Käyttöjärjestelmän koventaminen: korjaukset, perustason määritykset ja CIS-vertailuarvot

Käyttöjärjestelmän koventaminen tarkoittaa prosessia, jossa käyttöjärjestelmän hyökkäyspinta-alaa pienennetään poistamalla tarpeettomia ominaisuuksia, ottamalla käyttöön tietoturva-asetuksia ja pitämällä järjestelmä paikattuna. Vastikään asennettu käyttöjärjestelmä ei ole oletusarvoisesti turvallinen — se painottaa käytettävyyttä ja ottaa käyttöön palveluita ja ominaisuuksia, joita monet käyttäjät saattavat tarvita mutta joita useimmat yrityspalvelimet eivät tarvitse. Jokainen käytössä oleva palvelu, avoin portti ja oletustunnistetieto voi tarjota hyökkääjälle pääsyn järjestelmään. Koventamisella nämä sisäänpääsyreitit suljetaan järjestelmällisesti ennen järjestelmän tuotantokäyttöä.

Korjaustiedostojen hallinta on prosessi, jossa tunnistetaan, testataan ja asennetaan ohjelmistopäivityksiä, joilla korjataan tietoturvahaavoittuvuuksia. Paikkaamaton järjestelmä on yksi helpoimmin hyödynnettävistä kohteista — monissa merkittävissä tietomurroissa (Equifax 2017, WannaCry 2017) hyödynnettiin tunnettuja ja jo korjattuja haavoittuvuuksia, joita organisaatiot eivät vain olleet asentaneet. Kypsä korjaustiedostojen hallintaprosessi määrittelee seuraavat asiat: korjaustiedostojen tunnistaminen (tilaus toimittajien tiedotteisiin ja CVE-syötteisiin), kriittisyysluokittelu (Emergency/Critical/High/Medium), testausaikataulut (kriittiset korjaukset 48–72 tunnin kuluessa monissa viitekehyksissä) ja käyttöönoton varmistaminen.

Jokainen käynnissä oleva palvelu voi muodostaa hyökkäysvektorin. Käyttöjärjestelmän koventaminen alkaa palveluiden auditoinnista: luetteloikaa kaikki käynnissä olevat palvelut, selvittäkää niiden käyttötarkoitus ja poistakaa käytöstä kaikki palvelut, joita järjestelmän rooli ei edellytä. Windows Serverissä Print Spoolerin, Remote Registryn ja LLMNR:n kaltaiset roolit poistetaan usein käytöstä palvelimissa, jotka eivät niitä tarvitse. Linuxissa tyypillisiä poistettavia palveluita ovat rpcbind, cups (tulostus) ja avahi (mDNS). Periaate on: jos ette tarvitse sitä, poistakaa se käytöstä.

Asennetut mutta käyttämättömät ohjelmistot muodostavat tarpeettoman riskin. Jokainen paketti voi sisältää haavoittuvuuksia — jopa hyvin ylläpidetyissä ohjelmistoissa on CVE-haavoittuvuuksia. Käyttöjärjestelmän koventamiseen kuuluu seuraavaa: sovellusten kannalta tarpeettomien kieliajoympäristöjen (Python, Perl, Ruby web-palvelimissa) poistaminen, kehitystyökalujen (kääntäjät ja debuggerit tuotantojärjestelmistä) poistaminen sekä käyttöjärjestelmäkuvien mukana toimitettujen oletussovelluspakettien (FTP-palvelimet, telnet-asiakasohjelmat ja SNMP-agentit) poistaminen. Myös konttikuvissa tulisi samasta syystä käyttää minimaalisia peruskuvia (Alpine, scratch, distroless).

Oletustilit, joiden käyttäjätunnukset ja salasanat ovat tiedossa, ovat ensimmäisiä kohteita, joita hyökkääjät kokeilevat. Kovennustoimet: poistakaa sisäänrakennettu Administrator-tili käytöstä (Windows) ja nimetkää se uudelleen, jos käytöstä poistaminen ei ole mahdollista; nimetkää root-tili uudelleen tai rajoittakaa root-kirjautumista SSH:n kautta (Linux); vaihtakaa kaikki oletussalasanat laitteista, tietokannoista ja sovelluksista ennen niiden siirtämistä tuotantoon; poistakaa vierastilit; ja poistakaa käytöstä palvelutilit, jotka eivät tarvitse vuorovaikutteista kirjautumista. Nessuksen kaltainen skannaustyökalu merkitsee oletustunnistetiedot kriittisiksi havainnoiksi.

Suojatut tiedostojärjestelmän käyttöoikeudet toteuttavat vähimpien oikeuksien periaatteen käyttöjärjestelmässä. Web-palvelinprosessien ei pitäisi voida kirjoittaa hakemistoihin, joita ne palvelevat. Sovellustileillä ei pitäisi olla lukuoikeutta tunnistetietoja sisältäviin määritystiedostoihin. Linuxissa setuid- ja setgid-binaarit on tarkastettava, koska ne suoritetaan korotetuilla oikeuksilla riippumatta siitä, kuka ne käynnistää. Windowsissa NTFS-käyttöoikeudet ja DACL-tarkastus varmistavat, että arkaluonteisiin hakemistoihin (SAM-rekisteripesä, shadow-kopiot ja tunnistetietosäilöt) pääsevät käsiksi vain valtuutetut prosessit.

