- Kovettuminen pienentää hyökkäyspinta-alaa soveltamalla periaatteita, kuten minimaalinen altistuminen, vähimmäiset käyttöoikeudet ja syvyyspuolustus.
- Linuxissa koventaminen perustuu bash-skripteihin palomuurin, käyttäjien, palveluiden, käyttöoikeuksien, päivitysten ja auditoinnin automatisoimiseksi.
- PowerShell- ja automaatio-, konfigurointi- ja vaatimustenmukaisuustyökalujen avulla voit hallita ja tarkistaa suojauksen Windows-ympäristöissä.
- Tehokas koventamisohjelma määrittelee lähtötasot, automatisoi niiden käyttöönoton ja seuraa jatkuvasti poikkeamia.
Järjestelmän suojauksen lisääminen ei ole enää valinnaista: mistä tahansa internetiin yhteydessä olevasta palvelimesta, olipa se sitten perinteisessä datakeskuksessa tai pilvessä , tulee kohde muutamassa minuutissa. Suojauksen lisääminen ja komentosarjat kulkevat käsi kädessä : ilman automaatiota on lähes mahdotonta ylläpitää samaa suojaustasoa kaikissa järjestelmissä ajan kuluessa.
Kun puhumme "järjestelmän vahvistamisesta skriptaamalla", viittaamme skriptien (bash, PowerShell, automaatiotyökalut jne.) yhdistämiseen hyviin koventamiskäytäntöihin hyökkäyspinnan minimoimiseksi. Kyse ei ole korjauspäivitysten asentamisesta valikoivasti, vaan selkeän metodologian noudattamisesta standardeihin (CIS, DISA STIG, ISO 27002 jne.) perustuen ja näiden päätösten muuttamisesta toistettaviksi skripteiksi, joita voimme soveltaa, testata ja valvoa.
Mitä on järjestelmän koventaminen ja miksi sillä on niin suuri merkitys?
Kyberturvallisuuden maailmassa termit hardening, bastioning ja strengthening viittaavat kaikkiin toimiin, joilla pyritään minimoimaan hyökkäysvektoreita käyttöjärjestelmissä, sovelluksissa, verkoissa, tietokannoissa tai laitteissa. Valmistajat toimittavat usein tuotteensa "avoimina", jotta kaikki toimii heti pakkauksesta otettuna, mutta tämä tarkoittaa tarpeettomia palveluita, heikkoja kokoonpanoja ja vaihtoehtoja, jotka asettavat kätevyyden turvallisuuden edelle.
Koventamisen tavoitteena on saattaa jokainen järjestelmä tilaan, jossa vain ehdottoman välttämättömät toiminnot ovat käytössä asianmukaisilla käyttöoikeuksien hallinnalla, rajoitetuilla palveluilla, salauksella soveltuvin osin ja valvonnalla luvattomien muutosten havaitsemiseksi. Jokainen komponentti (palvelin, tietokanta, IoT-laite, mobiililaite jne.) vaatii oman erityisen lähestymistapansa ja käytäntönsä roolinsa, ympäristönsä (tuotanto, esituotanto, laboratorio), version ja kriittisyyden perusteella.
Viime vuosina suojauksen vahvistamisesta on tullut virallinen vaatimus kaikenlaisissa määräyksissä ja vaatimustenmukaisuuskehyksissä . Standardit ja oppaat, kuten CIS Benchmarks tai DISA STIG, tarjoavat yksityiskohtaisia suosituksia tietyille järjestelmille. Organisaatioiden, jotka haluavat noudattaa ISO 27001-, ENS-, PCI-DSS- tai muita vastaavia standardeja, on dokumentoitava ja otettava käyttöön johdonmukaiset suojauskäytännöt, tarkasteltava niitä ja osoitettava niiden jatkuva tehokkuus.
Teorian lisäksi hyvällä suojauksen karkaisemisella on suora vaikutus tosielämän tapahtumiin: se vähentää avointen ovien määrää , vaikeuttaa hyökkääjien sivuttaisliikettä, rajoittaa etuoikeuksien eskaloitumista ja ennen kaikkea tekee paljon vaikeammaksi yksittäisen epäonnistumisen muuttumisen vakavaksi tietomurroksi.
Järjestelmien koventamisen keskeiset periaatteet
Jokainen vakava suojausprojekti perustuu muutamaan tunnettuun periaatteeseen, jotka sitten muunnetaan käytännöiksi, skripteiksi ja teknisiksi kontrolleiksi. Neljä yleisintä pilaria ovat minimaalinen altistuminen, syvyyssuuntainen puolustus, vähiten oikeuksia ja nollaluottamus.
