Popis riešenia
Ako hardening je označovaný proces zabezpečenia konfigurácie systému takým spôsobom, ktorý obmedzí výskyt zraniteľností využiteľných útočníkom. V dnešnej dobe je hardening systémov jedným zo základných bezpečnostných opatrení na ochranu informácií a informačného systému spoločnosti.
Ako prebieha proces hardeningu?
Proces zaistenia vysokej úrovne bezpečnosti aplikácií a operačných systémov je kontinuálny. Pri hardeningu systémov je nutné riešiť nasledujúce fázy:
- Analýza – v úvodnej fáze sú určené systémy, ktoré budú predmetom hardeningu. Tieto systémy sú spravidla vyberané podľa svojej kritickosti a významu, ktorý v rámci informačného systému spoločnosti majú. Súčasťou môže byť i výber vhodného nástroja na automatizovanú kontrolu nastavenia.
- Vytvorenie hardeningových bezpečnostných politík – jedná sa o technické i procesné predpisy, ktoré stanovujú, aká má byť konfigurácia aplikácií a systémov vrátane prevádzkových kontrol na overenie zhody so skutočnosťou. V tejto fáze sa opierame o už existujúce a preverené štandardy, ako sú napr. CIS Benchmarky, NIST a iné. Hardeningové bezpečnostné politiky sú vytvorené v takej podobe, aby bolo možné ich vyhodnocovať nielen manuálne v rámci interných auditov, ale najmä automatizovane, čo šetrí interné zdroje nutné na vykonávanie kontrol.
- Budovanie procesov – súčasťou hardeningu nie sú iba dokumenty a predpisy na zaistenie vysokej úrovne konfigurácie, ale i procesy na udržiavanie a aktualizáciu politík, ich riadenia, kontrolu, vynucovanie a ďalší rozvoj.
- Technická kontrola a nasadenie – vytvorené procesy a technické predpisy je nutné nasadiť do praxe. Súčasťou tohto kroku je obyčajne implementácia nástroja, ktorý dokáže overiť nasadenie hardeningovej politiky na dané zariadenia a identifikovať nezhody oproti schváleným politikám.
Aké systémy je možné hardenovať?
Na hardening sú vhodné akékoľvek aplikácie, systémy a platformy, ktoré sú súčasťou infraštruktúry IT spoločnosti. Jedná sa napríklad o:
- Servery a ich aplikácie (operačný systém, databázy, webové servery, aplikačné servery a iné).
- Hardvérové zariadenia (napr. SCADA, hardvérové firewally, prístupové body – WiFi access pointy).
- BYOD a MDM zariadenia.
- Pracovné stanice a AD GPO (Group Policy), nastavenie webového browsera, chovanie Java a .NET frameworku a podobne.
To, ktoré zariadenia je alebo nie je možné hardenovať a vynucovať u nich ich kontrolu, je obyčajne súčasťou fázy analýzy.
Aké produkty sú vhodné pre automatizovanú kontrolu?
Pre automatizovanú kontrolu hardeningových politík je možné využiť akýkoľvek VMS (Vulnerability Management Systém) produkt , ktorý umožňuje automaticky kontrolovať a vyhodnocovať nastavenie systému. Taký produkt má spravidla nasledujúce vlastnosti:
- Možnosť nastaviť „zero-configuration“, t.j. stanoviť konfiguračný etalón pre daný systém.
- Vykonávanie „agent-less“ kontroly.
- Modifikácia a vytváranie vlastných bezpečnostných politík.
- Vyhodnocovanie zhody a nezhody, riadenie výnimiek.
- Napojenie na SIEM a tiketovací systém.
- Reporting a alerting.
