Hardening: уменьшение поверхности кибератак

• Сергей Халяпин представляет тему харденинга.  

• Обсуждение, что такое харденинг, его значение и применение.  

• Призыв к активному участию в дискуссии.  

• Дмитрий Черников из компании "Факт" рассказывает о компании и её опыте.  

• Виталий Масюти из компании "Линза" делится опытом интегратора в области информационной безопасности.  

• Марат Чураков из компании "Позитив Технолоджис" рассказывает о проектах по кибербезопасности.  

• Олег Горобец из "Лаборатории Касперского" обсуждает харденинг и его важность.  

• Андрей Макаренко из компании "К2 Кибербезопасность" делится опытом построения защищенных инфраструктур.  

• Николай Казанцев из "Комьюнитис Джерси" рассказывает о платформе для управления безопасностью конфигураций.  

• Тимур Хирбаров из компании "Бизон" делится опытом выявления и устранения уязвимостей.  

• Обсуждение результатов опроса о харденинге.  

• Основные принципы харденинга: совместная работа ИТ и ИБ, наличие чемпиона внутри организации, участие владельца системы и интеграция в существующие процессы.  

• Обсуждение применения харденинга в различных отраслях, включая банки и промышленность.  

• Влияние международных стандартов, таких как PCI DSS и ISO 27001.  

• Российская регуляторика и её развитие в области безопасности конфигураций.  

• Регуляторы начинают явно обозначать встроенные меры безопасности.  

• Внедрение встроенных мер можно назвать харденингом.  

• Переход к более ответственному подходу к персональным данным.  

• Анализ инфраструктуры помогает уменьшить поверхность атаки.  

• Разработана методология для анализа инфраструктуры и моделирования цепочек атак.  

• Эти данные помогают оценивать эффективность харденинга на этапе проектирования.  

• Минимизация поверхности атаки и обновление патчей.  

• Разделение полномочий и использование гайдов от Microsoft и Linux.  

• Харденинг как полезный и дешевый контроль безопасности.  

• Харденинг не защищает от всех типов атак из-за человеческого фактора и уязвимостей.  

• Важно учитывать мнение бизнеса и пользователей.  

• Харденинг доводит инфраструктуру до минимального защищенного состояния.  

• Харденинг усложняет работу для атакующего, но не должен усложнять работу пользователей.  

• Проактивный подход: уменьшение поверхности атаки и упрощение защиты.  

• Реактивный подход: создание белого списка приложений и другие меры защиты.  

• Харденинг требует компромисса между безопасностью и удобством.  

• Приведение инфраструктуры к стандартам безопасности требует времени и усилий.  

• Важно найти золотую середину между безопасностью и удобством работы.  

• Проактивный метод подготовки инфраструктуры до атаки.  

• Усложнение маршрута для хакеров, увеличение времени атаки.  

• Создание комфортных условий для команды реагирования.  

• Проактивные меры защиты в контексте конкретной атаки.  

• Реактивные меры защиты на уровне отрасли.  

• Идеальная ситуация: сначала харденинг, затем внедрение средств защиты.  

• 23% компаний строго следуют регламентам по хардингу.  

• 18% занимаются разработкой хардинга.  

• 28% не планируют разрабатывать хардинг.  

• 17% не считают это необходимым.  

• Определение уязвимостей: баги в софте, недоконфигурированные системы.  

• Уменьшение количества подходов для хакеров.  

• Применение технологий веб-контроля и автоматических систем защиты.  

• Регулярная ревизия версий программного обеспечения и оборудования.  

• Оценка уязвимостей и их устранение.  

• Важность патчинга и обновления ПО.  

• Объяснение аббревиатуры CIS.  

• Обсуждение правильного перевода термина "хардинг".  

• Ограничение обсуждения только безопасностью конфигурации.  

• Отключение ненужных сервисов и приложений.  

• Встроенные механизмы защиты в современных операционных системах.  

• Примеры встроенных механизмов защиты от бинарной эксплуатации.  

• Хардинг снижает поверхность атаки и усложняет эксплуатацию уязвимостей.  

• Управление безопасными конфигурациями важнее, чем просто включение и выключение.  

• Важно рассматривать все аспекты безопасности, включая нативные и наложенные средства.  

• Аудит инфраструктуры для определения необходимых мер безопасности.  

• Анализ и определение приоритетов для защиты.  

• Проектирование изменений и тестирование на тестовом контуре.  

• Перенос настроек в продуктивную среду и поддержка изменений.  

• Важность анализа результатов тестов и корректировки процессов.  

• Применение харднинга к целевым системам для повышения безопасности.  