Minimaalisen altistumisen periaatteena on, että vain välttämättömät komponentit, palvelut ja portit jätetään näkyviin. Kaikki toiminnot, joita ei käytetä tai jotka eivät ole välttämättömiä, tulisi poistaa käytöstä tai ainakin rajoittaa niiden käyttö hyvin hallittuihin sisäisiin verkkoihin. Jokainen aktiivinen palvelu edustaa potentiaalista tunkeutumisvektoria, joten ensimmäinen askel suojauksen parantamisessa on yleensä inventaarion tekeminen ja tarpeettoman sammuttaminen.
Syvyyssuuntainen puolustus ehdottaa kerrostettua tietoturvalähestymistapaa: verkon palomuurit, käyttöjärjestelmän käyttöoikeuksien hallinta, salaus siirron aikana ja levossa, eheyden valvonta, muutosten tarkastus jne. Ajatuksena on, että vaikka yksi kerros vikaantuisi tai vaarantuisi, on olemassa muita kerroksia, jotka hidastavat tai estävät hyökkääjän edistymistä ja vähentävät vaikutusta.
Pienimpien oikeuksien periaate sanelee, että käyttäjillä, prosesseilla ja palveluilla tulisi olla vain ne oikeudet, jotka ovat ehdottoman välttämättömiä niiden toimintojen suorittamiseksi. Tämä koskee sekä ihmisten tilejä että palvelutilejä, järjestelmädaemoneja, verkkosovelluksia ja automatisoituja komentosarjoja. Oikeuksien vähentäminen tekee monista liiallisiin oikeuksiin tai löyhiin määrityksiin perustuvista eskalointitekniikoista tehottomia.
Lopuksi, nollaluottamuslähestymistapa hylkää ajatuksen, että jokin on luotettava yksinkertaisesti siksi, että se on "verkon sisällä" tai "palomuurin takana". Jokainen käyttäjä, laite ja palvelu on todennettava, valtuutettava ja niiden toiminta on kirjattava lokiin, jolloin pääsyä voidaan rajoittaa kontekstin (alkuperä, aika, operaation tyyppi) mukaan ja seurataan kuka tekee mitäkin milläkin hetkellä.
Käytännön koventaminen Linux-järjestelmissä bash-skripteillä
Linux on kaikkialla läsnä palvelimilla, konteissa ja monilla IoT-alustoilla (katso parhaat Linux-jakelut palvelimille ), joten on järkevää, että suuri osa koventamisprojekteista keskittyy tähän ympäristöön. Koventamisen automatisointi bash-skripteillä on yleinen käytäntö, kun työkalujen, kuten Ansiblen, Puppetin tai vastaavien, käyttö ei ole sallittua tai kun halutaan nopea ensimmäinen koventamiskerros.
Tyypillisessä skenaariossa aloitetaan uudella palvelimella (joko pilvessä tai paikallisesti) ja suunnitellaan joukko skriptejä, jotka konfiguroivat kaiken palomuuri- ja salasanakäytännöistä palveluiden poistamiseen käytöstä ja tietoturvapakettien asentamiseen. Yleinen tarkistuslista sisältää tehtäviä, kuten suojatun SSH:n käytön, käyttäjän luomisen sudon avulla, peruspalomuurin käyttöönoton, fail2banin käyttöönoton, SELinuxin tai AppArmorin aktivoinnin, ytimen koventamisen ja kaiken pitämisen ajan tasalla.
Klassisista Linuxin suojaustoimenpiteistä yksi ensimmäisistä on järjestelmän käynnistysprosessin suojaaminen . BIOS- tai UEFI-asetuksissa on yleensä suositeltavaa poistaa käytöstä käynnistys ulkoisilta laitteilta (USB-asemat, ulkoiset kiintolevyt jne.) ja estää käynnistyslaitteen vaihtaminen ilman tunnistetietoja. Käyttöjärjestelmän puolella käynnistyksen hallinnan (kuten GRUB) suojaaminen salasanalla, Secure Bootin käyttöönotto ja suoran kirjautumisen estäminen root-käyttäjänä ovat lähes pakollisia toimenpiteitä.
