Hartowanie systemu operacyjnego: poprawki, konfiguracja bazowa i wzorce CIS

Wzmacnianie bezpieczeństwa systemu operacyjnego to proces zmniejszania powierzchni ataku systemu operacyjnego poprzez usuwanie niepotrzebnych funkcji, stosowanie konfiguracji bezpieczeństwa i bieżące instalowanie poprawek. Świeżo zainstalowany system operacyjny nie jest domyślnie bezpieczny — priorytetem jest użyteczność, dlatego włączone są usługi i funkcje, których wielu użytkowników może potrzebować, ale które w większości serwerów przedsiębiorstwa są zbędne. Każda włączona usługa, otwarty port i domyślne poświadczenie może stanowić punkt wejścia dla atakujących. Wzmacnianie bezpieczeństwa systematycznie zamyka te punkty wejścia, zanim system trafi do środowiska produkcyjnego.

Zarządzanie poprawkami to proces identyfikowania, testowania i stosowania aktualizacji oprogramowania usuwających luki w zabezpieczeniach. System bez zainstalowanych poprawek jest jednym z najłatwiejszych celów ataku — wiele poważnych naruszeń bezpieczeństwa (Equifax 2017, WannaCry 2017) wykorzystywało znane, już załatane luki, których organizacje po prostu nie wdrożyły. Dojrzały proces zarządzania poprawkami obejmuje: identyfikowanie poprawek (subskrypcję komunikatów dostawców, kanałów CVE), klasyfikację ważności (Awaryjna/Krytyczna/Wysoka/Średnia), harmonogramy testów (w wielu ramach krytyczne poprawki należy wdrożyć w ciągu 48–72 godzin) oraz weryfikację wdrożenia.

Każda uruchomiona usługa może stanowić wektor ataku. Wzmacnianie bezpieczeństwa systemu operacyjnego należy rozpocząć od audytu usług: wyświetlić wszystkie uruchomione usługi, określić ich przeznaczenie i wyłączyć te, które nie są wymagane przez rolę systemu. W Windows Server na serwerach, które ich nie potrzebują, często wyłącza się role takie jak Print Spooler, Remote Registry i LLMNR. W systemie Linux typowymi kandydatami są usługi takie jak rpcbind, cups (drukowanie) i avahi (mDNS). Zasada jest prosta: jeśli tego nie potrzebujesz, wyłącz to.

Zainstalowane, ale nieużywane oprogramowanie stanowi niepotrzebne ryzyko. Każdy pakiet może wprowadzać luki — nawet dobrze utrzymywane oprogramowanie ma luki CVE. Wzmacnianie bezpieczeństwa systemu operacyjnego obejmuje: usuwanie środowisk uruchomieniowych języków, których nie wymagają aplikacje (Python, Perl, Ruby na serwerach WWW), usuwanie narzędzi programistycznych (kompilatorów i debugerów z systemów produkcyjnych) oraz usuwanie domyślnych pakietów aplikacji dostarczanych z obrazami systemu operacyjnego (serwerów FTP, klientów telnet, agentów SNMP). Z tego samego powodu obrazy kontenerów powinny używać minimalnych obrazów bazowych (Alpine, scratch, distroless).

Domyślne konta ze znanymi nazwami użytkowników i hasłami należą do pierwszych celów atakujących. Działania wzmacniające zabezpieczenia: wyłącz wbudowane konto Administrator (Windows), a jeśli wyłączenie nie jest możliwe, zmień jego nazwę; zmień nazwę konta root lub ogranicz logowanie root przez SSH (Linux); zmień wszystkie domyślne hasła w urządzeniach, bazach danych i aplikacjach, zanim trafią do środowiska produkcyjnego; usuń konta gościa; oraz wyłącz konta usług, które nie wymagają logowania interaktywnego. Narzędzie skanujące, takie jak Nessus, oznaczy domyślne dane uwierzytelniające jako krytyczne ustalenia.

Bezpieczne uprawnienia systemu plików egzekwują zasadę najmniejszych uprawnień w systemie operacyjnym. Procesy serwera WWW nie powinny mieć dostępu do zapisu w katalogach, które obsługują. Konta aplikacji nie powinny mieć dostępu do odczytu plików konfiguracyjnych zawierających dane uwierzytelniające. W systemie Linux należy przeprowadzać audyt plików binarnych setuid i setgid, ponieważ są uruchamiane z podwyższonymi uprawnieniami niezależnie od tego, kto je wykonuje. W systemie Windows uprawnienia NTFS i audytowanie DACL zapewniają, że dostęp do wrażliwych katalogów (gałąź SAM, kopie w tle, magazyny danych uwierzytelniających) mają wyłącznie autoryzowane procesy.