• Пост-эксплуатация для улучшения процессов и инфраструктуры.  

• Использование бинарного дерева ответов для упрощения процесса.  

• Фокус на ключевых точках уязвимости для повышения эффективности.  

• Применение реальных атак и отчетов для выявления уязвимостей.  

• Важность местного сообщества для обмена лучшими практиками.  

• Пример сообщества OpenSource, где ранее делились опытом по харднингу.  

• Проблемы с доступом к материалам и необходимость продолжения работы в этом направлении.  

• Важно заранее продумать, как вносить изменения в инфраструктуру.  

• В Windows проще использовать Active Directory и System Center.  

• В Linux сложнее, нужны скрипты и централизованное управление.  

• Начинайте с приоритизации и постепенного повышения защищенности.  

• Используйте инвентаризацию для выбора ключевых продуктов для настройки.  

• Внедряйте изменения на тестовом контуре, затем на всей инфраструктуре.  

• Внедряйте изменения ритмично, тестируя их на тестовом контуре.  

• Используйте сканеры конфигурации для проверки изменений.  

• Процесс можно оцифровать и отслеживать.  

• Необходимы знания операционных систем Windows и Linux.  

• Важно иметь специалистов по безопасности для каждой ОС.  

• Необходимо понимать бизнес-процессы и цели для эффективного харденингу.  

• В небольших компаниях лучше обращаться к вендорам для харденингу.  

• В крупных компаниях важно иметь архитекторов и специалистов по безопасности.  

• Специализированные компании могут провести оценку и предложить оптимальные решения.  

• Не каждая компания может позволить себе специалистов уровня архитектора безопасности.  

• Внедрение стандартов безопасности бездумно может привести к поломке системы.  

• Важно понимать, какие настройки применять, а не просто следовать стандартам.  

• 20% мер безопасности решают 80% проблем.  

• Стандарты безопасности часто не учитывают реальные действия атакующих.  

• Документы Microsoft, такие как атаки на Active Directory, предлагают более конкретные меры.  

• Некоторые компании принимают риск и не занимаются харденингом.  

• Безопасники должны погружаться в инфраструктуру компании.  

• Важно работать в коллаборации с ИТ-службой для постепенного внедрения мер безопасности.  

• Ошибки включают неудобства, повышение стоимости и отсутствие документирования изменений.  

• Важно иметь "секьюрити чемпионов" и участников от бизнеса для безболезненного внедрения мер безопасности.  

• Документирование изменений помогает избежать обратного откручивания гаек.  

• Хардениннг — это непрерывный процесс, требующий постоянного внимания.  

• Ограниченный охват специалистов может привести к уязвимостям.  

• Человеческий фактор, включая разработчиков и пользователей, нельзя исключать.  

• Важно учитывать реалии бизнес-процессов при внедрении мер безопасности.  

• Журналирование изменений помогает избежать неожиданных последствий.  

• Сложные бизнес-подразделения часто являются самыми атакуемыми.  

• Харденинговые меры должны быть синхронизированы с бизнес-целями.  

• Важно защищать то, что действительно важно для бизнеса.  

• Организационные аспекты включают удаление ПО, отключение служб и настройку правил доступа.  

• Внедрение харденинга требует организационных усилий.  

• Важно определить направления харденинга и согласовать их с бизнесом.  

• Необходимо внедрить процедуру уведомлений и тестирования.  

• Внедрение должно быть согласовано с тестовой группой.  

• Обязательное уведомление ключевых лиц перед внедрением.  

• Внедрение должно сопровождаться контрольным следом.  

• Внедренные изменения должны быть оформлены в виде стандарта.  

• Важно собирать метрики для оценки прогресса.  

• Организационная обвязка должна включать тестирование и оценку влияния изменений.  

• Тестирование должно включать айтишников, бэшников и бизнес-пользователей.  

• Обязательная оценка влияния изменений на бизнес-системы.  

• Тестирование на тестовой зоне и бизнес-машинах.  

• Обязательный бэкап перед проверкой.  

• Документирование изменений для предотвращения ошибок.  

• Включение харденинга в процесс внедрения новых информационных активов.  

• Харденинг включает конфигурации на всех уровнях: железо, сервисы, сети, операционные системы, приложения.  

• Важно строить эшелонированную оборону на каждом этапе.  

• Привлечение интеграторов для сложных конфигураций в больших гетерогенных сетях.  

• Харденинг операционных систем и приложений требует учета множества различных реализаций.  

• Важно понимать, куда обращаться для харденинга операционных систем и приложений.  

• Операционная система является сложной для харденинга.  