Toinen keskeinen elementti on käyttäjien ja ryhmien hallinta . On erittäin tärkeää määritellä johdonmukaiset käyttöoikeudet tiedostoille ja hakemistoille, erityisesti järjestelmätiedostoille, ytimen kokoonpanoille ja arkaluontoisille binääritiedostoille. Näillä on tyypillisesti hyvin rajoitetut käyttöoikeudet muille käyttäjille, sallien vain sen, mikä on ehdottoman välttämätöntä järjestelmän toiminnan kannalta. Myös käyttäjien henkilökohtaisten tiedostojen käyttöoikeuksia tulisi rajoittaa kolmansien osapuolten toimesta säätämällä oletusarvoista umaskia tiedostoissa, kuten "/etc/bash.bashrc" tai "/etc/profile", jotta estetään uusien tiedostojen luominen liian laajoilla käyttöoikeuksilla.
Tässä yhteydessä suositellaan työkaluja, kuten SELinux tai AppArmor, sellaisten pakollisten käyttöoikeuskäytäntöjen luomiseen, jotka menevät perinteisiä Unix-käyttöoikeuksia pidemmälle. Näiden teknologioiden avulla voit määrittää, mitä toimia kukin prosessi voi suorittaa, vaikka se olisi vaarantunut, mikä vähentää merkittävästi hyökkäysten tai haittaohjelmien aiheuttamien vahinkojen mahdollisuutta.
Käyttöoikeuksien konfigurointi on toinen keskeinen elementti. Linuxissa on yleistä käytäntöä pakottaa säännölliset salasanan vaihdot sekä yksittäisille käyttäjille että koko järjestelmälle käyttämällä komentoja, kuten "passwd" tai "change". Voit määrittää vaatimuksia vahvoille salasanoille , salasanan vanhenemiselle ja vanhojen salasanojen uudelleenkäytölle sekä pakottaa käyttäjät vaihtamaan ne seuraavan kirjautumisen yhteydessä. Globaaleja toimintoja varten apuohjelmat, kuten "awk" ja "xargs", yhdistetään käymään läpi "/etc/shadow"-tiedosto ja soveltamaan vanhenemiskäytäntöjä kaikkiin tileihin.
Palveluiden osalta perussääntönä on poistaa käytöstä kaikki, jolla ei ole selkeää tarkoitusta tuotannossa . Jokaisen organisaation tulisi analysoida, mitkä daemonit ja palvelut ovat välttämättömiä palvelimen roolille. Vanhat ja turvattomat protokollat, kuten telnet, rsh, rlogin tai tietyt FTP-palvelimet, tulisi poistaa tai korvata salatuilla vaihtoehdoilla, kuten SSH tai SFTP. Jos palvelussa on tunnettuja haavoittuvuuksia, joihin ei ole saatavilla korjauspäivitystä, on usein parasta poistaa se käytöstä, kunnes päivitys on saatavilla.
Myös tiedostojärjestelmillä on rooli suojauksen koventamisessa. Linuxissa käytetään yleisesti Ext-variantteja (Ext2, Ext3, Ext4), joista Ext4 on ensisijainen vaihtoehto suorituskyvyn ja tietoturvaparannusten vuoksi . Muiden etujen ohella se sisältää eheystarkistuksia, paremman virheenkäsittelyn ja ominaisuuksia, jotka auttavat minimoimaan vioittumisesta tai virheellisestä käsittelystä aiheutuvia vahinkoja. Vaativissa ympäristöissä nämä ominaisuudet yhdistetään erillisiin osioihin /home, /var, /tmp jne., jolloin käytetään rajoittavia liitosasetuksia.
Verkkoturvallisuus, palomuuri ja päivitykset Linuxissa
Järjestelmän suojauksen kannalta olennainen osa on kaikki verkkoon liittyvä. Hyvin suojatussa Linux-ympäristössä kiinnitetään erityistä huomiota SSH-konfigurointiin, VPN-käyttöön, tunkeutumisen havaitsemisjärjestelmien toteutukseen ja palomuurisuojaukseen sekä isäntä- että verkkotasolla.
SSH :n tapauksessa on suositeltavaa priorisoida julkisten avainten käyttöä salasanoihin nähden, poistaa käytöstä suora pääkäyttäjän kirjautuminen, rajoittaa valtuutettujen käyttäjien määrää ja mahdollisuuksien mukaan muuttaa oletusporttia automaattisten skannausten aiheuttaman kohinan vähentämiseksi. Lisäksi käyttöoikeusluetteloita, kaksivaiheista todennusta ja työkaluja, kuten fail2ban, voidaan käyttää raa'an voiman häiriöitä näyttävien IP-osoitteiden estämiseen.
