Укрепление OS: исправления, базовая конфигурация и эталоны CIS

Усиление защиты OS — это процесс сокращения поверхности атаки операционной системы за счёт удаления ненужных возможностей, применения конфигураций безопасности и поддержания системы в обновлённом состоянии. Только что установленная операционная система по умолчанию не является безопасной: приоритетом для неё служит удобство использования, поэтому она включает службы и возможности, которые могут понадобиться некоторым пользователям, но не нужны большинству корпоративных серверов. Каждая включённая служба, открытый порт и учётные данные по умолчанию могут стать точкой входа для злоумышленников. Усиление защиты систематически закрывает эти точки входа до ввода системы в эксплуатацию.

Управление исправлениями — это процесс выявления, тестирования и установки обновлений программного обеспечения, устраняющих уязвимости безопасности. Непропатченная система — одна из самых уязвимых целей: во многих крупных утечках (Equifax в 2017 году, WannaCry в 2017 году) использовались известные уязвимости, для которых исправления уже существовали, но организации их просто не установили. Зрелый процесс управления исправлениями определяет: выявление исправлений (подписка на рекомендации поставщиков и потоки CVE), классификацию критичности (Emergency/Critical/High/Medium), сроки тестирования (критические исправления во многих системах в течение 48–72 часов) и проверку развёртывания.

Каждая работающая служба может стать вектором атаки. Усиление защиты OS начинается с аудита служб: составьте список всех работающих служб, определите их назначение и отключите те, которые не нужны для роли системы. В Windows Server на серверах, которым они не требуются, часто отключают такие компоненты, как Print Spooler, Remote Registry и LLMNR. В Linux типичными кандидатами являются службы rpcbind, cups (печать) и avahi (mDNS). Принцип прост: если это не нужно, отключите это.

Установленное, но не используемое программное обеспечение создаёт неоправданный риск. Каждый пакет может содержать уязвимости — даже хорошо обслуживаемое программное обеспечение имеет CVE. Усиление защиты OS включает удаление сред выполнения языков, не требуемых приложениями (Python, Perl, Ruby на веб-серверах), удаление инструментов разработки (компиляторов и отладчиков в рабочих системах), а также удаление пакетов приложений по умолчанию, поставляемых с образами OS (FTP-серверов, клиентов telnet и агентов SNMP). По той же причине в образах контейнеров следует использовать минимальные базовые образы (Alpine, scratch, distroless).

Учётные записи по умолчанию с известными именами пользователей и паролями — одна из первых целей атакующих. Меры усиления защиты: отключите встроенную учётную запись Administrator (Windows), а если отключение невозможно — переименуйте её; переименуйте учётную запись root или ограничьте вход root по SSH (Linux); измените все пароли по умолчанию на устройствах, в базах данных и приложениях до их ввода в эксплуатацию; удалите гостевые учётные записи; отключите служебные учётные записи, которым не требуется интерактивный вход. Инструмент сканирования, например Нессус, отметит учётные данные по умолчанию как критические уязвимости.

Безопасные разрешения файловой системы обеспечивают принцип минимальных привилегий в OS. Процессы веб-сервера не должны иметь доступа на запись к каталогам, которые они обслуживают. Учётные записи приложений не должны иметь доступа на чтение к конфигурационным файлам, содержащим учётные данные. В Linux необходимо проверять двоичные файлы setuid и setgid, поскольку они выполняются с повышенными привилегиями независимо от того, кто их запускает. В Windows разрешения NTFS и аудит DACL обеспечивают доступ к конфиденциальным каталогам (куст SAM, теневые копии, хранилища учётных данных) только для авторизованных процессов.

Эталонные конфигурации CIS — это бесплатные руководства по усилению защиты конкретных операционных систем, приложений и облачных платформ, разработанные сообществом. Каждая эталонная конфигурация содержит сотни конкретных рекомендаций по настройке с обоснованием, шагами устранения и командами аудита. Эталонные конфигурации CIS используют два уровня профилей: уровень 1 — базовые, широко применимые настройки, не ограничивающие функциональность; уровень 2 — расширенные настройки для сред с высокими требованиями к безопасности, которые могут повлиять на удобство использования. Эталонные конфигурации существуют для Windows Server, Ubuntu/RHEL, macOS, Docker, Kubernetes, AWS, Azure, GCP, браузеров и баз данных.

Базовая конфигурация безопасности — это документированный набор параметров, которому должна соответствовать каждая система определённой категории ролей. Базовые конфигурации применяются через объекты групповой политики (ОГП) в Windows, сценарии Ansible, рецепты Chef или манифесты Puppet в Linux. Инструменты управления конфигурациями обеспечивают обнаружение отклонений: если система отходит от утверждённой базовой конфигурации (например, служба включается повторно), автоматические оповещения и автоматическое устранение могут вернуть её в состояние соответствия. NIST SP 800-128 содержит рекомендации по управлению конфигурациями с учётом требований безопасности для государственных систем.

Усиление защиты — это не только предотвращение угроз: ведение журналов и мониторинг не менее важны. Настройте политики аудита для регистрации: событий аутентификации (успешных и неуспешных), повышения привилегий, доступа к объектам (чтения конфиденциальных файлов), создания процессов (с аргументами командной строки) и событий сетевых подключений. Журналы необходимо почти в реальном времени пересылать в централизованную SIEM, чтобы локальные атакующие с правами администратора не могли скрыть следы, очистив журналы событий. Согласно большинству нормативных стандартов соответствия журналы следует хранить не менее 12 месяцев.

Ручная проверка эталонных конфигураций усиления защиты на каждой системе непрактична при большом масштабе. Инструменты сканирования соответствия автоматизируют эту проверку. OpenSCAP (с открытым исходным кодом) применяет содержимое SCAP к системам Linux и создаёт отчёты HTML с результатами пройденных, непройденных и неприменимых проверок. Нессус включает политики эталонных конфигураций CIS. Набор инструментов соответствия Security от Microsoft оценивает системы Windows по базовым конфигурациям Microsoft. Эти инструменты запускаются по регулярному расписанию (еженедельно или ежемесячно), а отклонения инициируют заявки на устранение в системе управления изменениями.

В доменах Windows объекты групповой политики (ОГП) — основной механизм масштабного применения и обеспечения базовых конфигураций безопасности. Шаблоны безопасности (готовые или пользовательские файлы .inf) можно импортировать в ОГП для одновременной настройки сотен параметров: политики учётных записей, политики аудита, назначения прав пользователей, параметров безопасности и значений реестра. Оснастка «Анализ и настройка Security» и инструмент командной строки secedit сравнивают текущие параметры с заданным шаблоном и создают отчёты о соответствии. ОГП применяются при запуске и через регулярные интервалы, благодаря чему отклонения от базовой конфигурации автоматически исправляются.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701), рассмотренных в этом уроке.

В этом уроке Вы узнали, что усиление защиты OS уменьшает поверхность атаки за счёт отключения служб, удаления программного обеспечения, защиты учётных записей и применения разрешений с минимальными привилегиями; управление исправлениями устраняет известные уязвимости с помощью SLA, зависящих от критичности; а эталонные конфигурации CIS предоставляют рекомендации по настройке уровня 1 (базового) и уровня 2 (расширенного), обеспечиваемые автоматизированными инструментами сканирования соответствия. Далее мы рассмотрим управление мобильными устройствами и политики BYOD.