- Sacietēšana samazina uzbrukuma virsmu, piemērojot tādus principus kā minimāla iedarbība, minimālas privilēģijas un aizsardzība padziļināti.
- Linux sistēmā aizsardzības nodrošināšana balstās uz bash skriptiem, lai automatizētu ugunsmūri, lietotājus, pakalpojumus, atļaujas, atjauninājumus un auditēšanu.
- PowerShell un automatizācijas, konfigurācijas un atbilstības rīki ļauj kontrolēt un pārbaudīt aizsardzības pastiprināšanu Windows vidēs.
- Efektīva sacietēšanas programma definē bāzes līnijas, automatizē to izvietošanu un nepārtraukti uzrauga novirzes.
Sistēmas drošības uzlabošana vairs nav izvēles iespēja: jebkurš serveris, kas ir pieejams internetam, neatkarīgi no tā, vai tas atrodas tradicionālā datu centrā vai mākonī , dažu minūšu laikā kļūst par mērķi. Drošības uzlabošana un skriptēšana ir cieši saistītas : bez automatizācijas ir gandrīz neiespējami laika gaitā uzturēt vienādu drošības līmeni visās sistēmās.
Runājot par "sistēmas aizsardzības skriptēšanu", mēs domājam skriptu (bash, PowerShell, automatizācijas rīku utt.) apvienošanu ar labu aizsardzības praksi, lai samazinātu uzbrukuma virsmu. Runa nav par ielāpu nekritisku lietošanu, bet gan par skaidras metodoloģijas ievērošanu, paļaujoties uz standartiem (CIS, DISA STIG, ISO 27002 utt.), un šo lēmumu pārvēršanu atkārtojamos skriptos, kurus varam lietot, testēt un uzraudzīt.
Kas ir sistēmas sacietēšana un kāpēc tā ir tik svarīga?
Kiberdrošības pasaulē termini “hardening”, “bastioning” un “strengthening” attiecas uz visām darbībām, kuru mērķis ir samazināt uzbrukumu vektorus operētājsistēmās, lietojumprogrammās, tīklos, datubāzēs vai ierīcēs. Ražotāji bieži piegādā savus produktus “atvērtā veidā”, lai viss darbotos uzreiz pēc izlaišanas, taču tas nozīmē nevajadzīgu pakalpojumu darbību, vājas konfigurācijas un opcijas, kas prioritizē ērtības, nevis drošību.
Pastiprinātas aizsardzības mērķis ir panākt, lai katra sistēma tiktu novesta stāvoklī, kurā ir iespējotas tikai stingri nepieciešamās funkcijas , ar atbilstošu piekļuves kontroli, ierobežotiem pakalpojumiem, šifrēšanu, ja piemērojams, un uzraudzību, lai atklātu neatļautas izmaiņas. Katram komponentam (serverim, datubāzei, lietu interneta ierīcei, mobilajai ierīcei utt.) ir nepieciešama sava īpaša pieeja un politikas, pamatojoties uz tā lomu, vidi (ražošanas, pirmsražošanas, laboratorijas), versiju un kritiskumu.
Pēdējos gados datu aizsardzības pastiprināšana ir kļuvusi par oficiālu prasību visu veidu noteikumos un atbilstības sistēmās . Standarti un vadlīnijas, piemēram, CIS Benchmarks vai DISA STIG, sniedz detalizētus ieteikumus konkrētām sistēmām. Organizācijām, kas vēlas ievērot ISO 27001, ENS, PCI-DSS vai citas līdzīgas shēmas, ir jādokumentē un jāievieš konsekventas datu aizsardzības pastiprināšanas politikas, jāpārskata tās un jāpierāda to nepārtrauktā efektivitāte laika gaitā.
Papildus teorijai, labai aizsardzības pakāpei ir tieša ietekme uz reāliem incidentiem: tā samazina atvērto durvju skaitu , sarežģī uzbrucēju sānu pārvietošanos, ierobežo privilēģiju eskalāciju un, pats galvenais, ievērojami apgrūtina vienreizējas neveiksmes pārvēršanos nopietnā pārkāpumā.
Sistēmu sacietēšanas galvenie principi
Katrs nopietns aizsardzības projekts balstās uz dažiem labi zināmiem principiem, kas pēc tam tiek pārvērsti politikās, skriptos un tehniskajās kontrolēs. Četri visizplatītākie pīlāri ir minimāla informācijas atklāšana, padziļināta aizsardzība, vismazākās privilēģijas un nulles uzticēšanās pieeja.