VPN-yhteydet mahdollistavat arkaluontoisen liikenteen kapseloinnin salattuihin tunneleihin. Teknologiat, kuten OpenVPN tai L2TP/IPSec, ovat yleisiä Linux-ympäristöissä, kun taas PPTP:tä, vaikka se onkin yhteensopiva, pidetään yleensä vähemmän turvallisena. Näiden yhteyksien hallintaa voidaan yksinkertaistaa graafisilla työkaluilla, kuten Network Managerilla, mutta perusperiaatteena on, että etähallintapalveluita tai kriittisiä sovelluksia ei pitäisi altistaa suoraan internetille, jos ne voidaan suojata VPN:n takana.
Tunkeutumisen havaitsemis- ja estojärjestelmät (IDS/IPS) täydentävät palomuuria. Vaihtoehtojen, kuten OSSEC:n, Tripwiren ja AIDE:n, avulla voit valvoa tiedostojen eheyttä, havaita epäilyttäviä muutoksia ja varoittaa hyökkäysmalleista. Työkaluja, kuten Wiresharkia, käytetään liikenteen analysointiin . Nämä järjestelmät yhdistetään lokitietokäytäntöihin, jotta saadaan yhtenäinen kuva palvelimen tapahtumista.
Palomuurien osalta Linuxin klassisia työkaluja ovat olleet iptables ja viime aikoina nftables tai käyttöliittymät, kuten UFW. Filosofia on aina sama: oletusarvoinen estomalli ("kaikki suljettu") ja vain vaadittujen porttien avaaminen erikseen (esimerkiksi 80/443 HTTP/HTTPS:lle ja hallintaportti tiukoissa ehdoissa). Jokaisella säännöllä on oltava selkeä syy, ja kehittyneemmissä ympäristöissä isäntätason palomuurit yhdistetään perimetrilaitteiden tai itse pilven hallintaan.
Toinen olennainen osa on ohjelmistopäivitykset . Ytimen ja pakettien pitäminen ajan tasalla käyttämällä paketinhallintaohjelmia, kuten apt, yum tai dnf, vähentää merkittävästi altistumista tunnetuille haavoittuvuuksille ja niiden laajalle levinneelle hyväksikäytölle. Tämä ei rajoitu käyttöjärjestelmään: myös komponentit, kuten ajurit, ulkoiset moduulit ja väliohjelmistot, vaativat säännöllisiä korjauksia. Joissakin tapauksissa on suositeltavaa vaatia allekirjoitettuja ajureita ja aina tarkistaa pakettien alkuperä rootkittien tai haitallisten binaarien pääsyn estämiseksi.
Lokien ja auditoinnin määrittäminen täydentää tietoturvasyklin. Syslogin tai journald-kirjauksen säätäminen olennaisten tapahtumien säilyttämiseksi, lokien lähettäminen keskuspalvelimelle ja auditoitavien toimintojen määrittäminen (käyttöoikeuksien muutokset, epäonnistuneet käyttöyritykset, kriittisten tiedostojen muutokset jne.) on avainasemassa tapahtumien havaitsemisessa ja tapahtumien rekonstruoinnissa. Palvelut, kuten "auditd", tai tietyt auditointipaketit eri jakeluissa auttavat tallentamaan arkaluonteisia järjestelmätoimintoja.
Ammattimaisen karkaisuprojektin vaiheet
Järjestelmien kovettaminen ei tarkoita skriptin suorittamista ja sen unohtamista. Vakavat projektit seuraavat useita tarkoin määriteltyjä vaiheita: suunnittelu, testaus, toteutus, todentaminen ja jatkuva valvonta. Minkä tahansa näistä vaiheista ohittaminen johtaa yleensä palvelun keskeytyksiin tai konfiguraatioihin, joihin kukaan ei uskalla koskea jälkikäteen.
Ensimmäinen vaihe on interventiosuunnittelu . Tämä sisältää laajuuden määrittelyn (mitkä järjestelmät, mitkä ympäristöt), omistajien ja sidosryhmien tunnistamisen, huoltovälien arvioinnin ja peruskonfiguraation suunnittelun kullekin komponenttityypille (verkkopalvelimet, sovellukset, tietokannat, sulautetut järjestelmät jne.). Se määrittää myös, mitä standardeja tai vertailuarvoja noudatetaan.
Seuraavaksi on tarpeen tunnistaa kriittiset komponentit ja palvelut . On tärkeää ymmärtää, mitkä järjestelmän toiminnot ovat välttämättömiä liiketoiminnalle ja mitkä voidaan poistaa käytöstä tai rajoittaa. Ilman tätä selkeyttä on helppo häiritä tuotantopalveluita soveltamalla liian aggressiivisia turvatoimenpiteitä, jotka näennäisesti "turvallisilta" estävät päivittäisen toiminnan.