CIS-vertailuarvot ovat maksuttomia, yhteisön laatimia kovennusohjeita tiettyjä käyttöjärjestelmiä, sovelluksia ja pilvialustoja varten. Jokainen vertailuarvo sisältää satoja yksityiskohtaisia määrityssuosituksia perusteluineen, korjausohjeineen ja tarkastuskomentoineen. CIS-vertailuarvoissa on kaksi profiilitasoa: Level 1 — perusmääritykset, jotka soveltuvat laajasti eivätkä rajoita toiminnallisuutta; Level 2 — edistyneet määritykset korkean tietoturvan ympäristöihin, joissa ne voivat vaikuttaa käytettävyyteen. Vertailuarvoja on saatavilla muun muassa Windows Serverille, Ubuntulle/RHEL:lle, macOS:lle, Dockerille, Kubernetesille, AWS:lle, Azurelle, GCP:lle, selaimille ja tietokannoille.

Tietoturvan perusmääritys on dokumentoitu joukko määritysasetuksia, jotka jokaisen tiettyyn roolikategoriaan kuuluvan järjestelmän on täytettävä. Windowsissa perusmääritykset otetaan käyttöön Group Policy Objects (GPOs) -objektien avulla ja Linuxissa Ansible playbooks-, Chef cookbooks- tai Puppet manifests -määrityksillä. Määritystenhallintatyökalut mahdollistavat poikkeamien havaitsemisen: jos järjestelmä poikkeaa hyväksytystä perusmäärityksestä (esimerkiksi palvelu otetaan uudelleen käyttöön), automaattiset ilmoitukset ja automaattinen korjaus voivat palauttaa sen vaatimusten mukaiseksi. NIST SP 800-128 sisältää ohjeita liittovaltion järjestelmien tietoturvakeskeiseen määritystenhallintaan.

Kovennus ei tarkoita pelkästään ennaltaehkäisyä — lokitus ja valvonta ovat yhtä tärkeitä. Määrittäkää tarkastuskäytännöt tallentamaan seuraavat tapahtumat: todennustapahtumat (onnistuneet ja epäonnistuneet), oikeuksien korottaminen, objektien käyttö (arkaluonteisten tiedostojen lukeminen), prosessien luominen (komentoriviargumentteineen) ja verkkoyhteystapahtumat. Lokit on välitettävä keskitettyyn SIEM-järjestelmään lähes reaaliaikaisesti, jotta paikalliset hyökkääjät, joilla on järjestelmänvalvojan oikeudet, eivät voi peittää jälkiään tyhjentämällä tapahtumalokeja. Säilyttäkää lokit vähintään 12 kuukauden ajan useimpien vaatimustenmukaisuuskehysten mukaisesti.

Kovennusvertailuarvojen manuaalinen tarkistaminen jokaisessa järjestelmässä ei ole suuressa mittakaavassa käytännöllistä. Vaatimustenmukaisuuden tarkastustyökalut automatisoivat tämän tarkistuksen. OpenSCAP (avoimen lähdekoodin työkalu) käyttää SCAP-sisältöä Linux-järjestelmissä ja tuottaa HTML-raportteja, joissa tarkistukset näkyvät hyväksyttyinä, hylättyinä tai soveltumattomina. Nessus sisältää CIS-vertailuarvokäytäntöjä. Microsoft Security Compliance Toolkit arvioi Windows-järjestelmiä Microsoftin perusmäärityksiä vasten. Työkalut suoritetaan säännöllisesti (viikoittain tai kuukausittain), ja poikkeamat käynnistävät korjauspyynnöt muutoksenhallintajärjestelmässä.

Windows-toimialueilla Group Policy Objects (GPOs) ovat ensisijainen mekanismi suojausten perusmääritysten käyttöönottoon ja valvontaan suuressa mittakaavassa. Suojausmallit (valmiit tai mukautetut .inf-tiedostot) voidaan tuoda GPO-objekteihin, jolloin satoja asetuksia voidaan määrittää samanaikaisesti: tilikäytännöt, tarkastuskäytännöt, käyttäjäoikeuksien määritykset, suojausasetukset ja rekisteriarvot. Security Configuration and Analysis -laajennus ja secedit-komentorivityökalu vertaavat nykyisiä asetuksia määritettyyn malliin ja tuottavat vaatimustenmukaisuusraportteja. GPO-objektit otetaan käyttöön käynnistyksen yhteydessä ja säännöllisin väliajoin, mikä varmistaa, että poikkeamat perusmäärityksestä korjataan automaattisesti.

Tässä oppitunnissa opitte, että käyttöjärjestelmän kovennus pienentää hyökkäyspinta-alaa poistamalla palveluita käytöstä, poistamalla ohjelmistoja, suojaamalla tilejä ja soveltamalla vähimpien oikeuksien mukaisia käyttöoikeuksia, korjaustiedostojen hallinta sulkee tunnettuja haavoittuvuuksia kriittisyyteen perustuvilla SLA-sopimuksilla ja CIS-vertailuarvot tarjoavat tason 1 (perus) ja tason 2 (edistynyt) määritysohjeita, joita valvotaan automaattisilla vaatimustenmukaisuuden tarkastustyökaluilla. Seuraavaksi tutustumme mobiililaitteiden hallintaan ja BYOD-käytäntöihin.