Politica di Hardening del Server: Esempi e Consigli

Varie ricerche rivelano che un sorprendente 80% delle violazioni segnalate coinvolge lo sfruttamento di vulnerabilità nelle configurazioni dei sistemi IT. Per bloccare proattivamente gli attacchi e quindi prevenire costosi tempi di inattività e data breaches, gli esperti raccomandano l'implementazione di una politica di hardening policy, che è un tipo specifico di politica di system hardening.

Una politica di rafforzamento del server è un insieme di linee guida, procedure e controlli progettati per proteggere i sistemi da accessi non autorizzati e sfruttamenti. Infatti, un server distribuito nel suo stato predefinito è a rischio di compromissione e attacchi malware. Ma rimuovendo software e funzionalità non necessarie, configurando correttamente le impostazioni di sicurezza e implementando le migliori pratiche per il controllo degli accessi, l'audit e la risposta agli incidenti, è possibile ridurre notevolmente la superficie di attacco.

I seguenti consigli ed esempi possono fungere da punto di partenza per i vostri sforzi di rafforzamento.

Account utente e password

• La durata e la soglia di blocco dell'account sono impostate?
• È attivata la crittografia Kerberos e i tipi selezionati sono abbastanza forti?
• Gli account locali predefiniti, come gli account integrati di Amministratore e Ospite sui sistemi Windows, sono disabilitati o rinominati?
• I requisiti delle password degli utenti sono in linea con le migliori pratiche, come le linee guida NIST?

Esempio: Configura una policy per la password dell'account con i seguenti parametri:

• Età minima della password: 1 o più giorni
• Lunghezza minima della password: 14 caratteri o più
• Soglia di blocco account: 10 o meno tentativi (ma non 0)
• Reimposta il contatore di blocco account: 15 minuti o più

Sistemi Operativi

• Ogni sistema operativo (OS) è completamente supportato dal fornitore e aggiornato agli ultimi livelli? E viene questo riesaminato almeno una volta al mese?
• Sono stati rimossi o disabilitati tutti i servizi e i daemon non necessari? Sono stati rimossi l'accesso web, FTP, telnet e desktop remoto? Il miglior consiglio è disabilitare tutto ciò che si sa non essere necessario (come il servizio Temi) e poi sperimentare con attenzione uno alla volta gli altri servizi che si ritengono non necessari. Se la disabilitazione di un servizio compromette le operazioni aziendali, mantenerlo abilitato.
• Do you know which ports are open? Is there a good reason for them to remain open or can they be removed? Can you detect new open ports when they appear?
• È stata pienamente sfruttata la Security Policy locale? Le vulnerabilità sfruttabili possono essere mitigate utilizzando questa policy, che offre centinaia di controlli di configurazione di sicurezza granulari per rafforzare la sicurezza.

Esempio: Definire le seguenti impostazioni per i sistemi operativi Windows:

• Consenti alle applicazioni UIAccess di richiedere l'elevazione senza utilizzare il desktop sicuro: Disabilitato
• Richiesta di elevazione per gli amministratori in Modalità Approvazione Admin: Chiedere il consenso sul desktop sicuro
• Richiesta di elevazione per utenti standard: Nega automaticamente le richieste di elevazione
• Rileva installazioni di applicazioni e richiedi l'elevazione: Abilitato
• Abilita solo le applicazioni UIAccess che sono installate in posizioni sicure: Attivato
• Esegui tutti gli amministratori in Modalità Approvazione Admin: Abilitato
• Virtualizza i fallimenti di scrittura file e registro in posizioni per utente: Abilitato

File Systems

• Per i server Unix e Linux, i permessi sui file di sicurezza chiave (come /etc/password e /etc/shadow) sono impostati secondo le raccomandazioni delle migliori pratiche? Viene utilizzato sudo? In caso affermativo, solo i membri del gruppo root wheel sono autorizzati a usarlo?
• Per i server Windows, sono protetti i file eseguibili principali, le DLL e i driver nelle cartelle System32 e SysWOW64, insieme ai Program Files/(x86)?

Esempio: Applica il file integrity monitoring ai seguenti file e cartelle:

• %PROGRAMFILES%: Utilizzare l'hash SHA1, modifiche ai file di sistema, escludere i file di registro, ricorsivo
• %PROGRAMFILES(x86)%: Utilizzare l'hash SHA256, modifiche ai file di sistema, escludere i file di registro, ricorsivo
• %SYSDIR%: Utilizzare hash SHA256, modifiche ai file di sistema, escludere i file di log, ricorsivo
• %WINDIR%SysWOW64: Utilizzare l'hash SHA256, modifiche ai file di sistema, escludere i file di log, ricorsivo

Rete Client/Server

• Il firewall software integrato è abilitato e configurato come "Nega tutto"?
• Su Linux, sono stati configurati i TCP Wrappers per “Deny All”?
• Sono stati adeguatamente limitati i percorsi del registro e le condivisioni accessibili da remoto per il tuo ambiente? Questo sarà diverso per un server membro rispetto a un controller di dominio.