Ennen merkittävien muutosten tekemistä on tehtävä täydelliset varmuuskopiot ja mahdollisuuksien mukaan kokoonpanon tilannevedokset. Näin voit palata aiempiin versioihin, jos muutokset aiheuttavat vakavia virheitä tai yhteensopimattomuuksia. Monet organisaatiot ohittavat tämän vaiheen kiireen vuoksi ja huomaavat myöhemmin, että huonosti toteutetun suojauksen manuaalinen palauttaminen on lähes mahdotonta.
Testausvaihe kontrolloiduissa ympäristöissä on yleensä monimutkaisin ja aikaa vievin. Se sisältää tuotantoverkon replikoinnin laboratorio- tai esituotantoympäristössä, suojauskäytäntöjen soveltamisen ja vaikutusten arvioinnin: mitkä toiminnot rikkoutuvat, mitkä säännöt aiheuttavat yhteensopimattomuuksia ja mitkä palvelut lakkaavat vastaamasta. Tämä iteraatio auttaa tarkentamaan käytäntöjä ennen niiden käyttöönottoa oikeissa järjestelmissä.
Kun käytännöt on hiottu, alkaa käyttöönotto- ja vaatimustenmukaisuusvaihe . Tässä vaiheessa skriptit, konfigurointityökalut ja automaatioratkaisut tulevat mukaan muutosten hallitusti ja johdonmukaisesti käyttöönottoon. Tämä vaihe on altis inhimillisille virheille, jos se tehdään manuaalisesti, minkä vuoksi skriptaus ja konfiguraationhallinta-alustat ovat tärkeitä.
Käyttöönoton jälkeen on pakollista arvioida koventamisen tuloksia toiminnallisilla testeillä (sen varmistamiseksi, että järjestelmä toimii edelleen tarkoitetulla tavalla) ja tietoturvatesteillä (haavoittuvuusskannaukset, porttitarkistukset, käytäntöjen varmennus jne.). Kaikki merkittävät poikkeamat dokumentoidaan ja käytäntöjä mukautetaan tuotannossa tehtyjen havaintojen perusteella.
Viimeinen osa on jatkuva valvonta . Verkot muuttuvat, palvelimia lisätään ja poistetaan, uusia sovelluksia asennetaan ja ihmiset muokkaavat asetuksia. Ilman järjestelmää, joka valvoo poikkeamia lähtötasosta (mitä on muutettu, kuka on muuttanut sitä ja milloin), tietoturvatilanne palautuu vähitellen alkuperäiseen tilaansa. Valvonnan tulisi sisältää myös hälytykset epäilyttävistä tai luvattomista muutoksista.
Kovettumistyypit: järjestelmä, sovellukset, verkko ja muut
Ympäristön vahvistamisesta keskusteltaessa on hyödyllistä erottaa toisistaan useita eri tasoja tai alueita , koska jokainen vaatii erityisiä hallintatoimia. Yleisimpiä ovat käyttöjärjestelmän, sovelluksen, verkon, tietokannan, web-palvelimen, verkon ja IoT-laitteiden, sulautettujen järjestelmien ja mobiililaitteiden suojaus.
Käyttöjärjestelmän suojauksen vahvistaminen koskee kaikkien muiden palveluiden toiminnan perustaa. Tähän sisältyy tarpeettomien ominaisuuksien, palomuurisääntöjen, tilien ja ryhmien hallinnan, tiedosto- ja hakemisto-oikeuksien, korjauspäivitysten, salasanakäytäntöjen ja auditoinnin poistaminen käytöstä. Se on ensimmäinen suojauksen taso, johon on puututtava Linuxissa, Windowsissa ja muissa käyttöjärjestelmissä.
Sovellusten koventaminen keskittyy siihen, miten näissä järjestelmissä käynnissä olevat tietyt ohjelmat konfiguroidaan ja päivitetään: tietokantapalvelimet, toiminnanohjausjärjestelmät (ERP), asiakkuudenhallintajärjestelmät (CRM), verkkosovellukset, toimistotyökalut jne. Se sisältää sisäisten tietoturvaparametrien, käyttöoikeuksien hallinnan, salauksen, rajapintojen altistumisen ja tiettyjen tietoturvatestien (esim. staattisen koodin analyysi tai sovellusten tunkeutumistestaus) tarkistamisen.