Minimālās iedarbības princips paredz atstāt redzamas tikai svarīgākās komponentes, pakalpojumus un pieslēgvietas. Jebkura funkcionalitāte, kas netiek izmantota vai nav būtiska, ir jāatspējo vai vismaz jāierobežo līdz labi kontrolētiem iekšējiem tīkliem. Katrs aktīvs pakalpojums ir potenciāls ielaušanās vektors, tāpēc pirmais solis aizsardzības nostiprināšanā parasti ir inventarizācija un nevajadzīgā izslēgšana.
Padziļināta aizsardzība piedāvā daudzslāņu drošības pieeju: tīkla ugunsmūrus, operētājsistēmas piekļuves kontroli, šifrēšanu gan pārsūtīšanas laikā, gan miera stāvoklī, integritātes uzraudzību, izmaiņu auditu utt. Ideja ir tāda, ka pat ja viens slānis neizdodas vai tiek apdraudēts, pastāv citi slāņi, lai palēninātu vai kavētu uzbrucēja progresu un mazinātu ietekmi.
Mazāko privilēģiju princips nosaka, ka lietotājiem, procesiem un pakalpojumiem jābūt tikai tām atļaujām, kas ir absolūti nepieciešamas to funkciju veikšanai. Tas attiecas gan uz cilvēku kontiem, gan pakalpojumu kontiem, sistēmas dēmoniem, tīmekļa lietojumprogrammām un automatizētiem skriptiem. Privilēģiju samazināšana padara neefektīvas daudzas eskalācijas metodes, kas balstās uz pārmērīgām atļaujām vai nepietiekamām konfigurācijām.
Visbeidzot, nulles uzticēšanās pieeja atmet ideju, ka kaut kas ir uzticams tikai tāpēc, ka tas atrodas “tīkla iekšpusē” vai “aiz ugunsmūra”. Katram lietotājam, ierīcei un pakalpojumam ir jābūt autentificētam, autorizētam un jāreģistrē tā darbība, ierobežojot piekļuvi pēc konteksta (izcelsmes, laika, darbības veida) un izsekojot, kas ko dara jebkurā brīdī.
Praktiska sacietēšana Linux sistēmās ar bash skriptiem
Linux ir visuresošs serveros, konteineros un daudzās lietu interneta platformās (skatiet labākās Linux distribūcijas serveriem ), tāpēc ir loģiski, ka liela daļa aizsardzības uzlabošanas projektu koncentrējas uz šo vidi. Aizsardzības automatizācija ar bash skriptiem ir izplatīta prakse, ja nav atļauts izmantot tādus rīkus kā Ansible, Puppet vai līdzīgus vai ja ir nepieciešams ātrs pirmais aizsardzības līmenis.
Tipiskā scenārijā jūs sākat ar nesen instalētu serveri (vai nu mākonī, vai lokāli) un izstrādājat skriptu kopu, kas konfigurē visu, sākot no ugunsmūra un paroļu politikām līdz pakalpojumu atspējošanai un drošības pakotņu instalēšanai. Bieži sastopams kontrolsaraksts ietver tādus uzdevumus kā drošas SSH izmantošana, lietotāja izveide ar sudo, pamata ugunsmūra iespējošana, fail2ban izvietošana, SELinux vai AppArmor aktivizēšana, kodola nostiprināšana un visu atjaunināšana.
Starp klasiskajiem Linux drošības pasākumiem viens no pirmajiem ir sistēmas sāknēšanas procesa nodrošināšana . BIOS vai UEFI iestatījumos parasti ieteicams atspējot sāknēšanu no ārējām ierīcēm (USB diskdziņiem, ārējiem cietajiem diskiem utt.) un bloķēt sāknēšanas ierīces maiņu bez akreditācijas datiem. Operētājsistēmas pusē gandrīz obligāti pasākumi ir sāknēšanas pārvaldnieka (piemēram, GRUB) aizsardzība ar paroli, drošās sāknēšanas iespējošana un tiešas pieteikšanās kā root lietotāja novēršana.
