Hardening: уменьшение поверхности кибератак

• Сергей Халяпин представляет тему харденинга.  

• Харденинг обсуждается как IT- и ИБ-тема.  

• Цель обсуждения - понять, что такое харденинг, зачем он нужен и кому это нужно.  

• Дмитрий Черников из компании "Факт" рассказывает о компании и её опыте в ИБ.  

• Виталий Масюти из компании "Линза" делится опытом в системной интеграции и ИБ.  

• Марат Чураков из компании "Позитив Технолоджис" рассказывает о проектах по кибербезопасности и харденингу.  

• Олег Горобец из "Лаборатории Касперского" обсуждает харденинг и его важность.  

• Андрей Макаренко из компании "К2 Кибербезопасность" делится опытом построения защищенных инфраструктур.  

• Николай Казанцев из "Комьюнитис Джерси" рассказывает о платформе для управления ИБ-процессами.  

• Тимур Хрбаров из компании "Бизон" делится опытом в мониторинге и реагировании на киберугрозы.  

• Обсуждение результатов опроса о харденинге.  

• Харденинг рассматривается как совместная работа IT и ИБ.  

• Харденинг включает механизмы для усиления защищенности систем.  

• Важность совместной работы IT и ИБ.  

• Необходимость наличия "чемпиона" и владельца системы для внедрения харденинга.  

• Харденинг должен быть интегрирован в существующие процессы.  

• Примеры использования харденинга в различных отраслях, включая банки и промышленность.  

• Обсуждение стандартов и регуляторики, связанных с харденингом.  

• В российской регуляторике пока нет четкого упоминания безопасной конфигурации.  

• Тренд на внедрение харденинга в России набирает обороты.  

• Обсуждение регуляторики и встроенных мер безопасности.  

• Встроенные меры часто забываются, но их внедрение и контроль важны.  

• Регуляторы явно обозначают то, что ранее было скрыто.  

• Вклад в анализ инфраструктуры и понимание её влияния на безопасность.  

• Разработка методологии для анализа инфраструктуры и моделирования цепочек атак.  

• Оценка эффективности харденинга на этапе проектирования.  

• Минимизация поверхности атаки и обновление патчей.  

• Разделение полномочий и минимизация артефактов администраторов.  

• Практические примеры для уменьшения поверхности атаки.  

• Харденинг как полезный и дешевый контроль.  

• Примеры из западных документов по безопасности.  

• Харденинг должен быть внедрен не только из-за нормативки, но и для реальной пользы.  

• Харденинг не может защитить от всех типов атак.  

• Человеческий фактор и технические ограничения.  

• Важность взаимодействия с бизнесом и пользователями.  

• Харденинг доводит инфраструктуру до минимального защищенного состояния.  

• Реактивный подход к безопасности.  

• Проактивный подход к харденингу для усложнения работы атакующего.  

• Харденинг как компромисс между безопасностью и удобством.  

• Примеры из практики и необходимость поиска золотой середины.  

• Харденинг требует планомерного подхода и компромиссов.  

• Проактивный метод подготовки инфраструктуры до атаки.  

• Усложнение маршрута для хакеров, что увеличивает время атаки.  

• Проактивный метод необходим для успешной ловли хакеров.  

• Проактивные меры информационной безопасности.  

• Реактивные меры появляются после атак.  

• Идеальная картина: сначала харденинг, затем внедрение средств защиты.  

• 23% компаний строго следуют регламентам по хардингу.  

• 18% разрабатывают хардинг, 28% не планируют, 17% не считают это необходимым.  

• Хардинг мало применяется, особенно в других секторах.  

• Хардинг сокращает количество точек эксплуатации уязвимостей.  

• Пример: закрытие доступа к интернету для сотрудников.  

• Автоматические системы и дополнительные конфигурации для защиты уязвимостей.  

• Регулярная ревизия версий ПО и оборудования.  

• Оценка уязвимостей в конфигурациях и версиях ПО.  

• Важность патчинга и обновления ПО.  

• Объяснение аббревиатуры CIS.  

• Обсуждение правильного перевода термина "хардинг".  

• Ограничение обсуждения только безопасностью конфигурации.  

• Отключение ненужных сервисов и приложений.  

• Встроенные механизмы защиты в операционных системах.  

• Примеры встроенных механизмов защиты в Windows.  

• Хардинг включает управление безопасными конфигурациями, а не просто включение и выключение.  