Verkon suojaus kattaa kaiken tietoliikenneinfrastruktuuriin liittyvän: palomuurit, verkon segmentoinnin, VLAN- tai SDN-tason pääsynhallinnan, tunkeutumisen havaitsemis- ja estojärjestelmät, reitityskäytännöt ja kehäsuojauksen. Tähän sisältyy esimerkiksi sen määrittäminen, mitkä aliverkot voivat kommunikoida keskenään, miten arkaluonteisiin järjestelmiin päästään käsiksi ja miten ulkoisia yhteyksiä hallitaan.
Tietokannan vahvistamisen tavoitteena on säilyttää tietojen luottamuksellisuus ja eheys. Yleisiä käytäntöjä ovat tietokantatilien oikeuksien vähentäminen, salaus säilytystilassa ja siirron aikana, ympäristöjen erottelu, oletusarvoisten suojausparametrien tarkistaminen, suojaus SQL-injektiolta ja tarkastuslokien käyttöönotto kriittisille kyselyille ja muutoksille.
Verkkopalvelimen suojaus on erikoistunut HTTP/HTTPS-protokollan ja siihen liittyvien verkkosovellusten suojaamiseen. Tämä sisältää palvelimen (Apache, Nginx, IIS jne.) konfiguroinnin, suojausotsikoiden asianmukaisen hallinnan, suojautumisen hyökkäyksiltä, kuten XSS tai CSRF, evästeiden ja istuntojen turvallisen hallinnan, virheilmoitusten tietojen rajoittamisen sekä tarpeettomien moduulien tai laajennusten poistamisen käytöstä.
Verkko- ja IoT-laitteet vaativat oman erityislähestymistapansa, joka alkaa oletusarvoisten tunnistetietojen muuttamisesta, käyttämättömien palveluiden ja porttien poistamisesta käytöstä, järjestelmänvalvojan pääsyn rajoittamisesta, laiteohjelmiston pitämisestä ajan tasalla ja IoT:n tapauksessa laitteiden verkossa toimimisen tiukasta rajoittamisesta. Monet viimeaikaiset ongelmat ovat saaneet alkunsa näennäisesti "pienistä", mutta alttiista laitteista, joilla on heikot kokoonpanot.
Sulautettujen järjestelmien osalta lähestymistapa on samankaltainen, mutta laajempi, ja se kattaa ajoneuvoihin, kodinkoneisiin tai teollisuuskoneisiin integroidut laitteet, jotka eivät ole aina yhteydessä internetiin. Tässä suojauksen tehostaminen keskittyy laiteohjelmiston hallintaan, fyysisten ja loogisten rajapintojen suojaamiseen sekä päivitysten huolelliseen hallintaan uusien haavoittuvuuksien välttämiseksi.
Lopuksi mobiilijärjestelmien (älypuhelimet, tabletit) suojaamiseen kuuluu tietoturvakäytäntöjen määrittäminen, tallennustilan salauksen käyttöönotto, sovellusten ja käyttöoikeuksien hallinta, etäpyyhintämekanismien aktivointi ja fyysisen pääsyn suojaaminen PIN-koodien, biometrian tai muiden menetelmien avulla. Näitä yhdistetään usein MDM/EMM-alustoihin, jotka mahdollistavat keskitetyn konfiguroinnin.
PowerShell, läpäisytestaus ja koventaminen Windows-ympäristöissä
Windows-ekosysteemissä PowerShellistä on tullut keskeinen työkalu sekä järjestelmänvalvojille että hyökkääjille. Tämä kieli, jota on käytetty jo Windows XP:stä lähtien, mahdollistaa hallinnollisten tehtävien automatisoinnin erittäin joustavasti : käyttöoikeuksien myöntämisen, palveluiden hallinnan, porttien avaamisen, käyttöoikeuksien laajentamisen, tehtävien ajoittamisen, salasanatiivisteiden purkamisen ja paljon muuta.
Kyberrikolliset ovat hyödyntäneet tätä voimaa ja sitä tosiasiaa, että PowerShell on natiivi työkalu skriptipohjaisten haittaohjelmien kehittämiseen , jotka toimivat muistissa ja jättävät vain vähän jälkiä levylle, mikä vaikeuttaa perinteisten virustorjuntaohjelmistojen havaitsemista. Viime vuosina PowerShelliä käyttävien uhkien määrä on kasvanut eksponentiaalisesti, ja lyhyinä aikoina ne ovat kasvaneet useita satoja prosentteja, tietoturvalaboratorioiden tutkimusten mukaan.