• Первичный доступ к активу усложняется через меры по бинарной эксплуатации и отключение ненужных сервисов.  

• Усиление аутентификации и парольной политики также важно для усложнения первичного доступа.  

• Отключение макросов и настройка механизмов ограничения запуска приложений.  

• Настройка корректных прав доступа на объекты операционной системы.  

• Выявление и устранение сервисов со слабыми настройками.  

• Включение встроенных мер, таких как отключение и дайджест, для усложнения получения учетных данных.  

• Парольная политика и отключение ненужных интерфейсов управления для предотвращения перемещения по сети.  

• Управление доступом и отключение внешних обработок для предотвращения несанкционированного доступа.  

• Оптимизация доступа и использование базовых конфигураций для упрощения работы администраторов.  

• Обеспечение физической безопасности серверов и ноутбуков администраторов.  

• Харденинг облачных инфраструктур, таких как Яндекс.Облако, с использованием инструментов облачных провайдеров.  

• 40% респондентов считают укрепление операционных систем наиболее актуальным.  

• 20% респондентов уделяют внимание веб-серверам и безопасности приложений.  

• 8% респондентов занимаются харденингом других аспектов, таких как удаленное управление доступами и защита облаков.  

• Для автоматизации процессов в крупных инфраструктурах нужны инструменты и утилиты.  

• Важно понимать, что есть на руках: системы, версии софта, открытые порты и сетевые взаимодействия.  

• Необходимо разработать политику и применять её так, чтобы не приходилось постоянно подкручивать настройки.  

• Важно устранять уязвимости и понимать, как они появляются.  

• Необходимы системы трекинга версий софта и автоматического обновления.  

• Новые приложения должны иметь ограниченный доступ к системе, чтобы избежать уязвимостей.  

• Анализ конфигураций систем и сети важен для выявления уязвимостей.  

• Необходимо начинать с базовых конфигураций операционных систем и приложений.  

• Важно учитывать критичность различных участков инфраструктуры для бизнеса.  

• Внедрение мер по контролю конфигураций должно сопровождаться контролем контроля.  

• Важно проверять конкретные параметры конфигураций и использовать автоматизацию.  

• В сложных случаях можно использовать косвенные методы проверки, такие как мониторинг и корреляция событий.  

• Для анализа конфигураций можно использовать различные инструменты, такие как Microsoft System Center Configuration Manager и скрипты на Python и Bash.  

• Специализированные сканеры уязвимостей и утилиты для оценки комплаенса хостов также полезны.  

• Важно выпускать утилиты, которые могут автоматически измерять и сравнивать настройки с базовыми значениями.  

• Необходимо учитывать рекомендации вендоров, такие как Microsoft и другие производители.  

• Важно измерять расчетные величины, такие как время атаки, для выявления проблем в инфраструктуре.  

• Важно предоставлять слушателям советы и рекомендации по использованию инструментов и утилит для автоматизации процессов.  

• Microsoft предлагает бесплатные утилиты для безопасности: Microsoft Baseline Security Analyzer и Microsoft Compliance Manager.  

• VMware имеет утилиту AMBA Checker для проверки соответствия стандартам безопасности.  

• Российский вендор Vigate также предлагает бесплатный инструмент для проверки безопасности.  

• Хакерские инструменты, такие как LinPEAS и PowerReb, могут быть полезны для сканирования хостов и поиска векторов повышения привилегий.  

• Эти инструменты могут дать результаты лучше коммерческих сканеров.  

• Важно использовать их с осторожностью, чтобы избежать ложных срабатываний.  

• Хардинг и безопасная разработка могут быть согласованы, но это разные вещи.  

• Хардинг относится к среде исполнения, а безопасная разработка — к архитектуре программного обеспечения.  

• Контейнеры и оркестрация позволяют встраивать хардинг на этапе разработки и развертывания.  

• Декларативные системы, такие как Kubernetes, упрощают хардинг, так как система сама приводит себя в безопасное состояние.  

• Настройка среды, контейнеров и подов является частью хардинга.  

• Важно контролировать выполнение требований к безопасной среде.  

• Безопасность всегда требует баланса с производительностью.  

• Необходим арбитр для принятия решений о безопасности и производительности.  

• Владелец актива должен принимать решения о хардинге, учитывая финансовые и бизнес-цели.  

• Недовольство пользователей и увеличение стоимости обслуживания должны быть количественно оценены.  

• Хардинг не всегда решает все проблемы безопасности, и нужно предлагать альтернативные решения.  

• Владелец системы должен выбирать оптимальный вариант из предложенных мер безопасности.  

