Hardening (bezpečnostné spevnenie) je proces, pri ktorom sa systém nastaví tak, aby poskytoval útočníkovi čo najmenej príležitostí. Odstraňujú sa nepotrebné služby, účty a funkcie, vypínajú sa staré protokoly a predvolené nastavenia sa nahrádzajú bezpečnejšími. Cieľom je zmenšiť takzvanú plochu útoku.

Výrobcovia dodávajú systémy tak, aby fungovali v čo najväčšom počte prostredí – teda s mnohými zapnutými funkciami. To je pohodlné pri inštalácii, no z pohľadu bezpečnosti zbytočne otvorené. Hardening je ako zamknutie nepoužívaných dverí v budove: neznemožní vstup cez hlavný vchod, ale výrazne obmedzí, kadiaľ sa dá dostať dnu.

Čo hardening zahŕňa

  • vypnutie nepotrebných služieb, portov a súčastí operačného systému,
  • deaktiváciu zastaraných protokolov a slabých šifrovacích algoritmov,
  • zmenu alebo odstránenie predvolených účtov a hesiel,
  • nastavenie politík hesiel, uzamykania účtov a auditovania udalostí,
  • obmedzenie administrátorských oprávnení na nevyhnutné minimum,
  • bezpečnú konfiguráciu aplikačných platforiem, databáz a cloudových služieb.

Ako postupovať

Hardening by mal vychádzať z overených baseline štandardov – odporúčaných bezpečných konfigurácií, aké publikujú napríklad CIS (Center for Internet Security) alebo výrobcovia systémov. Typický postup:

  1. výber štandardu pre daný typ systému a jeho prispôsobenie potrebám prevádzky,
  2. porovnanie aktuálneho stavu so štandardom,
  3. otestovanie zmien, aby neprestali fungovať aplikácie,
  4. postupné zavedenie zmien cez change management s možnosťou rollbacku,
  5. pravidelná kontrola, či sa konfigurácia časom neodchyľuje.

PosAm vo svojom blogu uvádza hardening serverov, aplikačných platforiem a cloudových služieb podľa baseline štandardov ako súčasť systematického prístupu ku kybernetickej bezpečnosti – pozrite si článok Posilňujeme kybernetickú odolnosť organizácií systematicky a technicky.

Súvislosti

Hardening dopĺňa patch management: záplaty opravujú chyby v kóde, hardening odstraňuje riziká v nastaveniach. Obmedzuje aj laterálny pohyb útočníka a je jedným z pilierov prístupu Zero Trust. Pri prostredí s infraštruktúrou ako kód je možné bezpečnú konfiguráciu definovať priamo v šablónach, takže nové servery vznikajú už zabezpečené.

Časté otázky

Môže hardening narušiť prevádzku?

Áno, ak sa zmeny nasadia bez testovania. Preto sa zavádzajú postupne, s otestovaním a pripraveným návratom k pôvodnej konfigurácii.

Stačí hardening urobiť raz?

Nie. Pri aktualizáciách, inštalácii nového softvéru či ručných zásahoch sa konfigurácia mení, preto je potrebná pravidelná kontrola.

Ak chcete, aby vaše servery a cloudové služby mali bezpečnú konfiguráciu od začiatku, pozrite si návrh IT infraštruktúry a starostlivosť o ňu alebo kontaktujte PosAm.