• Важно ограничить конфигурацию и внедрить наложенные средства защиты.  

• Хардинг должен рассматриваться как единое целое, включая нативные и наложенные средства.  

• Начальный этап - аудит инфраструктуры для определения необходимых изменений.  

• Анализ инфраструктуры для выявления приоритетных узлов и систем для защиты.  

• Определение стратегии и проектирование изменений.  

• Тестирование изменений на тестовом контуре для проверки работоспособности.  

• Перенос настроек в продуктивную среду после успешного тестирования.  

• Техподдержка изменений и постоянный мониторинг состояния инфраструктуры.  

• Использование модели угроз и результатов тестов для анализа и защиты.  

• Применение харднинга к целевым системам, важным для бизнеса.  

• Пост-эксплуатация харднинга для анализа и улучшения процессов.  

• Использование бинарного дерева ответов для упрощения процесса харднинга.  

• Фокус на ключевых точках уязвимости для ускорения процесса.  

• Применение успешных результатов прошлых итераций для улучшения процесса.  

• Важность местного сообщества для обмена лучшими практиками.  

• Пример сообщества OpenSource, где ранее делились наработками по харднингу.  

• Необходимость продумать технические аспекты внедрения изменений для успешной реализации харднинга.  

• Важно начать с приоритизации задач.  

• Не пытайтесь выполнить все контроли сразу, это приведет к хаосу.  

• Начните с небольших шагов, постепенно повышая защищенность инфраструктуры.  

• Проведите инвентаризацию ключевых продуктов, таких как операционные системы и браузеры.  

• Внедряйте изменения постепенно, начиная с тестового контура.  

• Используйте сканеры конфигурации для отслеживания прогресса.  

• Необходимы специалисты, знающие операционные системы и сетевое оборудование.  

• Важно, чтобы ИТ-специалисты учитывали безопасность при установке новых систем.  

• Создайте команду, специализирующуюся на безопасности, для координации процесса.  

• Важно объяснить бизнесу необходимость изменений в безопасности.  

• Софт скилы, такие как понимание бизнес-процессов, играют ключевую роль.  

• Обратитесь к специализированным компаниям для оценки и внедрения изменений.  

• Не каждая компания может позволить себе специалистов уровня архитектора.  

• Хардинг требует понимания, какие настройки применять.  

• Стандарты безопасности, такие как CIS, не всегда помогают в реальной защите.  

• 20% мер CIS решают 80% проблем.  

• Важно выбирать меры, которые реально мешают атакам.  

• Документы Microsoft более полезны для выбора мер.  

• Некоторые компании принимают риски и не занимаются харденингом.  

• Внешние интеграторы не всегда понимают инфраструктуру компании.  

• Важно погружаться в инфраструктуру и работать с коллегами.  

• Недокументированные изменения могут привести к их отмене.  

• Хардинг требует постоянного внимания и документирования.  

• Важно учитывать человеческий фактор и бизнес-процессы.  

• Хардинг должен учитывать реалии бизнес-процессов.  

• Тестирование изменений лучше проводить на ограниченных бизнес-подразделениях.  

• Журналирование изменений помогает избежать проблем.  

• Некоторые бизнес-подразделения являются самыми атакуемыми.  

• Важно синхронизировать харденинг с бизнес-целями.  

• Технический директор может ошибаться в выборе защищаемых объектов.  

• Удаление программного обеспечения и отключение служб.  

• Настройка правил доступа и переход к доверенным сервисам.  

• Внедрение хардминга требует организационных усилий.  

• Важно определить направления для хардминга и согласовать их с бизнесом.  

• Необходимо внедрить процедуру уведомлений и тестирования.  

• Внедрение должно быть согласовано с тестовой группой.  

• Обязательное уведомление ключевых лиц перед внедрением.  

• Внедрение должно сопровождаться контрольным следом.  

• Внедренные изменения должны быть оформлены в виде стандарта.  

• Важно собирать метрики для оценки прогресса.  

• Организационная обвязка должна включать тестирование и оценку влияния изменений.  

• В тестовую группу должны входить ИТ-специалисты, бизнес-пользователи и технический директор.  

• Обязательная оценка влияния изменений на бизнес-системы.  

• Тестирование и работа с вероятностями для минимизации рисков.  

• Важно интегрировать хардминг в процесс внедрения новых активов.  