• Бизнес может решить застраховать риски, но это не всегда решает проблему.  

• Важно предлагать альтернативные меры защиты, такие как использование open-source или покупка дополнительных средств.  

• Владельцы бизнеса могут не понимать все риски, поэтому профессионалы должны предлагать решения.  

• Оценка бизнеса должна основываться на доходах и расходах.  

• ИТ и ИБ-специалисты должны обосновывать затраты на безопасность.  

• Важно уметь продавать необходимость дополнительных мер защиты перед владельцами бизнеса.  

• Вопрос о том, как оценить успешность харденинга.  

• Используются сканеры конфигурации и бесплатные утилиты.  

• Важно проверять, действительно ли меры защиты усложняют задачи атакующего.  

• Новые виды программного обеспечения безопасности могут помочь в автоматизации.  

• Важно проводить тестирование и анализ защищенности.  

• Необходимо измерять защищенность системы в целом, а не только харденинга.  

• Харденинг требует дополнительных расходов и трудозатрат.  

• Важно убедить бизнес в необходимости этих мер.  

• Стоимость инцидента и вероятность его возникновения могут быть убедительными аргументами.  

• Недостаток квалифицированных специалистов и сопротивление изменениям.  

• Сложности интеграции харденинга со старыми системами.  

• Непредсказуемость последствий для инфраструктуры и нехватка инструментов для автоматизации.  

• Харденинг — это непрерывный процесс, требующий регулярного пересмотра политик и аудита.  

• Важно использовать сканеры конфигураций для постоянного мониторинга.  

• Динамически развивающиеся системы требуют постоянного улучшения и адаптации.  

• Инфраструктура постоянно меняется из-за новых версий операционных систем и приложений.  

• Невозможно сделать одномоментный слепок инфраструктуры и оставить её без изменений.  

• Новые угрозы и атаки требуют постоянного мониторинга и адаптации.  

• Изменения ландшафта угроз могут влиять на стандарты безопасности.  

• Новые техники атак требуют настройки параметров безопасности.  

• Сканирование инфраструктуры должно быть частым, но не всегда возможным.  

• Агентские решения помогают в непрерывном сборе инвентаризации и оценке.  

• Они выявляют отклонения и отправляют данные на сервер.  

• За последние три года появилось 15 новых техник атак.  

• Важно уделять внимание техникам, которые активно эксплуатируются.  

• Процесс адаптации должен быть безболезненным для пользователей.  

• Интеграторы и производители выпускают стандарты безопасности.  

• Заказчики должны пересматривать свои стандарты раз в год.  

• Постоянное сканирование и мониторинг необходимы для адаптации к изменениям.  

• Некоторые системы, такие как в медицине, не могут быть обновлены из-за санкций.  

• Сканирование таких систем может привести к сбоям.  

• Важно учитывать особенности старых систем при мониторинге.  

• Введение термина "трендовость уязвимостей" помогает в приоритезации угроз.  

• Это упрощает процесс адаптации и снижает порог входа в харденингу.  

• Важно учитывать внешние и внутренние угрозы для принятия решений.  

• Продукты по контролю конфигурации будут развиваться аналогично лорабильти-менеджерам.  

• Важно предоставлять приоритизированную информацию для безопасности.  

• Необходимо следить за трендами и старыми уязвимостями.  

• Российские производители выпускают аналоги западных документов.  

• Объем работы по импортозамещению будет увеличиваться.  

• Разработка и проверка документов требует времени и усилий.  

• Обсуждение приводит к вопросу о том, где найти больше информации и научиться практическим основам.  

• Регулярно выкладывайте информацию на своих сайтах и в телеграм-каналах.  

• Используйте ресурсы, такие как CIS, NNS и DHS для получения харденинговых гайдов.  

• Российские ресурсы, такие как Positive Technologies и Касперский, также полезны.  

• Российские производители должны активнее внедрять харденинговые гайды.  

• Методическая база в России пока отстает от западных стандартов.  

• Важно видеть поддержку от регуляторов и производителей.  

• Linux выпустил свежий документ по харденингу.  

• PT Security выпустила стандарт по безопасной разработке.  

• Securitum предоставляет бесплатный доступ к своим продуктам и инструментам.  

• 35% зрителей считают, что все делают правильно.  

• 30% готовы внедрять практики хардениннга.  

• 6% не готовы применять, 6% не убеждены, 24% ничего не поняли.  

• Хардениннг станет стандартным процессом в службах через 2-3 года.  

• Рекомендуется собрать ресурсы и инструменты на сайте для удобства пользователей.  

• Следующий эфир будет посвящен российским системам управления базами данных.