Ασφάλεια + Πιστοποίηση: Βελτίωση της άμυνας

Η σκλήρυνση αναφέρεται στη διαδικασία αλλαγής σε υπολογιστή ή συσκευή δικτύου, προκειμένου να καταστεί λιγότερο ευάλωτη σε εισβολείς. Αυτό είναι σημαντικό επειδή οι υπολογιστές και τα δίκτυα που χρησιμοποιεί ένας οργανισμός αναμένεται να συνεχίσουν να λειτουργούν χωρίς διακοπή. οι επιχειρηματικές πληροφορίες που περιέχονται ή επεξεργάζονται από αυτούς αναμένεται να διατηρήσουν την ακεραιότητά τους.

Για διάφορους λόγους που δεν είναι αυστηροί στο θέμα της πιστοποίησης Security +, τα συστήματα δεν προέρχονται από τους κατασκευαστές τους σε μια εντελώς σκληρή κατάσταση. Εναπόκειται στην οργάνωση που χρησιμοποιεί τα συστήματα να εκτελεί όλες τις διαδικασίες σκλήρυνσης που είναι κατάλληλες για το περιβάλλον τους.

Η σωστή σκλήρυνση ενός συστήματος πέφτει κάτω σε πέντε αρχές:

Κρατήστε ενημερωμένες ενημερώσεις ασφαλείας και διορθώσεις ασφαλείας. Σχεδόν κάθε πωλητής υλικού και λογισμικού από καιρό σε καιρό απελευθερώνει ενημερώσεις ασφαλείας. Είναι σημαντικό κάθε οργανισμός που χρησιμοποιεί το προϊόν να εγκαταστήσει την ενημερωμένη έκδοση κώδικα ασφαλείας το συντομότερο δυνατόν, προκειμένου να αποφευχθούν τα συμβάντα ασφαλείας.
Απενεργοποιήστε ή αφαιρέστε τα περιττά εξαρτήματα. Αν ένα στοιχείο λογισμικού σε ένα σύστημα δεν χρησιμοποιείται, είναι πιθανώς περιττό. Κάθε περιττή συνιστώσα σε ένα σύστημα πρέπει είτε να είναι απενεργοποιημένη είτε, καλύτερα, να αφαιρεθεί εντελώς. Όταν ένα στοιχείο λογισμικού αφαιρείται από ένα σύστημα, τότε οποιαδήποτε ευπάθεια που ανακαλύπτεται σε αυτό το στοιχείο δεν μπορεί να θέσει σε κίνδυνο το σύστημα. Εάν το ελαττωματικό στοιχείο δεν λειτουργεί ή δεν υπάρχει, τότε δεν μπορεί να χρησιμοποιηθεί για να εισχωρήσει σε ένα σύστημα.

Απενεργοποιήστε τις προεπιλεγμένες ρυθμίσεις παραμέτρων πρόσβασης. Τα συστήματα και οι συσκευές δικτύου ενδέχεται να έχουν προεπιλεγμένους λογαριασμούς ή / και κωδικούς πρόσβασης που, αν παραμείνουν αμετάβλητοι, παρέχουν εύκολη πρόσβαση από εισβολέα. Οι λογαριασμοί επισκεπτών πρέπει να απενεργοποιούνται ή να καταργούνται. οι προεπιλεγμένοι κωδικοί πρόσβασης πρέπει να αλλάξουν. οι λογαριασμοί χωρίς κωδικούς πρόσβασης πρέπει να απενεργοποιούνται ή να εκχωρούνται κωδικοί πρόσβασης.
Σφίξτε τους ελέγχους πρόσβασης. Πολύ συχνά, τα δικαιώματα πρόσβασης σε πόρους, όπως προγράμματα ή αρχεία, είναι πολύ χαλαροί. Σε μια προσπάθεια να αρχίσουν να λειτουργούν νέες υπηρεσίες, οι διαχειριστές συστημάτων αλλάζουν συχνά τα στοιχεία ελέγχου πρόσβασης σε "ευρύχωρο" και στη συνέχεια, στη βιασύνη τους να ολοκληρώσουν το έργο, παραμελούν να σφίξουν την πρόσβαση. Αργότερα, η "ευρεία ανοικτή" πρόσβαση μπορεί να εκμεταλλευτεί ένας εισβολέας που μπορεί να κλέψει ή να βλάψει πληροφορίες.

Ενεργοποιήστε την καταγραφή ελέγχου. Πολλά λειτουργικά συστήματα και εφαρμογές, ενώ περιέχουν μια λειτουργία καταγραφής συμβάντων / πρόσβασης / ελέγχου, συχνά αποστέλλονται με απενεργοποιημένη ή απενεργοποιημένη καταγραφή.Με τη χρήση της καταγραφής συμβάντων, μπορεί να είναι δυνατή η εκ νέου ανίχνευση μερικών από τα βήματα που έλαβε ένας εισβολέας.

