette involverer konfiguration af serveren (Apache, Nginx, IIS osv.), korrekt administration af sikkerhedsheadere, beskyttelse mod angreb som XSS eller CSRF, sikker administration af cookies og sessioner, begrænsning af information i fejlmeddelelser og deaktivering af unødvendige moduler eller udvidelser.

Netværks- og IoT-enheder kræver deres egen specifikke tilgang, startende med at ændre standardoplysninger, deaktivere ubrugte tjenester og porte, begrænse administrativ adgang, holde firmware opdateret og, i tilfælde af IoT, streng kontrol af, hvad hver enhed kan gøre på netværket. Mange nylige hændelser er opstået fra tilsyneladende "mindre", men eksponeret udstyr med svage konfigurationer.

Hvad angår indlejrede systemer , er tilgangen lignende, men bredere, og omfatter enheder integreret i køretøjer, husholdningsapparater eller industrimaskiner, der ikke altid er forbundet til internettet. Her fokuserer hærdning på at kontrollere firmwaren, beskytte fysiske og logiske grænseflader og omhyggeligt administrere opdateringer for at undgå at introducere nye sårbarheder.

Endelig involverer hærdning af mobile systemer (smartphones, tablets) definition af sikkerhedspolitikker, aktivering af lagerkryptering, administration af applikationer og tilladelser, aktivering af fjernsletning og beskyttelse af fysisk adgang ved hjælp af pinkoder, biometri eller andre metoder. Disse kombineres ofte med MDM/EMM-platforme, der muliggør centraliseret konfiguration.

PowerShell, pentesting og hærdning i Windows-miljøer

I Windows-økosystemet er PowerShell blevet et nøgleværktøj for både administratorer og angribere. Dette sprog, der har været integreret siden versioner helt ned til Windows XP, muliggør automatisering af administrative opgaver med enorm fleksibilitet : tildeling af tilladelser, administration af tjenester, åbning af porte, eskalering af privilegier, planlægning af opgaver, udtrækning af adgangskode-hashes og meget mere.

Cyberkriminelle har udnyttet denne kraft og det faktum, at PowerShell er et indbygget værktøj, til at udvikle scriptbaseret malware, der kører i hukommelsen og efterlader få spor på disken, hvilket komplicerer detektion med traditionel antivirussoftware. I de senere år har der været en eksponentiel vækst i trusler, der bruger PowerShell, med stigninger på flere hundrede procent i korte perioder, ifølge undersøgelser fra sikkerhedslaboratorier.

For at forstå de angrebsteknikker, der er afhængige af PowerShell, bruger defensive teams penetrationstestværktøjer og frameworks som PowerShell Empire, PowerSploit og Nishang. Disse moduler letter opgaver som at omgå antivirussoftware, eskalere privilegier, skifte til andre maskiner, søge efter legitimationsoplysninger, etablere permanente forbindelser, indsætte scripts i Office-dokumenter, indlæse kode i hukommelsen og omgå udførelsespolitikker.

Forståelse af disse offensive teknikker er nøglen til at definere effektive afbødende foranstaltninger. Blandt de PowerShell-specifikke hærdende modforanstaltninger er brugen af ​​Constrained Language Mode , konfiguration af AppLocker eller Software Restriction Policies til at begrænse, hvilke scripts der kan udføres, scriptsignering, brugen af ​​Just Enough Administration/Just In Time (JEA/JIT) til at begrænse administrative opgaver, kommunikationskryptering, strict mode og implementering af kontroller, der validerer kode før udførelse.

Nogle af disse teknikker kræver avanceret viden, hvilket har ført til skabelsen af ​​applikationer med mere brugervenlige grænseflader , der integrerer både angrebs- og forsvarsmoduler. Disse projekter, der ofte stammer fra akademiske sammenhænge som afsluttende eksamensprojekter, sigter mod at gøre penetrationstest og hærdningskoncepter mere tilgængelige for mindre specialiserede brugere ved at tilbyde intuitive menuer, der guider dem gennem test og modforanstaltninger i Windows-miljøer.

Værktøjer til automatisering af hærdning, konfiguration og overholdelse af regler

Omfanget og kompleksiteten af ​​moderne systemer gør manuel hærdning praktisk talt umulig. Dette har ført til fremkomsten af ​​flere kategorier af værktøjer designet til at automatisere test, implementering og verifikation af sikkerhedspolitikker: automatiseringsløsninger til hærdning, cybersikkerhedssoftware , konfigurationsstyringsplatforme, compliance-scannere og specialiserede open source-projekter.