CIS Benchmarks to bezpłatne, opracowane przez społeczność przewodniki dotyczące wzmacniania zabezpieczeń określonych systemów operacyjnych, aplikacji i platform chmurowych. Każdy benchmark zawiera setki szczegółowych zaleceń konfiguracyjnych wraz z uzasadnieniem, instrukcjami usuwania problemów i poleceniami audytowymi. CIS Benchmarks wykorzystują dwa poziomy profili: Level 1 — podstawowe, szeroko stosowalne konfiguracje, które nie ograniczają funkcjonalności; Level 2 — zaawansowane konfiguracje dla środowisk o wysokim poziomie bezpieczeństwa, które mogą wpływać na użyteczność. Benchmarki istnieją dla Windows Server, Ubuntu/RHEL, macOS, Docker, Kubernetes, AWS, Azure, GCP, przeglądarek i baz danych.

Bazowa konfiguracja zabezpieczeń to udokumentowany zestaw ustawień konfiguracyjnych, który musi spełniać każdy system należący do danej kategorii ról. Konfiguracje bazowe są stosowane za pomocą obiektów zasad grupy (GPO) w systemie Windows, a także playbooków Ansible, cookbooków Chef lub manifestów Puppet w systemie Linux. Narzędzia do zarządzania konfiguracją umożliwiają wykrywanie odchyleń: jeśli system odbiega od zatwierdzonej konfiguracji bazowej (np. usługa zostanie ponownie włączona), automatyczne alerty i automatyczne przywracanie zgodności mogą przywrócić jego zgodność. Dokument NIST SP 800-128 zawiera wytyczne dotyczące zarządzania konfiguracją ukierunkowanego na bezpieczeństwo systemów federalnych.

Wzmacnianie zabezpieczeń nie polega wyłącznie na zapobieganiu — równie ważne są rejestrowanie i monitorowanie. Skonfiguruj zasady audytu tak, aby rejestrowały: zdarzenia uwierzytelniania (udane i nieudane), eskalację uprawnień, dostęp do obiektów (odczyty wrażliwych plików), tworzenie procesów (wraz z argumentami wiersza poleceń) oraz zdarzenia połączeń sieciowych. Dzienniki muszą być przekazywane do centralnego systemu SIEM niemal w czasie rzeczywistym, aby lokalni atakujący z uprawnieniami administratora nie mogli zatrzeć śladów przez wyczyszczenie dzienników zdarzeń. Zgodnie z większością standardów zgodności dzienniki należy przechowywać przez co najmniej 12 miesięcy.

Ręczna weryfikacja benchmarków wzmacniania zabezpieczeń na każdym systemie jest niepraktyczna w dużej skali. Narzędzia do skanowania zgodności automatyzują tę kontrolę. OpenSCAP (oprogramowanie open source) stosuje treści SCAP do systemów Linux i generuje raporty HTML pokazujące kontrole zakończone powodzeniem, niepowodzeniem oraz kontrole, których nie można zastosować. Nessus zawiera zasady benchmarków CIS. Microsoft Security Compliance Toolkit ocenia systemy Windows względem bazowych konfiguracji firmy Microsoft. Narzędzia te są uruchamiane regularnie (co tydzień lub co miesiąc), a odchylenia powodują utworzenie zgłoszeń naprawczych w systemie zarządzania zmianami.

W domenach Windows obiekty zasad grupy (GPO) są podstawowym mechanizmem stosowania i egzekwowania bazowych konfiguracji zabezpieczeń na dużą skalę. Szablony zabezpieczeń (gotowe lub niestandardowe pliki .inf) można importować do obiektów GPO, aby jednocześnie skonfigurować setki ustawień: zasady kont, zasady audytu, przypisywanie praw użytkowników, opcje zabezpieczeń i wartości rejestru. Przystawka Security Configuration and Analysis oraz narzędzie wiersza poleceń secedit porównują bieżące ustawienia ze zdefiniowanym szablonem i generują raporty zgodności. Obiekty GPO są stosowane podczas uruchamiania systemu oraz w regularnych odstępach, dzięki czemu odchylenia od konfiguracji bazowej są automatycznie korygowane.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji poznali Państwo następujące zagadnienia: wzmacnianie zabezpieczeń systemu operacyjnego zmniejsza powierzchnię ataku przez wyłączanie usług, usuwanie oprogramowania, zabezpieczanie kont i stosowanie uprawnień zgodnych z zasadą najmniejszych uprawnień; zarządzanie poprawkami usuwa znane luki za pomocą umów SLA zależnych od krytyczności; a CIS Benchmarks zapewniają wytyczne dotyczące konfiguracji na poziomie 1 (podstawowym) i 2 (zaawansowanym), egzekwowane za pomocą narzędzi do automatycznego skanowania zgodności. W następnej części omówimy zarządzanie urządzeniami mobilnymi i zasady BYOD.