Αυτές οι καθολικές αρχές εφαρμόζονται σχεδόν σε κάθε κατάσταση που αφορά υπολογιστές και συσκευές δικτύου. Εάν οι μηχανικοί συστημάτων και δικτύων είναι επιμελής και ακολουθούν αυτές τις αρχές, τότε θα αποφευχθεί η πλειονότητα των δυνητικών περιστατικών ασφάλειας.

Αδυναμίες και επιδιορθώσεις ασφαλείας

Οι υπολογιστές και οι συσκευές δικτύου έχουν στον πυρήνα τους ένα ή περισσότερα προγράμματα λογισμικού που ελέγχουν τη λειτουργία τους. Είναι γραμμένο, εγκατεστημένο και διαχειριζόμενο από ατελείς ανθρώπους, μερικές φορές οι υπολογιστές και οι συσκευές δικτύου περιέχουν ελαττώματα που επιτρέπουν απρόσμενη συμπεριφορά. Από καιρό σε αυτή την απροσδόκητη συμπεριφορά, κάποιος μπορεί να ελέγξει ή να αλλάξει το σύστημα. Αυτό είναι γενικά γνωστό ως ελάττωμα ασφαλείας .

Άλλες δυσλειτουργίες στο λογισμικό έχουν ως αποτέλεσμα το σύστημα να μην λειτουργεί όπως αναμένεται. Παρόλο που ενδέχεται να μην λάβουν τη μορφή ελαττωμάτων ασφαλείας, ίσως να είναι ερεθιστικές.

Οι εταιρείες που δημιουργούν και υποστηρίζουν συστήματα έχουν ανθρώπους των οποίων η δουλειά είναι να δημιουργούν ενημερώσεις λογισμικού. Ανάλογα με τον λόγο για τη δημιουργία της ενημερωμένης έκδοσης, μπορεί να πάρει πολλές μορφές:

Release Service. Επίσης γνωστό ως έκδοση αναβάθμισης ή service pack, οι εκδόσεις υπηρεσιών συνήθως περιέχουν πολλές διορθώσεις και ακόμη βελτιώσεις ή αναβαθμίσεις λειτουργιών. Οι εκδόσεις υπηρεσιών γενικά παράγονται από μία έως τρεις ή τέσσερις φορές το χρόνο.
Εμπλοκή. Επίσης γνωστή ως επείγουσα επιδιόρθωση, μια ενημερωμένη έκδοση κώδικα έχει σχεδιαστεί για να αλλάξει ένα συγκεκριμένο πρόβλημα. Ενώ οι αλλαγές σε μια ενημερωμένη έκδοση κώδικα περιλαμβάνονται συνήθως σε ένα Service Release, γενικά δημιουργείται μια ενημερωμένη έκδοση κώδικα επειδή υπάρχει αυξημένη επείγουσα ανάγκη. Συνήθως ένας προμηθευτής παράγει ένα έμπλαστρο επειδή πιστεύει ότι οι πελάτες του θα πρέπει να το εγκαταστήσουν αμέσως αντί να περιμένουν την επόμενη έκδοση υπηρεσίας για την αντιμετώπιση του ζητήματος.

Απενεργοποίηση περιττών υπηρεσιών

Μια μη χρησιμοποιημένη αλλά τρέχουσα εφαρμογή ή υπηρεσία μπορεί να αυξήσει τον κίνδυνο σε ένα σύστημα. Πάρτε, για παράδειγμα, την υπηρεσία FTP. Το FTP είναι αξιόπιστο και επαρκές για την ασφάλεια όταν έχει διαμορφωθεί σωστά.

Ας υποθέσουμε, για παράδειγμα, ότι ανακαλύφθηκε ένα σοβαρό ελάττωμα στο FTP. Ας υποθέσουμε ότι, εάν δώσατε ένα συγκεκριμένο μοτίβο στο πεδίο κωδικού πρόσβασης, θα μπορούσατε να ελέγξετε το σύστημα. Αυτό θα έθετε σε κίνδυνο την ακεραιότητα του συστήματος. Ωστόσο, εάν το FTP δεν χρησιμοποιήθηκε σε ένα δεδομένο σύστημα, τότε θα πρέπει να είναι είτε απενεργοποιημένο είτε καταργημένο. Αυτό θα εξαλείψει την απειλή που προκαλείται από το ελάττωμα FTP, διότι αν το FTP δεν εκτελείται στο σύστημα, τότε δεν μπορεί να εκμεταλλευτεί για να θέσει σε κίνδυνο το σύστημα.