Ymmärtääkseen PowerShelliin perustuvia hyökkäystekniikoita puolustustiimit käyttävät penetraatiotestaustyökaluja ja -kehyksiä, kuten PowerShell Empire, PowerSploit ja Nishang. Nämä moduulit helpottavat tehtäviä, kuten virustorjuntaohjelmistojen ohittamista, oikeuksien laajentamista, siirtymistä muihin koneisiin, tunnistetietojen etsimistä, pysyvien yhteyksien muodostamista, komentosarjojen lisäämistä Office-asiakirjoihin, koodin lataamista muistiin ja suorituskäytäntöjen ohittamista.
Näiden hyökkäystekniikoiden ymmärtäminen on avainasemassa tehokkaiden lieventämistoimenpiteiden määrittämisessä. PowerShell-kohtaisia koventavia vastatoimenpiteitä ovat rajoitetun kielitilan käyttö , AppLockerin tai ohjelmistorajoituskäytäntöjen määrittäminen suoritettavien komentosarjojen rajoittamiseksi, komentosarjojen allekirjoittaminen, Just Enough Administration/Just In Time (JEA/JIT) -käytännön käyttö hallinnollisten tehtävien rajoittamiseksi, viestinnän salaus, tiukka tila ja sellaisten kontrollien käyttöönotto, jotka validoivat koodin ennen suorittamista.
Jotkin näistä tekniikoista vaativat edistynyttä tietämystä, mikä on johtanut sovellusten luomiseen, joissa on käyttäjäystävällisemmät käyttöliittymät , jotka integroivat sekä hyökkäys- että puolustusmoduuleja. Nämä projektit, jotka usein saavat alkunsa akateemisista yhteyksistä lopputyöprojekteina, pyrkivät tekemään penetraatiotestauksen ja koventamiskäsitteiden saavutettavuudesta vähemmän erikoistuneille käyttäjille tarjoamalla intuitiivisia valikoita, jotka opastavat heitä testien ja vastatoimien läpi Windows-ympäristöissä.
Työkalut koventamisen, konfiguroinnin ja vaatimustenmukaisuuden automatisointiin
Nykyaikaisten järjestelmien määrä ja monimutkaisuus tekevät manuaalisen suojauksen käytännössä mahdottomaksi. Tämä on johtanut useiden eri työkaluluokkien syntymiseen, jotka on suunniteltu automatisoimaan tietoturvakäytäntöjen testausta, käyttöönottoa ja todentamista : suojauksen automaatioratkaisut, kyberturvallisuusohjelmistot , konfiguraationhallinta-alustat, vaatimustenmukaisuusskannerit ja erikoistuneet avoimen lähdekoodin projektit.
Palvelinten suojauksen automaatiotyökalut kattavat koko elinkaaren: testauksen, käyttöönoton ja valvonnan. Ne analysoivat konfiguraatiomuutosten vaikutusta tuotantopalveluihin, auttavat mukauttamaan käytäntöjä käyttökatkosten estämiseksi, ottavat sääntöjä keskitetysti käyttöön ja valvovat verkkoa havaitakseen poikkeamat lähtötasosta. Esimerkkejä kaupallisista ratkaisuista tällä alueella ovat CalCom Server Hardening Solution (CHS) ja CalCom Security Solution for IIS, jotka on suunnattu sekä palvelimille että tietyille väliohjelmistoille.
NIST:n määrittelemät tietoturvakonfiguraation hallintatyökalut (SCM) mahdollistavat tietojärjestelmien halutun tilan hallinnan, muutosten toistuvan soveltamisen, konfiguraatioiden versioinnin, muokkausten seuraamisen ja raporttien luomisen nykyisestä tilasta. Alustat, kuten Ansible, Chef, Puppet ja Microsoft System Center Configuration Manager, eivät rajoitu koventamiseen; ne sopivat ihanteellisesti SCM:n toteuttamiseen koodina ja sen integrointiin DevOps- tai DevSecOps-työnkulkuihin.
Vaatimustenmukaisuusskannerit keskittyvät arvioimaan, täyttääkö järjestelmä tietyn kehyksen (CIS, DISA STIG, sisäiset ohjeet jne.). Ne luovat raportteja, jotka osoittavat, mitkä kontrollit on toteutettu oikein ja missä on puutteita. Työkalut, kuten Tripwire Configuration Manager, Qualys, NNT SecureOps ja CIS-CAT Pro, mahdollistavat käyttäjien visualisoida useiden resurssien tietoturvatilanteen ja priorisoida korjauksia niiden vaikutuksen perusteella.