Vēl viens svarīgs elements ir lietotāju un grupu pārvaldība . Ir ļoti svarīgi definēt konsekventas atļaujas failiem un direktorijiem, īpaši sistēmas failiem, kodola konfigurācijām un sensitīviem binārajiem failiem. Tiem parasti ir ļoti ierobežotas atļaujas citiem lietotājiem, atļaujot tikai to, kas ir absolūti nepieciešams sistēmas darbībai. Trešajām pusēm vajadzētu ierobežot arī piekļuvi lietotāju personīgajiem failiem, pielāgojot noklusējuma umask failos, piemēram, "/etc/bash.bashrc" vai "/etc/profile", lai novērstu jaunu failu izveidi ar pārāk plašām atļaujām.
Šajā kontekstā obligātu piekļuves kontroles politiku izveidei, kas pārsniedz tradicionālās Unix atļaujas, ieteicams izmantot tādus rīkus kā SELinux vai AppArmor . Šīs tehnoloģijas ļauj definēt, kādas darbības katrs process var veikt, pat ja tas ir ticis apdraudēts, ievērojami samazinot iespējamo kaitējumu, ko rada ļaunprātīgas programmatūras izmantošana.
Piekļuves konfigurācija ir vēl viens svarīgs elements. Linux sistēmā ir ierasta prakse ieviest periodiskas paroļu maiņas gan atsevišķiem lietotājiem, gan visai sistēmai, izmantojot tādas komandas kā "passwd" vai "change". Varat definēt prasības spēcīgām parolēm , paroles derīguma termiņa beigām un veco paroļu atkārtotai izmantošanai, kā arī piespiest lietotājus tās mainīt nākamajā pieteikšanās reizē. Globālām darbībām tādas utilītas kā "awk" un "xargs" tiek apvienotas, lai atkārtoti apstrādātu failu "/etc/shadow" un visiem kontiem piemērotu derīguma termiņa beigu politiku.
Attiecībā uz pakalpojumiem pamatnoteikums ir atspējot visu, kam nav skaidra mērķa ražošanā . Katrai organizācijai jāanalizē, kuri dēmoni un pakalpojumi ir būtiski servera lomai. Veci un nedroši protokoli, piemēram, telnet, rsh, rlogin vai noteikti FTP serveri, ir jānoņem vai jāaizstāj ar šifrētām alternatīvām, piemēram, SSH vai SFTP. Ja pakalpojumam ir zināmas ievainojamības bez pieejama ielāpa, bieži vien vislabāk ir to atspējot, līdz ir pieejams atjauninājums.
Arī failu sistēmām ir nozīme aizsardzības nostiprināšanā. Linux sistēmā parasti tiek izmantoti Ext varianti (Ext2, Ext3, Ext4), un Ext4 ir vēlamā opcija, pateicoties tā veiktspējas un drošības uzlabojumiem . Cita starpā tas ietver integritātes pārbaudes, labāku kļūdu apstrādi un iespējas, kas palīdz samazināt bojājumus, kas rodas bojājumu vai nepareizas manipulācijas dēļ. Prasīgās vidēs šīs funkcijas tiek apvienotas ar atsevišķām nodalījumiem /home, /var, /tmp utt., piemērojot ierobežojošas pieslēgšanas opcijas.
Tīkla drošība, ugunsmūris un atjauninājumi operētājsistēmā Linux
Jebkuras sistēmas aizsardzības kritiski svarīga sastāvdaļa ir viss, kas saistīts ar tīklu. Labi aizsargātā Linux vidē īpaša uzmanība tiek pievērsta SSH konfigurācijai, VPN lietošanai, ielaušanās atklāšanas sistēmu ieviešanai un ugunsmūra aizsardzībai gan resursdatora, gan tīkla līmenī.
SSH gadījumā ieteicams publisko atslēgu izmantošanai dot priekšroku, nevis parolēm, atspējot tiešu root pieteikšanos, ierobežot autorizēto lietotāju skaitu un, ja iespējams, mainīt noklusējuma portu, lai samazinātu automātiskās skenēšanas radīto troksni. Turklāt piekļuves kontroles sarakstus, divfaktoru autentifikāciju un tādus rīkus kā fail2ban var izmantot, lai bloķētu IP adreses, kas uzrāda brutāla spēka shēmas.
