CIS Control 4: Configuração Segura de Ativos Empresariais & Software

CIS Control 4 estabelece configurações seguras para ativos empresariais e software para reduzir vulnerabilidades provenientes de configurações incorretas. Suas 12 salvaguardas cobrem linhas de base, firewalls, gerenciamento de contas e controles de dispositivos móveis, garantindo segurança consistente em diferentes ambientes. A aplicação dessas medidas fortalece as defesas, previne desvios e apoia a conformidade com frameworks de segurança.

Manter configurações seguras em todos os ativos de TI é essencial para a cibersegurança, conformidade e continuidade dos negócios. Uma única má configuração pode criar vulnerabilidades que levam a violações custosas ou interrupções.

O CIS Control 4 dos Critical Security Controls v8 detalha as melhores práticas para estabelecer e manter configurações seguras para hardware e software empresarial. (Na versão 7, este tópico era abordado pelo Controle 5 e Controle 11.) Este artigo explica as 12 salvaguardas incluídas neste controle e como implementá-las eficazmente.

O que são os CIS Controls?

Os CIS Critical Security Controls são uma coleção de melhores práticas mantidas pelo Center for Internet Security (CIS). Eles fornecem um roteiro priorizado para organizações mitigarem ciberataques, prevenir vazamentos de dados e fortalecer a postura de segurança geral. A versão 8 define 18 controles, cada um cobrindo um aspecto crítico da cibersegurança.

O que é o CIS Control 4?

O CIS Control 4 foca na segurança de ativos empresariais, incluindo endpoints, dispositivos de redes, dispositivos IoT, servidores, sistemas operacionais e aplicações de software. Ele enfatiza a substituição de configurações padrão fracas por configurações reforçadas e garante consistência entre ambientes.

Com o crescimento do BYOD, adoção de nuvem e trabalho híbrido, garantir uma configuração consistente e segura é crítico. Configurações fracas oferecem aos atacantes uma entrada fácil nos sistemas.

4.1. Estabelecer e manter um processo de configuração segura

Defina e aplique configurações seguras iniciais para todos os ativos empresariais, incluindo laptops, servidores, IoT e dispositivos de rede. Baseie-as em benchmarks do CIS e padrões da indústria. Reveja e atualize anualmente ou quando ocorrerem mudanças significativas.

Chaves para o sucesso: – Adote um framework de segurança como seu roteiro. – Crie uma linha de base para aplicações e rastreie todas as alterações. – Escaneie continuamente em busca de vulnerabilidades e más configurações. – Utilize ferramentas que diferenciem alterações aprovadas das arriscadas. – Documente e audite regularmente.

4.2. Estabeleça e mantenha configurações seguras de infraestrutura de rede

Os dispositivos de rede controlam a conectividade e são os principais alvos para adversários. Endureça configurações, segmente redes e monitore para deriva.

Chaves para o sucesso: – Atualize processos após mudanças significativas. – Aplique supervisão humana para aprovações. – Reveja regularmente as configurações de hardware. – Mantenha históricos de configuração para auditorias.

4.3. Configure o bloqueio automático de sessão nos ativos empresariais

Mitigue riscos de dispositivos desatendidos bloqueando sessões automaticamente. Estações de trabalho devem ser bloqueadas após 15 minutos; dispositivos móveis em até 2 minutos.

Chaves para o sucesso: – Exigir senhas complexas. – Ajustar bloqueios com base na sensibilidade do dispositivo. – Usar exibições ou protetores de tela que ocultem padrões.

4.4. Implementar e gerenciar firewalls em servidores

Firewalls protegem os dados de acessos não autorizados, bloqueiam o tráfego malicioso e permitem apenas aplicações confiáveis.

Chaves para o sucesso: – Revise as regras do firewall regularmente. – Segmente as redes para reduzir o movimento lateral. – Audite o desempenho do firewall e teste com exercícios de penetração.

4.5. Implemente e gerencie firewalls em dispositivos de usuário final

Implante firewalls baseados em host com regras de negação por padrão em todos os dispositivos. Teste e atualize as configurações regularmente.

Chaves para o sucesso: – Alinhe as políticas de firewall com os requisitos de conformidade. – Registre e classifique o tráfego de rede centralmente para obter insights.

4.6. Gerencie de forma segura os ativos e softwares empresariais

Utilize protocolos seguros e evite métodos desatualizados como Telnet ou HTTP. Proteja interfaces e ferramentas de gerenciamento contra exploração.

Chaves para o sucesso: – Utilize infraestrutura como código para mudanças controladas e passíveis de revisão. – Aplique protocolos seguros (SSH, HTTPS). – Elimine protocolos inseguros.

4.7. Gerenciar contas padrão

Desative ou renomeie contas de administrador padrão e aplique credenciais fortes e únicas.

Chaves para o sucesso: – Proteja as contas de administrador de domínio com senhas longas e seguras. – Aplique o princípio de menor privilégio para todos os papéis. – Implemente políticas de senhas granularespassword policies.

4.8. Desinstale ou desative serviços desnecessários

Remova serviços não utilizados ou redundantes para minimizar a superfície de ataque.

Chaves para o sucesso: – Faça varreduras regulares em busca de novos serviços. – Registre a atividade do serviço para visibilidade. – Avalie a compatibilidade antes de desativar.

4.9. Configurar servidores DNS confiáveis

Utilize servidores DNS controlados pela empresa ou de reputação confiável para proteger as comunicações e aplicar atualizações rapidamente.