Esempio: Nella vostra politica di sicurezza, specificate le seguenti impostazioni del client di rete e del server di rete:

• Firma digitale delle comunicazioni (se il server è d'accordo): Abilitata
• Invia password non crittografata a server SMB di terze parti: Disabilitato
• Firma digitale delle comunicazioni (sempre): Abilitata
• Firma digitale delle comunicazioni (se il cliente è d'accordo): Abilitata
• Disconnetti i clienti quando scadono le ore di accesso: Abilitato

Controllo degli accessi e gestione dei cambiamenti

• Sono abilitati i registri di controllo per tutti gli accessi, l'uso dei privilegi, le modifiche alla configurazione e l'accesso, la creazione e l'eliminazione degli oggetti?
• Le tracce di verifica sono salvate e conservate in modo sicuro per almeno 12 mesi?
• È configurata e in uso una fonte NTP centrale e protetta?
• Viene utilizzato il file integrity monitoring (FIM) per mantenere i vostri standard di build sicuri?
• Esiste un processo di change management definito che include la proposta di modifica (che copre l'analisi di impatto e le disposizioni di rollback), l'approvazione della modifica, i test di QA e la revisione post-implementazione?
• Gli eventi registrati vengono eseguiti il backup in modo sicuro su un server centrale? Questo richiede un modo per inoltrare gli eventi dai server monitorati al server di log (solitamente un agente di inoltro Syslog o una soluzione più completa come Netwrix Change Tracker) così come una politica di audit strutturata.

Esempio: Definire le seguenti impostazioni nella Advanced Audit Policy:

• Audit Logoff: Successo
• Audit Logon: Successo e Fallimento
• Audita altri eventi di accesso/disconnessione: Successo e Fallimento
• Audit Special Logon: Successo

Software e Applicazioni

• Quali pacchetti e applicazioni sono definiti dal vostro standard di build sicuro? Ad esempio, avete standard per il vostro anti-virus, data leakage prevention, firewall e strumenti FIM? Qual è il processo per aggiornare periodicamente i baseline con eventuali modifiche approvate?
• C'è un processo per assicurarsi di avere le versioni più recenti e che le patch siano state testate e applicate?
• Gli aggiornamenti automatici dei pacchetti sono disabilitati a favore del dispiegamento programmato degli aggiornamenti?

Scegliere una politica di Server Hardening e adattarla alla propria organizzazione

Ottenere una checklist per il rafforzamento o una politica di hardening del server è abbastanza semplice. Ad esempio, il Center for Internet Security (CIS) fornisce hardening checklists; Microsoft offre checklist per dispositivi Windows; Cisco fornisce checklist per i suoi router; e il National Vulnerability Database ospitato dal NIST fornisce checklist per un'ampia gamma di dispositivi Linux, Unix, Windows e firewall. Il NIST fornisce anche il National Checklist Program Repository, che si basa sugli standard SCAP e OVAL.

Questi sono ottimi punti di partenza, ma è necessario personalizzare qualsiasi lista di controllo in base all'operazione e al ruolo di un server. Ad esempio, un server esposto a Internet richiede un controllo degli accessi più rigoroso rispetto a un server di database che si trova dietro il tuo firewall.

Una volta stabilita la tua politica di rafforzamento del server e applicate le checklist delle migliori pratiche alla tua configurazione standard, devi continuare ad audire tutti i dispositivi per qualsiasi deviazione dalla configurazione. Il tuo processo di gestione delle modifiche dovrebbe definire come le modifiche vengono valutate e poi o rimediate o promosse alla baseline della configurazione. Netwrix Change Tracker fornisce un controllo intelligente delle modifiche, quindi le modifiche devono essere approvate solo una volta per un server, e poi qualsiasi altra occorrenza della stessa modifica verrà automaticamente approvata. Questo elimina il problema più grande con la maggior parte dei sistemi FIM e SIEM , ovvero che il rumore delle modifiche può facilmente diventare soverchiante.

Sommario

Il primo passo più efficace in qualsiasi strategia di data security è prevenire le violazioni della sicurezza. Affrontando proattivamente le vulnerabilità di configurazione attraverso il rafforzamento, i server possono essere resi più sicuri e resistenti agli attacchi. Le soluzioni di gestione delle modifiche e di file integrity monitoring poi controllano qualsiasi deviazione dalla tua baseline per assicurarti che tutti i server rimangano configurati in modo sicuro.

FAQ

Cos'è l'hardening di un server?

Il rafforzamento dei server è il processo proattivo di disabilitazione dei programmi e delle funzionalità inutilizzati, di rafforzamento delle impostazioni di sicurezza dei server e di applicazione delle migliori pratiche di auditing e risposta agli incidenti al fine di rendere i server meno vulnerabili agli attacchi.

Cos'è una politica di hardening?

Una policy di hardening è un insieme di linee guida e procedure implementate per ridurre la superficie di attacco di un sistema. La policy dovrebbe essere basata su controllo degli accessi, registrazione e risposta agli incidenti. Una policy può essere specifica per un particolare sistema, come Linux o Windows Server, o generalizzata come una policy di hardening per database.

Cos'è un modello di policy per il rafforzamento dei sistemi?

Un modello di politica di system hardening è un documento che delinea le linee guida e le procedure da seguire per proteggere e mettere in sicurezza i sistemi. Include tipicamente un elenco di migliori pratiche e controlli di sicurezza da implementare per specifici asset. Il modello può essere utilizzato come punto di partenza per creare una politica di hardening personalizzata per vari sistemi.

Come posso rafforzare la sicurezza del mio server?

I passaggi chiave includono tipicamente:

• Rimozione di software e servizi non necessari per ridurre la superficie di attacco
• Configurazione di firewall e sistemi di rilevamento/prevenzione delle intrusioni per bloccare l'accesso non autorizzato
• Abilitazione di funzionalità di sicurezza come la crittografia e l'avvio sicuro
• Implementare le migliori pratiche per il controllo degli accessi, come l'autenticazione a più fattori e il principio del minimo privilegio
• Aggiornare regolarmente il software e applicare le patch di sicurezza
• Implementare un robusto registro eventi e monitoraggio del traffico per rilevare e rispondere a possibili incidenti di sicurezza
• Testare e rivedere regolarmente la politica di hardening del server per identificare e risolvere eventuali vulnerabilità.