Værktøjer til automatisering af serverhærdning dækker hele livscyklussen: test, implementering og overvågning. De analyserer virkningen af ​​konfigurationsændringer på produktionstjenester, hjælper med at justere politikker for at forhindre afbrydelser, implementerer regler centralt og overvåger netværket for at registrere afvigelser fra baseline. Eksempler på kommercielle løsninger på dette område omfatter CalCom Server Hardening Solution (CHS) og CalCom Security Solution til IIS, som er rettet mod både servere og specifik middleware.

Værktøjer til sikkerhedskonfigurationsstyring (SCM) , som defineret af NIST, giver dig mulighed for at kontrollere den ønskede tilstand af informationssystemer, anvende ændringer gentagne gange, versionskonfigurationer, spore, hvem der har ændret hvad, og generere rapporter om den aktuelle tilstand. Platforme som Ansible, Chef, Puppet og Microsoft System Center Configuration Manager er ikke begrænset til hærdning; de er ideelle til at implementere SCM som kode og integrere det i DevOps- eller DevSecOps-arbejdsgange.

Compliance-scannere fokuserer på at vurdere, om et system opfylder et specifikt rammeværk (CIS, DISA STIG, interne retningslinjer osv.). De genererer rapporter, der angiver, hvilke kontroller der er korrekt implementeret, og hvor der er mangler. Værktøjer som Tripwire Configuration Manager, Qualys, NNT SecureOps og CIS-CAT Pro giver brugerne mulighed for at visualisere sikkerhedsstatussen for flere aktiver og prioritere løsninger baseret på påvirkning.

Endelig er der et meget rigt økosystem af open source-projekter med fokus på hardening , herunder automatiseringsplatforme som Salt, compliance-kits til Windows-miljøer (Microsoft Security Compliance Toolkit), specifikke revisionsscripts (Hardening Auditor) og værktøjer som Windows Exploit Suggester NG til at identificere sårbarheder i Windows-systemer ud fra systeminformation.

Hærdning som system: baselines, automatisering og revision

Ud over specifikke værktøjer behandler organisationer, der tager serverhærdning alvorligt, det som et levende system, ikke en engangstjekliste . Dette involverer at definere baselines for hver serverrolle, automatisere deres applikation, verificere compliance og bevidst håndtere eventuelle afvigelser, der er nødvendige af driftsmæssige årsager.

I praksis er det almindeligt at starte med at oprette specifikke baselines for hver type aktiv: Linux-webservere, applikationsnoder, databaser, Windows-domænecontrollere, brugercomputere, netværksenheder osv. Hver baseline inkluderer systemparametre, firewallregler, tjenestekonfigurationer, kontopolitikker, logføringsindstillinger og andre foranstaltninger, der er skræddersyet til den pågældende rolle.

Derfra bruges infrastruktur-som-kode (IaC)-værktøjer og konfigurationsstyringsværktøjer (såsom Ansible eller PowerShell DSC) til at oversætte disse baselines til versionsbar kode i Git-repositories. Ændringer gennemgås via versionskontrolprocesser, udsættes for linting og automatiseret testning og implementeres ved hjælp af pipelines, der efterlader bevis for, hvilken konfigurationsversion der er anvendt i hvert miljø.

Efter hver implementering køres revisionsværktøjer som Lynis eller OpenSCAP på Linux eller Windows-specifikke compliance-scannere, og rapporterne uploades til selve CI/CD-platformen som artefakter. Dette dokumenterer overholdelse af definerede politikker og letter eksterne revisioner eller interne sikkerhedsgennemgange.

For at fuldføre processen integrerer mange virksomheder overvågnings- og detektionsplatforme som Wazuh, der kombinerer loganalyse, filintegritetstjek, hændelseskorrelation og realtidsadvarsler. Dette giver dem mulighed for at vide, hvornår nye tjenester begynder at lytte på uventede porte, følsomme filtilladelser ændres, eller der opstår unormale adgangsmønstre.

Gennem hele denne proces er hærdningen i overensstemmelse med standarder som ISO/IEC 27002 , som omfatter konfigurationsstyring, fjernelse af unødvendige funktioner, håndtering af tekniske sårbarheder og brugergodkendelse. Målet er ikke kun at være "mere sikker", men også at være i stand til objektivt at demonstrere, at organisationen administrerer sine systemer i henhold til anerkendte bedste praksisser.

Systemhærdning, understøttet af scripting og automatisering, er en løbende disciplin, der kombinerer sikkerhedsprincipper, viden om reelle trusler, passende værktøjer og en god portion sund fornuft. At reducere angrebsfladen, omhyggeligt kontrollere, hvad der udføres, og hvordan det tilgås, teste effekten af ​​hver ændring og overvåge konfigurationen over tid er den mest effektive måde at forhindre, at en bekvem, men slap konfiguration bliver porten til en alvorlig hændelse.