Chaves para o sucesso: – Implemente múltiplos servidores DNS internos para redundância. – Registre consultas para auditorias e detecção de anomalias. – Restrinja o acesso apenas a administradores.

4.10. Aplicar bloqueio de dispositivo em endpoints portáteis

Bloqueie ataques de força bruta impondo bloqueios após falhas no login (20 para laptops, 10 ou menos para dispositivos móveis).

Chaves para o sucesso: – Aplicar bloqueios em todos os dispositivos. – Educar os funcionários sobre as políticas. – Usar MFA para desbloqueios.

4.11. Aplicar limpeza remota em dispositivos portáteis

Ative a limpeza remota para dispositivos perdidos ou roubados para evitar perda de dados e violações de conformidade.

Chaves para o sucesso: – Defina gatilhos de limpeza claros. – Teste a funcionalidade regularmente.

4.12. Separe espaços de trabalho empresariais em dispositivos móveis

Separe os dados empresariais das aplicações pessoais em dispositivos móveis.

Chaves para o sucesso: – Ofereça portais de autoatendimento para gerenciamento de dispositivos. – Garanta a aplicação de patches e atualizações remotas.

Como a Netwrix Ajuda Você a Atender às Salvaguardas do CIS Control 4

A implementação do CIS Control 4 significa estabelecer configurações seguras e mantê-las consistentes ao longo do tempo. As soluções da Netwrix mapeiam diretamente para essas salvaguardas.

Estabelecendo e mantendo linhas de base seguras: Netwrix Change Tracker monitora continuamente as configurações em servidores, bancos de dados e endpoints. Detecta alterações não autorizadas ou arriscadas em tempo real, destaca desvios das linhas de base aprovadas e gera relatórios certificados pela CIS para simplificar auditorias. Isso garante que você possa comprovar a conformidade enquanto reduz as oportunidades para atacantes explorarem configurações incorretas.

Aplicando o princípio de menor privilégio e conformidade com a Política de Grupo: Netwrix Endpoint Policy Manager remove direitos de administrador local sem interromper a produtividade. Ele valida se as configurações de Group Policy settings são aplicadas corretamente em endpoints Windows, consolida a proliferação de GPOs e bloqueia alterações não autorizadas. Essas capacidades apoiam diretamente as salvaguardas para gestão segura de contas, regras de firewall e bloqueios de dispositivos.

Prevenção de perda de dados no endpoint: Netwrix Endpoint Protector impede que dados sensíveis saiam através de drives USB, impressoras ou outros pontos de saída. Com proteção consciente do conteúdo e criptografia reforçada, você pode alinhar-se às recomendações do CIS para controlar mídias removíveis e reduzir riscos de exfiltração.

Juntos, essas ferramentas ajudam as organizações a enfrentar as partes mais desafiadoras do CIS Control 4, desde a segurança das configurações iniciais até garantir que permaneçam protegidas em ambientes híbridos e remotos.

Perguntas frequentes sobre o CIS Control 4

O que são os Controles CIS?
Um framework de segurança priorizado desenvolvido pelo Center for Internet Security que ajuda organizações a prevenir ciberataques. Inclui 18 controles cobrindo todas as áreas da segurança empresarial.

O que é o CIS Control 4?
O CIS Control 4 é uma melhor prática de cibersegurança dos CIS Critical Security Controls que se concentra na configuração segura de ativos empresariais e software. Ele garante que os sistemas sejam fortalecidos contra ataques substituindo configurações padrão por linhas de base seguras e mantendo essas configurações regularmente.

Como as empresas podem implementar processos de configuração segura?
As empresas podem implementar configuração segura criando primeiro um inventário completo de ativos, depois estabelecendo linhas de base reforçadas com os CIS Benchmarks. Políticas de segurança devem ser aplicadas em todos os sistemas, e o monitoramento contínuo com ferramentas como Netwrix Change Tracker ajuda a detectar desvios de configuração e otimizar a preparação para auditorias.

Os CIS Controls são um padrão?

Os Controles Críticos de Segurança da CIS (CIS Controls) não são um padrão formal, mas tornaram-se um framework de cibersegurança global de facto amplamente aceito. Desenvolvido pela organização sem fins lucrativos Center for Internet Security (CIS), os controles fornecem um conjunto de melhores práticas priorizadas e orientadas pela comunidade para a segurança operacional.
Eles oferecem um roteiro prático para a defesa contra ameaças cibernéticas modernas e são fortalecidos pela ampla adoção e atualizações regulares.

Por que usar CIS Controls?

As organizações adotam os CIS Controls porque eles fornecem:

• Orientações de alto impacto e priorizadas. Elas se concentram nas ações mais eficazes para reduzir superfícies de ataque e interromper técnicas comuns de ataque.
• Implementação prática e escalável. Os Grupos de Implementação (IGs) permitem que organizações de todos os tamanhos comecem com proteções essenciais e expandam ao longo do tempo.
• Alinhamento de conformidade. Os controles correspondem diretamente a frameworks amplamente utilizados como NIST CSF, ISO 27001, PCI DSS e HIPAA, servindo como um forte ponto de partida para o alinhamento regulatório.
• Passos simplificados e acionáveis. Os CIS Controls oferecem salvaguardas práticas que as equipes de TI podem implementar rapidamente, ao contrário de frameworks mais abstratos.
• Eficácia comprovada. A versão 8 dos CIS Controls mitiga aproximadamente 86% das técnicas do MITRE ATT&CK (ou 74% no nível básico IG1).