VPN ļauj iekapsulēt sensitīvu datplūsmu šifrētos tuneļos. Tādas tehnoloģijas kā OpenVPN vai L2TP/IPSec ir izplatītas Linux vidēs, savukārt PPTP, lai gan ir saderīgs, parasti tiek uzskatīts par mazāk drošu. Šo savienojumu pārvaldību var vienkāršot ar grafiskiem rīkiem, piemēram, Network Manager, taču pamatprincips ir tāds, ka attālās administrēšanas pakalpojumiem vai kritiskām lietojumprogrammām nevajadzētu būt tieši pakļautām internetam , ja tās var aizsargāt ar VPN.
Ielaušanās atklāšanas un novēršanas sistēmas (IDS/IPS) papildina ugunsmūri. Tādas iespējas kā OSSEC, Tripwire un AIDE ļauj uzraudzīt failu integritāti, atklāt aizdomīgas izmaiņas un brīdināt par uzbrukumu modeļiem. Datplūsmas analīzei tiek izmantoti tādi rīki kā Wireshark . Šīs sistēmas tiek apvienotas ar reģistrēšanas politikām, lai nodrošinātu konsekventu priekšstatu par to, kas notiek serverī.
Runājot par ugunsmūriem , klasiskie rīki operētājsistēmā Linux ir bijuši iptables un nesenāk nftables vai front-end sistēmas, piemēram, UFW. Filozofija vienmēr ir viena un tā pati: noklusējuma atteikuma modelis ("viss slēgts") un tikai nepieciešamo portu tieša atvēršana (piemēram, 80/443 HTTP/HTTPS un pārvaldības ports stingri noteiktos apstākļos). Katram noteikumam ir jābūt skaidram iemeslam, un sarežģītākās vidēs resursdatora līmeņa ugunsmūri tiek apvienoti ar kontroli perimetra ierīcēs vai pašā mākonī.
Vēl viena būtiska sastāvdaļa ir programmatūras atjauninājumi . Kodola un pakotņu atjaunināšana, izmantojot pakotņu pārvaldniekus, piemēram, apt, yum vai dnf, ievērojami samazina zināmu ievainojamību un plaša mēroga izmantošanas risku. Tas neaprobežojas tikai ar operētājsistēmu: arī tādiem komponentiem kā draiveri, ārējie moduļi un starpprogrammatūra ir nepieciešami regulāri ielāpi. Dažos gadījumos ieteicams pieprasīt parakstītus draiverus un vienmēr pārbaudīt pakotņu izcelsmi, lai novērstu rootkit vai ļaunprātīgu bināro failu ieviešanu.
Žurnālu un auditēšanas konfigurēšana noslēdz drošības ciklu. Syslog vai journald pielāgošana, lai saglabātu attiecīgos notikumus, žurnālu nosūtīšana uz centrālo serveri un auditējamo darbību definēšana (atļauju izmaiņas, neveiksmīgi piekļuves mēģinājumi, kritiski svarīgu failu modifikācijas utt.) ir būtiska, lai atklātu incidentus un rekonstruētu notikušo. Pakalpojumi, piemēram, "auditd" vai īpašas auditēšanas pakotnes dažādos izplatījumos, palīdz reģistrēt sensitīvas sistēmas darbības.
Profesionālās sacietēšanas projekta posmi
Sistēmu nocietināšana nenozīmē palaist skriptu un aizmirst par to. Nopietni projekti notiek vairākās precīzi definētās fāzēs: plānošana, testēšana, ieviešana, verifikācija un nepārtraukta uzraudzība. Jebkuras no šīm fāzēm izlaišana parasti noved pie pakalpojumu pārtraukumiem vai konfigurācijām, kurām neviens neuzdrošinās pēc tam pieskarties.
Pirmais posms ir intervences plānošana . Tas ietver darbības jomas noteikšanu (sistēmas, vides), īpašnieku un ieinteresēto personu identificēšanu, apkopes logu novērtēšanu un katra komponenta veida (tīmekļa serveri, lietojumprogrammas, datubāzes, iegultās sistēmas utt.) bāzes konfigurācijas izstrādi. Tas arī nosaka, kuri standarti vai etaloni tiks ievēroti.