• Необходимо обеспечить контроль соответствия стандартам.  

• Встроить хардминг в процесс проектирования и внедрения систем.  

• Хардминг включает конфигурации на всех уровнях: железо, сервисы, сети, операционные системы, приложения.  

• Важно строить эшелонированную оборону с применением хардминга на каждом этапе.  

• В больших гетерогенных сетях может потребоваться привлечение интеграторов.  

• Хардминг операционных систем и приложений сложен из-за разнообразия систем.  

• Важно учитывать стандарты и особенности различных операционных систем.  

• Необходимо использовать продукты для выявления и исправления конфигурационных ошибок.  

• Усложнение первичного доступа: отключение ненужных сервисов, усиление аутентификации.  

• Усложнение запуска вредоносного кода: отключение макросов, настройка операционных систем.  

• Повышение привилегий: выявление сервисов с некорректными правами, настройка прав доступа.  

• Включение встроенных мер безопасности: отключение дайджеста, включение LSA.  

• Парольная политика: усложнение подбора пароля для привилегированных пользователей.  

• Перемещение по сети: отключение ненужных интерфейсов управления.  

• Отключение ненужных интерфейсов управления: Windows Manager, PowerShell.  

• Управление доступом: запрет внешней обработки для ненужных пользователей.  

• Оптимизация доступа: конфигурирование базовых мер безопасности.  

• Физическая безопасность: обеспечение доступа к серверам и облачным инфраструктурам.  

• Облачные провайдеры: инструменты для харденинга облачных инфраструктур.  

• Укрепление операционных систем: 40% респондентов.  

• Веб-серверы и безопасность приложений: 20%.  

• Удаленное управление доступами и сетевой харденинг: 12%.  

• Автоматизация: использование инструментов для проверки и настройки серверов.  

• Начало процесса харденинга: анализ инфраструктуры, разработка политики безопасности.  

• Важно понимать, как появляются уязвимости и как устаревает софт.  

• Необходимы системы трекинга версий софта и автоматического обновления.  

• Важно тестировать софт перед установкой и ограничивать доступ для неизвестных приложений.  

• Хост-система предотвращает доступ для недоверенных приложений.  

• Ограничивает права и взаимодействия для приложений с низкой репутацией.  

• Сетевой IPS также помогает предотвращать сетевые уязвимости.  

• Анализ конфигураций операционных систем и облачных инфраструктур.  

• Важно начинать с базовых конфигураций и критичных участков инфраструктуры.  

• Нет универсального подхода к харденингу, меры зависят от бизнеса и взаимодействия систем.  

• Внедрение мер по контролю конфигураций требует одновременного контроля контроля.  

• Важно проверять конкретные параметры конфигураций и использовать автоматизацию.  

• Косвенные методы проверки, такие как мониторинг, могут быть полезны для сложных конфигураций.  

• Использование различных инструментов, таких как Microsoft System Center Configuration Manager и скрипты на Python и Bash.  

• Специализированные сканеры уязвимостей и утилиты для оценки комплаенса хостов.  

• Автоматизация и выпуск продуктов для измерения и сравнения настроек.  

• Использование бесплатных утилит от Microsoft и VMware для проверки соответствия стандартам безопасности.  

• Специализированные хакерские инструменты для сканирования хостов и поиска векторов повышения привилегий.  

• Важно использовать такие инструменты с осторожностью, чтобы избежать ложных срабатываний.  

• Хардинг и безопасная разработка могут быть согласованы на этапе разработки архитектуры ПО.  

• Хардинг закладывается на этапе разработки, что позволяет улучшить безопасность и устойчивость системы.  

• Хардинг относится к среде исполнения, включая операционные системы и приложения.  

• Контейнеры используются для оркестрации и безопасности.  

• Манифесты Kubernetes определяют настройки безопасности контейнеров.  

• Kubernetes позволяет описывать состояние системы и автоматически приводить её в это состояние.  

• Модификация конфигураций манифестов гарантирует безопасное развертывание приложений.  

• Хардинг включает контроль выполнения требований к безопасной среде.  

• Безопасность по умолчанию означает, что система настроена безопасным образом.  

• Разработчики средств защиты часто поставляют системы с множеством опций для настройки безопасности.  

• Хардинг средств защиты необходим для обеспечения безопасности.  

• Безопасность всегда требует баланса с производительностью и комфортом пользователей.  