Lopuksi on olemassa erittäin rikas avoimen lähdekoodin projektien ekosysteemi, joka keskittyy haavoittuvuuksien karkaisemiseen , mukaan lukien automaatioalustat, kuten Salt, Windows-ympäristöjen yhteensopivuuspaketit (Microsoft Security Compliance Toolkit), erityiset auditointiskriptit (Hardening Auditor) ja apuohjelmat, kuten Windows Exploit Suggester NG, jolla tunnistetaan Windows-järjestelmien haavoittuvuuksia järjestelmätietojen perusteella.
Järjestelmän karkaiseminen: lähtötasot, automaatio ja auditointi
Tiettyjen työkalujen lisäksi organisaatiot, jotka suhtautuvat palvelimien suojauksen turvaamiseen vakavasti, kohtelevat sitä elävänä järjestelmänä, eivät kertaluonteisena tarkistuslistana . Tämä sisältää lähtötasojen määrittelyn kullekin palvelinroolille, niiden soveltamisen automatisoinnin, vaatimustenmukaisuuden varmistamisen ja operatiivisista syistä tarvittavien poikkeamien tietoisen hallinnan.
Käytännössä on yleistä aloittaa luomalla erityiset perustasot kullekin resurssityypille: Linux-verkkopalvelimille, sovellussolmuille, tietokannoille, Windows-toimialueen ohjaimille, käyttäjätietokoneille, verkkolaitteille jne. Jokainen perustaso sisältää järjestelmäparametrit, palomuurisäännöt, palvelumääritykset, tilikäytännöt, lokitiedot ja muut kyseiseen rooliin räätälöidyt toimenpiteet.
Sieltä infrastruktuuri-koodina (IaC) -työkaluja ja konfiguraationhallintatyökaluja (kuten Ansible tai PowerShell DSC) käytetään näiden perusviivojen kääntämiseen versioitavaksi koodiksi Git-repositorioissa. Muutokset tarkistetaan versionhallintaprosessien avulla, niille tehdään lint-testaus ja automaattinen testaus, ja ne otetaan käyttöön käyttämällä prosesseja, jotka jättävät todisteita siitä, mitä konfiguraatioversiota on käytetty kussakin ympäristössä.
Jokaisen käyttöönoton jälkeen ajetaan auditointityökaluja , kuten Lynis tai OpenSCAP Linuxissa tai Windows-kohtaisia vaatimustenmukaisuusskannereita, ja raportit ladataan itse CI/CD-alustalle artefaktteina. Tämä dokumentoi määriteltyjen käytäntöjen noudattamisen ja helpottaa ulkoisia auditointeja tai sisäisiä tietoturvatarkastuksia.
Prosessin täydentämiseksi monet yritykset käyttävät valvonta- ja tunnistusalustoja , kuten Wazuh, jotka yhdistävät lokitietojen analysoinnin, tiedostojen eheystarkistukset, tapahtumien korrelaation ja reaaliaikaiset hälytykset. Näin ne tietävät, milloin uudet palvelut alkavat kuunnella odottamattomia portteja, arkaluonteisten tiedostojen käyttöoikeudet muuttuvat tai poikkeavia käyttötapoja esiintyy.
Koko prosessin ajan koventaminen on linjassa standardien, kuten ISO/IEC 27002 , kanssa , jotka sisältävät konfiguraation hallinnan, tarpeettomien ominaisuuksien poistamisen, teknisten haavoittuvuuksien hallinnan ja käyttäjien todennuksen. Tavoitteena ei ole ainoastaan "turvallisempi" oleminen, vaan myös kyky osoittaa objektiivisesti, että organisaatio hallitsee järjestelmiään tunnustettujen parhaiden käytäntöjen mukaisesti.
Järjestelmän suojauksen parantaminen, jota tukevat skriptaus ja automaatio, on jatkuva prosessi, joka yhdistää tietoturvaperiaatteet, todellisten uhkien tuntemuksen, asianmukaiset työkalut ja paljon maalaisjärkeä. Hyökkäyspinnan pienentäminen, suoritettavien toimintojen ja niihin pääsyn huolellinen hallinta, jokaisen muutoksen vaikutuksen testaaminen ja konfiguraation seuranta ajan kuluessa on tehokkain tapa estää kätevän mutta löyhän konfiguraation muuttuminen vakavan vaaratilanteen portiksi.