Tālāk ir jāidentificē kritiski svarīgi komponenti un pakalpojumi . Ir svarīgi saprast, kuras sistēmas funkcijas ir neaizstājamas uzņēmumam un kuras var atspējot vai ierobežot. Bez šīs skaidrības ir viegli traucēt ražošanas pakalpojumus, piemērojot pārāk agresīvus drošības pasākumus, kas, lai gan šķietami "droši", novērš ikdienas darbību.
Pirms būtisku izmaiņu veikšanas obligāts solis ir pilnīgu dublējumu veikšana un, ja iespējams, konfigurācijas momentuzņēmumu izveide. Tas ļauj atgriezties pie iepriekšējām versijām, ja kādas izmaiņas rada nopietnas kļūdas vai nesaderību. Daudzas organizācijas steigas dēļ izlaiž šo soli un pēc tam atklāj, ka slikti ieviestas aizsardzības manuāla atjaunošana ir gandrīz neiespējama.
Testēšanas fāze kontrolētās vidēs parasti ir vissarežģītākā un laikietilpīgākā. Tā ietver ražošanas tīkla replikāciju laboratorijas vai pirmsražošanas vidē, drošības politikas piemērošanu un ietekmes novērtēšanu: kas nedarbojas, kuri noteikumi rada nesaderību un kuri pakalpojumi pārstāj reaģēt. Šī iterācija palīdz precizēt politikas pirms to ieviešanas reālās sistēmās.
Kad politikas ir pilnveidotas, sākas ieviešanas un atbilstības fāze . Šeit tiek izmantoti skripti, konfigurācijas rīki un automatizācijas risinājumi, lai ieviestu izmaiņas kontrolētā un konsekventā veidā. Šis posms ir pakļauts cilvēciskām kļūdām, ja tas tiek veikts manuāli, tāpēc ir svarīgas skriptēšanas un konfigurācijas pārvaldības platformas.
Pēc ieviešanas obligāti jānovērtē aizsardzības rezultāti, veicot funkcionālo testēšanu (lai pārliecinātos, ka sistēma turpina darboties, kā paredzēts) un drošības testēšanu (ievainojamību skenēšana, portu pārbaudes, politikas verifikācija utt.). Visas būtiskās novirzes tiek dokumentētas, un politikas tiek pielāgotas, pamatojoties uz novērojumiem ražošanas vidē.
Pēdējā sastāvdaļa ir nepārtraukta uzraudzība . Tīkli mainās, serveri tiek pievienoti un noņemti, tiek instalētas jaunas lietojumprogrammas, un cilvēki modificē konfigurācijas. Bez sistēmas, kas uzraudzītu novirzi no sākotnējā stāvokļa (kas ir mainīts, kas to ir mainījis un kad), drošības stāvoklis pakāpeniski atgriežas sākotnējā stāvoklī. Uzraudzībā jāiekļauj arī brīdinājumi par aizdomīgām vai neatļautām izmaiņām.
Sacietēšanas veidi: sistēma, lietojumprogrammas, tīkls un citi
Apspriežot vides nostiprināšanu, ir lietderīgi nošķirt vairākus dažādus slāņus vai zonas , jo katram no tiem ir nepieciešama īpaša kontrole. Visizplatītākie ir operētājsistēmas nostiprināšana, lietojumprogrammu nostiprināšana, tīkla nostiprināšana, datubāzes nostiprināšana, tīmekļa servera nostiprināšana, tīkla un lietu interneta ierīču nostiprināšana, iegulto sistēmu nostiprināšana un mobilo ierīču nostiprināšana.
Operētājsistēmas aizsardzības līmeņa palielināšana ir vērsta uz pamatu, uz kura darbojas visi pārējie pakalpojumi. Tas ietver nevajadzīgu funkciju, ugunsmūra noteikumu, kontu un grupu pārvaldības, failu un direktoriju atļauju, ielāpu, paroļu politikas un auditēšanas atspējošanu. Tas ir pirmais aizsardzības līmenis, kas jārisina Linux, Windows un citās operētājsistēmās.
Lietojumprogrammu aizsardzības nostiprināšana koncentrējas uz to, kā tiek konfigurētas un atjauninātas konkrētās programmas, kas darbojas šajās sistēmās: datubāzes serveri, ERP, CRM, tīmekļa lietojumprogrammas, biroja rīki utt. Tā ietver iekšējo drošības parametru, piekļuves kontroles, šifrēšanas, saskarnes iedarbības un īpašu drošības testu (piemēram, statiskās koda analīzes vai lietojumprogrammu iespiešanās testēšanas) pārskatīšanu.
