Härdning av operativsystem: patchning, baslinjekonfiguration och CIS-riktlinjer

Härdning av operativsystem är processen att minska ett operativsystems attackyta genom att ta bort onödiga funktioner, tillämpa säkerhetskonfigurationer och hålla systemet uppdaterat. Ett nyinstallerat operativsystem är inte säkert som standard — det prioriterar användbarhet och aktiverar tjänster och funktioner som många användare kan vilja ha, men som de flesta företagsservrar inte behöver. Varje aktiverad tjänst, öppen port och standardautentiseringsuppgift är en möjlig ingång för angripare. Härdning stänger systematiskt dessa ingångar innan ett system tas i produktion.

Patchhantering är processen att identifiera, testa och installera programuppdateringar som åtgärdar säkerhetsbrister. Ett ouppdaterat system är ett av de mest exploaterbara målen — många större dataintrång (Equifax 2017, WannaCry 2017) utnyttjade kända sårbarheter som redan hade patchats, men som organisationerna helt enkelt inte hade installerat. En mogen patchhanteringsprocess definierar: identifiering av patchar (prenumeration på leverantörers säkerhetsmeddelanden och CVE-flöden), klassificering efter allvarlighetsgrad (Emergency/Critical/High/Medium), tidsramar för testning (kritiska patchar inom 48–72 timmar enligt många ramverk) och verifiering av distributionen.

Varje tjänst som körs är en möjlig attackvektor. Härdning av operativsystem börjar med en tjänstegranskning: lista alla tjänster som körs, identifiera deras syfte och inaktivera alla som inte krävs för systemets funktion. I Windows Server inaktiveras roller som Print Spooler, Remote Registry och LLMNR ofta på servrar som inte behöver dem. I Linux är tjänster som rpcbind, cups (utskrift) och avahi (mDNS) typiska kandidater. Principen är: om det inte behövs, inaktivera det.

Installerad programvara som inte används utgör en onödig risk. Varje paket kan introducera sårbarheter — även väl underhållen programvara har CVE:er. Härdning av operativsystem omfattar att ta bort språkkörmiljöer som applikationerna inte behöver (Python, Perl, Ruby på webbservrar), ta bort utvecklingsverktyg (kompilatorer och felsökare i produktionssystem) samt ta bort standardpaket för applikationer som följer med OS-avbildningar (FTP-servrar, telnetklienter och SNMP-agenter). Containeravbildningar bör av samma anledning använda minimala basavbildningar (Alpine, scratch, distroless).

Standardkonton med kända användarnamn och lösenord är bland det första angripare försöker utnyttja. Härdande åtgärder: inaktivera det inbyggda Administrator-kontot (Windows) och byt namn på det om det inte går att inaktivera; byt namn på root-kontot eller begränsa SSH-inloggning för root (Linux); byt alla standardlösenord på nätverksapparater, databaser och program innan de tas i produktion; ta bort gästkonton; och inaktivera tjänstekonton som inte behöver interaktiv inloggning. Ett skanningsverktyg som Nessus flaggar standardautentiseringsuppgifter som kritiska fynd.

Säkra filsystembehörigheter upprätthåller principen om minsta privilegium i operativsystemet. Webbserverprocesser bör inte ha skrivåtkomst till de kataloger de tillhandahåller. Programkonton bör inte ha läsåtkomst till konfigurationsfiler som innehåller autentiseringsuppgifter. I Linux bör setuid- och setgid-binärfiler granskas eftersom de körs med förhöjda privilegier oavsett vem som kör dem. I Windows säkerställer NTFS-behörigheter och DACL-granskning att känsliga kataloger (SAM-hive, skuggkopior och autentiseringslagring) endast är åtkomliga för auktoriserade processer.

CIS Benchmarks är kostnadsfria, communityutvecklade härdningsguider för specifika operativsystem, program och molnplattformar. Varje benchmark innehåller hundratals specifika konfigurationsrekommendationer med motiveringar, åtgärdssteg och granskningskommandon. CIS Benchmarks använder två profilnivåer: Level 1 — grundläggande, brett tillämpliga konfigurationer som inte begränsar funktionaliteten; Level 2 — avancerade konfigurationer för miljöer med höga säkerhetskrav som kan påverka användbarheten. Det finns benchmarks för Windows Server, Ubuntu/RHEL, macOS, Docker, Kubernetes, AWS, Azure, GCP, webbläsare och databaser.

En säkerhetsbaslinje är en dokumenterad uppsättning konfigurationsinställningar som alla system i en viss rollkategori måste uppfylla. Baslinjer tillämpas via Group Policy Objects (GPOs) i Windows, Ansible playbooks, Chef cookbooks eller Puppet manifests i Linux. Konfigurationshanteringsverktyg möjliggör avvikelsedetektering: om ett system avviker från den godkända baslinjen (till exempel om en tjänst aktiveras igen) kan automatiska aviseringar och automatisk åtgärd återställa efterlevnaden. NIST SP 800-128 ger vägledning om säkerhetsinriktad konfigurationshantering för federala system.

Härdning handlar inte bara om förebyggande åtgärder — loggning och övervakning är lika viktiga. Konfigurera granskningsprinciper så att följande registreras: autentiseringshändelser (lyckade och misslyckade), privilegiereskalering, objektåtkomst (läsning av känsliga filer), processkapande (med kommandoradsargument) och händelser för nätverksanslutningar. Loggar måste vidarebefordras till ett centraliserat SIEM nära realtid, så att lokala angripare med administratörsbehörighet inte kan dölja sina spår genom att rensa händelseloggar. Spara loggar i minst 12 månader enligt de flesta ramverk för regelefterlevnad.

Manuell verifiering av härdningsbenchmarks på varje system är opraktisk i stor skala. Verktyg för efterlevnadsskanning automatiserar denna kontroll. OpenSCAP (öppen källkod) tillämpar SCAP-innehåll på Linux-system och genererar HTML-rapporter som visar godkända, underkända och ej tillämpliga kontroller. Nessus innehåller principer för CIS-benchmarks. Microsoft Security Compliance Toolkit utvärderar Windows-system mot Microsofts baslinjer. Dessa verktyg körs enligt ett regelbundet schema (varje vecka eller månad), och avvikelser utlöser åtgärdsärenden i ändringshanteringssystemet.

I Windows-domäner är Group Policy Objects (GPOs) den primära mekanismen för att tillämpa och upprätthålla säkerhetsbaslinjer i stor skala. Säkerhetsmallar (förbyggda eller anpassade .inf-filer) kan importeras till GPO:er för att konfigurera hundratals inställningar samtidigt: kontoprinciper, granskningsprinciper, tilldelning av användarrättigheter, säkerhetsalternativ och registervärden. Snapin-modulen Security Configuration and Analysis och kommandoradsverktyget secedit jämför aktuella inställningar med en definierad mall och genererar efterlevnadsrapporter. GPO:er tillämpas vid uppstart och med regelbundna intervall, vilket säkerställer att avvikelser från baslinjen korrigeras automatiskt.

I den här lektionen har ni lärt er att härdning av operativsystem minskar angreppsytan genom att inaktivera tjänster, ta bort program, skydda konton och tillämpa behörigheter enligt principen om minsta privilegium, att patchhantering åtgärdar kända sårbarheter med kritikalitetsbaserade SLA:er, och att CIS Benchmarks tillhandahåller konfigurationsvägledning på Level 1 (grundläggande) och Level 2 (avancerad) som upprätthålls genom automatiserade verktyg för efterlevnadsskanning. Nästa avsnitt handlar om Mobile Device Management och BYOD-principer.