Απενεργοποίηση προεπιλεγμένης πρόσβασης

Προκειμένου να διευκολυνθεί η αρχική διαμόρφωση ή χρήση τους, πολλά συστήματα αποστέλλονται στον πελάτη με έναν λογαριασμό επισκέπτη και ίσως έναν προεπιλεγμένο κωδικό πρόσβασης σε έναν ή περισσότερους διαχειριστικούς λογαριασμούς. Εάν οι λογαριασμοί αυτοί δεν έχουν αλλάξει ή απενεργοποιηθεί, τότε ένας εισβολέας που γνωρίζει τους εργοστασιακούς κωδικούς πρόσβασης ή άλλες μεθόδους πρόσβασης ενδέχεται να είναι σε θέση να ελέγξει ένα σύστημα.

Είναι λοιπόν επιτακτικό να εκτελέσετε κάποια ή όλα από τα παρακάτω:

Απενεργοποίηση ή κατάργηση λογαριασμών Guest.
Αλλάξτε τους προεπιλεγμένους κωδικούς πρόσβασης στους λογαριασμούς.
Βεβαιωθείτε ότι όλοι οι λογαριασμοί έχουν κωδικούς πρόσβασης.

Οι λογαριασμοί και οι κωδικοί πρόσβασης είναι η πρώτη γραμμή άμυνας του συστήματος, οπότε είναι σημαντικό να μην καταστεί πολύ εύκολο για έναν εισβολέα να θέσει σε κίνδυνο το σύστημά σας.

Σφίξτε τους ελέγχους πρόσβασης

Η πρόσβαση σε όλα όσα σχετίζονται με υπολογιστές και δίκτυα πρέπει να περιορίζεται μόνο σε εκείνα τα άτομα που έχουν καλόπιστο επιχειρησιακό λόγο για να έχουν πρόσβαση σε αυτά. Εξετάστε τους ακόλουθους δείκτες:

Αντισταθείτε στον πειρασμό να αλλάξετε τα δικαιώματα πρόσβασης σε "ευρεία ανοικτή" (επιτρέποντας την πρόσβαση σε οποιονδήποτε και σε όλους).
Υιοθετήστε την αρχή της "άρνησης εάν δεν επιτρέπεται ρητά". Με άλλα λόγια, η προεπιλεγμένη άδεια πρόσβασης σε έναν πόρο πρέπει να "απορριφθεί. "Στη συνέχεια, επιτρέψτε ρητά την πρόσβαση σε συγκεκριμένες ομάδες ή άτομα, όπως απαιτείται. Αυτό βοηθά τους νέους χρήστες να αποκτήσουν πρόσβαση σε ένα άλλο κλειστό πόρο (εκτός αν ο διαχειριστής είναι 100% επιμελής και πάντα προσθέτει κάθε νέο χρήστη στη λίστα "απορριφθέντων" κάθε διαχειριζόμενου πόρου).
Υιοθετήστε την αρχή ότι "οι χρήστες έχουν τα λιγότερα προνόμια που απαιτούνται για να εκτελέσουν τη δουλειά τους. "Αυτό είναι γνωστό ως η αρχή του" λιγότερου προνομίου. "

Ενεργοποίηση της καταγραφής ελέγχου

Η καταγραφή ελέγχου είναι ένα χαρακτηριστικό που υπάρχει στα περισσότερα OS, βάσεις δεδομένων και μεγαλύτερες εφαρμογές όπου οι περισσότερες (αν όχι όλες) χρηστικές και διοικητικές συναλλαγές καταγράφονται ανεξάρτητα. Αυτό παρέχει ένα ίχνος ελέγχου που μπορεί να χρησιμοποιηθεί για να συνθέσει μαζί ρουτίνα ή ασυνήθιστα γεγονότα.

Η καταγραφή ελέγχου στο ελάχιστο πρέπει να περιέχει τα ακόλουθα στοιχεία που περιγράφουν μια συναλλαγή ή ένα συμβάν:

Ποιος πραγματοποίησε τη συναλλαγή. Αυτό είναι γενικά το userid που σχετίζεται με τη συναλλαγή.
Όταν έγινε η συναλλαγή πραγματοποιήθηκε.
Τι περιελάμβανε η συναλλαγή . Ανάλογα με τη φύση της συναλλαγής, αυτό μπορεί να περιέχει "παλαιές" και "νέες" τιμές ή μια περιγραφή της συναλλαγής.
Όπου πραγματοποιήθηκε η συναλλαγή. Αυτό γενικά θα είναι αναγνωριστικό τερματικού ή διεύθυνση IP.