Tīkla aizsardzības nodrošināšana ietver visu, kas saistīts ar komunikāciju infrastruktūru: ugunsmūrus, tīkla segmentāciju, piekļuves kontroli VLAN vai SDN līmenī, ielaušanās atklāšanas un novēršanas sistēmas, maršrutēšanas politikas un perimetra aizsardzību. Tas ietver, piemēram, to, kuri apakštīkli var sazināties savā starpā, kā tiek piekļūts sensitīvām sistēmām un kā tiek pārvaldīti ārējie savienojumi.
Datu bāzes aizsardzības mērķis ir saglabāt datu konfidencialitāti un integritāti. Ierastās prakses ietver privilēģiju samazināšanu datu bāzes kontos, šifrēšanu miera stāvoklī un pārsūtīšanas laikā, vides atdalīšanu, noklusējuma drošības parametru pārskatīšanu, aizsardzību pret SQL injekciju un audita žurnālu iespējošanu kritiskiem vaicājumiem un izmaiņām.
Tīmekļa servera aizsardzības nodrošināšana specializējas HTTP/HTTPS un saistīto tīmekļa lietojumprogrammu aizsardzībā. Tas ietver servera (Apache, Nginx, IIS utt.) konfigurēšanu, drošības galvenes pareizu pārvaldību, aizsardzību pret uzbrukumiem, piemēram, XSS vai CSRF, sīkfailu un sesiju drošu pārvaldību, informācijas ierobežošanu kļūdu ziņojumos un nevajadzīgu moduļu vai paplašinājumu atspējošanu.
Tīkla un lietu interneta (IoT) ierīcēm ir nepieciešama sava īpaša pieeja, sākot ar noklusējuma akreditācijas datu maiņu, neizmantotu pakalpojumu un portu atspējošanu, administratora piekļuves ierobežošanu, programmaparatūras atjaunināšanu un, lietu interneta gadījumā, stingru katras ierīces darbību kontroli tīklā. Daudzi nesenie incidenti ir radušies šķietami "nelielu", bet neaizsargātu iekārtu ar vāju konfigurāciju dēļ.
Attiecībā uz iegultajām sistēmām pieeja ir līdzīga, bet plašāka, aptverot ierīces, kas integrētas transportlīdzekļos, sadzīves tehnikā vai rūpnieciskajās iekārtās, kuras ne vienmēr ir savienotas ar internetu. Šeit aizsardzības pastiprināšana koncentrējas uz programmaparatūras kontroli, fizisko un loģisko saskarņu aizsardzību un rūpīgu atjauninājumu pārvaldību, lai izvairītos no jaunu ievainojamību ieviešanas.
Visbeidzot, mobilo sistēmu (viedtālruņu, planšetdatoru) drošības uzlabošana ietver drošības politiku definēšanu, krātuves šifrēšanas iespējošanu, lietojumprogrammu un atļauju pārvaldību, attālās dzēšanas mehānismu aktivizēšanu un fiziskās piekļuves aizsardzību, izmantojot PIN kodus, biometriju vai citas metodes. Šīs metodes bieži tiek apvienotas ar MDM/EMM platformām, kas ļauj veikt centralizētu konfigurāciju.
PowerShell, iespiešanās testēšana un sacietēšana Windows vidēs
Windows ekosistēmā PowerShell ir kļuvis par galveno rīku gan administratoriem, gan uzbrucējiem. Šī valoda, kas integrēta jau kopš Windows XP versijām, ļauj automatizēt administratīvos uzdevumus ar milzīgu elastību : atļauju piešķiršanu, pakalpojumu pārvaldību, portu atvēršanu, privilēģiju eskalāciju, uzdevumu plānošanu, paroļu jaucējkodu iegūšanu un daudz ko citu.
Kibernoziedznieki ir izmantojuši šo iespēju un faktu, ka PowerShell ir vietējais rīks, lai izstrādātu uz skriptiem balstītu ļaunprogrammatūru, kas darbojas atmiņā un atstāj maz pēdu diskā, tādējādi sarežģījot atklāšanu ar tradicionālo pretvīrusu programmatūru. Pēdējos gados, saskaņā ar drošības laboratorijas pētījumiem, ir vērojams eksponenciāls draudu pieaugums, izmantojot PowerShell, īsos laika periodos palielinoties par vairākiem simtiem procentu.