• Необходим арбитр для принятия решений о безопасности и производительности.  

• Владелец актива должен принимать решения о хардинге, учитывая бизнес-цели.  

• Оценка харднинга включает использование сканеров конфигурации и анализ защищенности.  

• Важно проверять, действительно ли меры харднинга усложняют задачи атакующего.  

• Контроль и анализ помогают убедиться в эффективности харднинга.  

• Использование новых программных средств безопасности, таких как басы.  

• Автоматические средства выявляют угрозы, которые затем проверяются вручную.  

• Важно измерять защищенность системы и выявлять уязвимости.  

• Хардинг требует дополнительных расходов и трудозатрат.  

• Важно убедить бизнес в необходимости этих мер, объясняя стоимость инцидентов и вероятность их возникновения.  

• Важно иметь союзников среди бизнеса и быть готовыми к аргументам, которые убедят в необходимости изменений.  

• Недостаток квалифицированных специалистов.  

• Сопротивление изменениям у сотрудников.  

• Сложности интеграции харденинга со старыми системами.  

• Непредсказуемость последствий харденинга для инфраструктуры.  

• Нехватка инструментов для автоматизации.  

• Высокая стоимость харденинга, но затраты значительно меньше ущерба от его отсутствия.  

• Хардинг — это непрерывный процесс, требующий регулярного пересмотра политик и аудита.  

• Важно использовать сканеры конфигураций для постоянного мониторинга инфраструктуры.  

• Динамическое развитие систем и постоянное улучшение инфраструктуры.  

• Изменение ландшафта угроз требует адаптации стандартов харденинга.  

• Сканирование инфраструктуры должно быть частым и непрерывным.  

• Использование агентских решений для постоянного мониторинга и выявления отклонений.  

• За последние три года появилось 15 новых техник для получения административного доступа.  

• Важно уделять внимание техникам, эксплуатируемым в дикой природе.  

• Процесс мониторинга и закрытия уязвимостей должен быть непрерывным и безболезненным для пользователей.  

• Интеграторы и производители выпускают стандарты для продуктов.  

• Заказчики должны пересматривать свои стандарты раз в год.  

• Обновления инфраструктуры и продуктов требуют пересмотра стандартов.  

• Постоянное сканирование инфраструктуры не всегда возможно.  

• Важно учитывать особенности инфраструктуры, такие как старые системы в медицине.  

• Мониторинг и сканирование должны быть частью процесса.  

• Введение термина "трендовость уязвимостей" помогает определить приоритетные цели для атак.  

• Аналогичный подход можно применить к трендовости конфигураций.  

• Это упростит процесс харденингу и снизит порог входа.  

• Продукты для контроля конфигураций будут развиваться аналогично ларабити-менеджерам.  

• Важно предоставлять приоритизированную информацию для безопасного использования.  

• Необходимо учитывать как трендовые, так и старые уязвимости.  

• Российские производители выпускают документы для импортозамещения.  

• Объем работы по разработке и проверке документов будет увеличиваться.  

• Важно вести работу по импортозамещению и выпускать документацию.  

• Рекомендуется использовать ресурсы CIS, NIST, NSA и DHS.  

• Российские производители также выпускают документы, но пока не так массово.  

• Важно, чтобы производители выпускали харденин-гайды для своих продуктов.  

• Методическая база в России пока отстает от западной.  

• Западные производители выпускают секьюрити-гайды для своих продуктов.  

• Важно видеть рекомендации от регуляторов и производителей.  

• Один из ключевых поставщиков стандартов на рынке - PT.  

• Недавно PT выпустил стандарт по безопасной разработке.  

• Продукт компании включает регуляторику, проекты рисков и защитные меры.  

• Бесплатная комьюнити-версия доступна для регистрации и использования.  

• 35% зрителей считают, что все делают правильно.  

• 30% готовы внедрять обсуждаемые практики.  

• 6% пока не готовы применять, 6% не смогли убедить, 24% ничего не поняли.  

• Хардинг не раскачан, это новое направление в управлении безопасностью.  

• Ожидается, что через 2-3 года харденинг станет стандартным процессом в каждой службе.  

• Предложить собрать ресурсы и инструменты на сайте для более подробного обсуждения.  

• Анонс следующего эфира 8 ноября, посвященного российским системам управления базами данных.  

• Призыв регистрироваться и активно участвовать в обсуждении.