Szerver hardening
Egy alapbeállításokkal telepített szerveren sok minden fut, amire nincs szükség. Ezeket kikapcsoljuk, a jogosultságokat szűkítjük, beállítjuk a naplózást és a frissítéseket, és a végén riportot adunk arról, mi változott.
Mit jelent a hardening?
A hardening a szerver támadási felületének csökkentése. Minden futó szolgáltatás, nyitott port és felesleges jogosultság egy lehetséges belépési pont. Minél kevesebb van belőlük, annál nehezebb dolga van a támadónak, és annál kisebb a kár, ha egy fiók mégis kompromittálódik.
A CIS Benchmark egy nyilvános, iparági konszenzussal készült ajánlásgyűjtemény az egyes operációs rendszerek biztonságos beállításához. Ezt használjuk kiindulópontnak, és a szerver szerepéhez igazítjuk: egy fájlszerver mást igényel, mint egy webszerver vagy egy tartományvezérlő.
A teljes lista
- Szolgáltatások és portok: ami nem kell, nem fut
- Fiókok és jogosultságok: minimális jog, rendszergazdai fiókok szűkítése
- Hitelesítés: jelszóházirend, többlépcsős azonosítás, távoli elérés
- Elavult protokollok: SMBv1, régi TLS-verziók kikapcsolása
- Naplózás: központi napló, időszinkron, megőrzés
- Frissítések: patch-kezelési folyamat
- Titkosítás: lemez és kommunikáció
Így dolgozunk
A változtatásokat előre egyeztetjük, és ahol lehet, előbb tesztkörnyezetben próbáljuk ki. A szerver működése nem állhat meg a biztonság miatt.
Állapotfelmérés
CIS Benchmark szerinti ellenőrzés, a jelenlegi állapot rögzítése.
Terv
Mit módosítunk, mit hagyunk ki és miért. A kivételeket is dokumentáljuk.
Végrehajtás
Karbantartási ablakban, visszaállási lehetőséggel.
Riport
Előtte–utána ellenőrzés, az eltérések indoklása, auditra kész dokumentáció.
Miért kell a megfeleléshez?
A NIS2 és az ISO 27001 is elvárja a rendszerek biztonságos konfigurációját, és azt, hogy ez dokumentálva legyen. A hardening riport pontosan ezt adja: mi volt az állapot, mit változtattunk, és mi az, amit indokoltan kihagytunk.
Szerver hardeninget végeztünk például a SPIE Hungarynél, a teljes IT üzemeltetés részeként.
Ezek is érdekelhetik
- Teljes IT üzemeltetés – a szerverek folyamatos karbantartása
- Cortex XDR – végpontvédelem a szervereken is
- Palo Alto tűzfalak – a szerverek előtti védelem
Gyakori kérdések a hardeningről
Leáll a szerver a hardening közben?
A legtöbb módosítás nem igényel leállást. Ahol újraindítás kell, azt előre egyeztetett karbantartási ablakban végezzük, és minden változtatáshoz van visszaállási lehetőség.
Milyen gyakran kell hardeninget végezni?
Új szerver üzembe helyezésekor, nagyobb verzióváltás után, és évente legalább egyszer érdemes ellenőrizni, hogy a beállítások nem csúsztak-e el. Üzemeltetési szerződés mellett ezt folyamatosan figyeljük.
Mi az a CIS Benchmark?
A Center for Internet Security által kiadott, nyilvános ajánlásgyűjtemény operációs rendszerek és alkalmazások biztonságos beállításához. Széles körben elfogadott kiindulópont, az auditorok is ismerik.
Windows és Linux szervereken is dolgoznak?
Igen, mindkettőn. Windows környezetben az Active Directory jogosultságait és csoportházirendjeit is átnézzük, Linuxon az SSH-t, a sudo-jogokat és a rendszerszolgáltatásokat.
Kérjen ajánlatot
Írja meg, hány és milyen szervert kell átnézni (Windows, Linux, fizikai vagy virtuális), és felmérés után ajánlatot adunk.