Lai izprastu uzbrukuma metodes, kas balstās uz PowerShell, aizsardzības komandas izmanto iespiešanās testēšanas rīkus un ietvarus, piemēram, PowerShell Empire, PowerSploit un Nishang. Šie moduļi atvieglo tādus uzdevumus kā pretvīrusu programmatūras apiešana, privilēģiju eskalācija, pāreja uz citām iekārtām, akreditācijas datu meklēšana, pastāvīgu savienojumu izveide, skriptu ievadīšana Office dokumentos, koda ielāde atmiņā un izpildes politiku apiešana.
Šo uzbrukuma metožu izpratne ir būtiska, lai definētu efektīvus mazināšanas pasākumus. Starp PowerShell specifiskajiem aizsardzības pasākumiem ir ierobežotā valodas režīma izmantošana , AppLocker vai programmatūras ierobežojumu politikas konfigurācija, lai ierobežotu izpildāmo skriptu skaitu, skriptu parakstīšana, Just Enough Administration/Just In Time (JEA/JIT) izmantošana administratīvo uzdevumu ierobežošanai, saziņas šifrēšana, stingrais režīms un tādu vadības līdzekļu ieviešana, kas validē kodu pirms izpildes.
Dažām no šīm metodēm ir nepieciešamas padziļinātas zināšanas, kas ir novedis pie tādu lietojumprogrammu izveides, kurām ir lietotājam draudzīgākas saskarnes , kas integrē gan uzbrukuma, gan aizsardzības moduļus. Šie projekti, kas bieži vien radušies akadēmiskā kontekstā kā noslēguma studiju projekti, ir vērsti uz to, lai padarītu iekļūšanas testēšanas un nostiprināšanas koncepcijas pieejamākas mazāk specializētiem lietotājiem, piedāvājot intuitīvas izvēlnes, kas vada viņus testu un pretpasākumu veikšanā Windows vidē.
Rīki sacietēšanas, konfigurācijas un atbilstības automatizēšanai
Mūsdienu sistēmu apjoms un sarežģītība padara manuālu aizsardzības pastiprināšanu praktiski neiespējamu. Tas ir novedis pie vairāku rīku kategoriju parādīšanās, kas paredzētas drošības politiku testēšanas, ieviešanas un verifikācijas automatizēšanai : aizsardzības automatizācijas risinājumi, kiberdrošības programmatūra , konfigurācijas pārvaldības platformas, atbilstības skeneri un specializēti atvērtā pirmkoda projekti.
Serveru drošības stiprināšanas automatizācijas rīki aptver visu dzīves ciklu: testēšanu, ieviešanu un uzraudzību. Tie analizē konfigurācijas izmaiņu ietekmi uz ražošanas pakalpojumiem, palīdz pielāgot politikas, lai novērstu pārtraukumus, centralizēti izvietot noteikumus un uzraudzīt tīklu, lai atklātu novirzes no bāzes līnijas. Šīs jomas komerciālo risinājumu piemēri ir CalCom Server Hardening Solution (CHS) un CalCom Security Solution for IIS, kas ir paredzēti gan serveriem, gan specifiskai starpprogrammatūrai.
Drošības konfigurācijas pārvaldības (SCM) rīki , kā definēts NIST, ļauj kontrolēt vēlamo informācijas sistēmu stāvokli, atkārtoti lietot izmaiņas, versiju konfigurācijas, izsekot, kas ko modificēja, un ģenerēt pārskatus par pašreizējo stāvokli. Tādas platformas kā Ansible, Chef, Puppet un Microsoft System Center Configuration Manager neaprobežojas tikai ar sacietēšanu; tās ir ideāli piemērotas SCM ieviešanai kā kodam, integrējot to DevOps vai DevSecOps darbplūsmās.
Atbilstības skeneri koncentrējas uz to, lai novērtētu, vai sistēma atbilst konkrētam ietvaram (CIS, DISA STIG, iekšējām vadlīnijām utt.). Tie ģenerē pārskatus, kuros norādīts, kuri kontroles mehānismi ir pareizi ieviesti un kur pastāv nepilnības. Tādi rīki kā Tripwire Configuration Manager, Qualys, NNT SecureOps un CIS-CAT Pro ļauj lietotājiem vizualizēt vairāku resursu drošības stāvokli un noteikt prioritātes risinājumiem, pamatojoties uz ietekmi.
Visbeidzot, pastāv ļoti bagāta atvērtā pirmkoda projektu ekosistēma, kas koncentrējas uz ievainojamību ierobežošanu , tostarp automatizācijas platformas, piemēram, Salt, atbilstības komplekti Windows vidēm (Microsoft Security Compliance Toolkit), īpaši audita skripti (Hardening Auditor) un utilītas, piemēram, Windows Exploit Suggester NG, lai identificētu Windows sistēmu ievainojamības, izmantojot sistēmas informāciju.
Sistēmas sacietēšana: bāzes līnijas, automatizācija un auditēšana
Papildus konkrētiem rīkiem organizācijas, kas uztver serveru aizsardzības aizsardzību nopietni, to uztver kā dzīvu sistēmu, nevis vienreizēju kontrolsarakstu . Tas ietver katras servera lomas bāzes līniju noteikšanu, to lietojumprogrammu automatizāciju, atbilstības pārbaudi un apzinātu jebkādu noviržu pārvaldību, kas nepieciešamas darbības apsvērumu dēļ.
Praksē parasti sākumā katram resursu veidam izveido konkrētas bāzes līnijas : Linux tīmekļa serveriem, lietojumprogrammu mezgliem, datubāzēm, Windows domēna kontrolleriem, lietotāju datoriem, tīkla ierīcēm utt. Katra bāzes līnija ietver sistēmas parametrus, ugunsmūra noteikumus, pakalpojumu konfigurācijas, konta politikas, reģistrēšanas iestatījumus un citus šai lomai pielāgotus pasākumus.
Pēc tam infrastruktūras kā koda (IaC) rīki un konfigurācijas pārvaldības rīki (piemēram, Ansible vai PowerShell DSC) tiek izmantoti, lai šīs bāzes līnijas pārvērstu versiju nodrošinošā kodā Git repozitorijos. Izmaiņas tiek pārskatītas, izmantojot versiju kontroles procesus, pakļautas pārstrukturēšanai un automatizētai testēšanai, un izvietotas, izmantojot cauruļvadus, kas atstāj pierādījumus par to, kura konfigurācijas versija ir lietota katrā vidē.
Pēc katras ieviešanas tiek palaisti audita rīki , piemēram, Lynis vai OpenSCAP operētājsistēmā Linux, vai atbilstības skeneri operētājsistēmai Windows, un ziņojumi tiek augšupielādēti pašā CI/CD platformā kā artefakti. Tas dokumentē atbilstību noteiktajām politikām un atvieglo ārējos auditus vai iekšējās drošības pārskatus.
Lai pabeigtu procesu, daudzi uzņēmumi iekļauj uzraudzības un noteikšanas platformas, piemēram, Wazuh, kas apvieno žurnālu analīzi, failu integritātes pārbaudes, notikumu korelāciju un reāllaika brīdinājumus. Tas ļauj tiem zināt, kad jauni pakalpojumi sāk klausīties negaidītās pieslēgvietās, mainās sensitīvas failu atļaujas vai rodas anomāli piekļuves modeļi.
Visā šajā procesā aizsardzības pasākumi atbilst tādiem standartiem kā ISO/IEC 27002 , kas ietver konfigurācijas pārvaldību, nevajadzīgu funkciju noņemšanu, tehnisko ievainojamību pārvaldību un lietotāju autentifikāciju. Mērķis ir ne tikai "drošināties", bet arī spēt objektīvi pierādīt, ka organizācija pārvalda savas sistēmas saskaņā ar atzītu labāko praksi.
Sistēmas nostiprināšana, ko atbalsta skriptēšana un automatizācija, ir nepārtraukta disciplīna, kas apvieno drošības principus, zināšanas par reāliem draudiem, atbilstošus rīkus un ievērojamu daļu veselā saprāta. Uzbrukuma virsmas samazināšana, rūpīga izpildāmā satura un piekļuves veida kontrole, katras izmaiņas ietekmes testēšana un konfigurācijas uzraudzība laika gaitā ir visefektīvākais veids, kā novērst ērtas, bet paviršas konfigurācijas kļūšanu par vārtiem uz nopietnu incidentu.
