Nuevos estándares de seguridad de la información: hacen la vida más difícil para los atacantes

Cómo son los puntos de referencia modernos

• longitud y complejidad de la contraseña;
• derechos de acceso a archivos de diferentes tipos;
• Recomendado para habilitar y deshabilitar servicios.

Pros y contras de las normas técnicas existentes

Hay muchos requisitos

1. Estaciones de trabajo: más de 500 requisitos para Windows y MS Office, el número de nodos, de mil.
2. Servidores: según el sistema operativo y el software del servidor instalado, de 100 a 700 requisitos por nodo, el número de nodos es de cientos.
3. Equipo de red: según la marca, el modelo y la funcionalidad de 20 a 80 requisitos por nodo, el número de nodos es de cientos.

Difícil de priorizar

No está claro qué afecta exactamente un requisito particular.

No hay incentivo para usar estándares técnicos

Cómo resolver estos problemas: PT Essential standards

• complejidad de la contraseña *,
• frecuencia de cambio de contraseña
• SO y software en desuso.

* Los resultados de las pruebas del nivel de seguridad de los sistemas realizadas por Positive Technologies mostraron que la gran mayoría de las contraseñas seleccionadas con éxito durante las pruebas de protección con contraseña se compilaron de manera predecible. La mitad de ellos se asociaron con varias combinaciones del mes o época del año con números que indican el año (por ejemplo, Fduecn2019, Winter2019). Las contraseñas del tipo 123456, 1qaz! QAZ, Qwerty1213, que se componen de teclas cercanas en el teclado, ocuparon el segundo lugar en términos de prevalencia.

• Cada uno de ellos contiene un mínimo de requisitos: solo se incluyen aquellos que afectan directamente la seguridad del sistema. El número de requisitos de PTE para cada sistema objetivo es N (N - de 3 a 10) veces menor que la contraparte de CIS. Como resultado, se reducen proporcionalmente:
  
  • tiempo de escaneo
  • costos de mano de obra para el análisis de escaneo y eliminación de deficiencias encontradas.
  
  
• Para la mayoría de los requisitos del estándar, se asignan métricas CVSS, similares a las vulnerabilidades. Esto le permite priorizar inmediatamente la eliminación de deficiencias.
  
• La descripción de todos los requisitos describe las consecuencias que la organización puede enfrentar si no la cumple.
  

Requisito de ejemplo "Deshabilitar inicio de sesión remoto sin contraseña para rlogin / rsh"

• Los servicios configurados de rlogin / rsh le permiten iniciar sesión sin especificar una contraseña.
• Se pueden configurar tanto para todos los usuarios (configurados en /etc/hosts.equiv) como individualmente para cada usuario (en $ HOME / .rhosts).
• Con esta configuración, los usuarios pueden iniciar sesión en el servidor de destino desde los clientes especificados sin ingresar una contraseña en el servidor de destino.
• Además, los subsistemas R sufren ataques de falsificación de ARP, ya que el criterio de confianza se basa solo en las direcciones de los clientes.
• El uso de estos subsistemas obsoletos plantea un riesgo extremadamente grave, por lo que se recomienda encarecidamente que se desactiven.
• Todo el software de aplicación y sistema que utiliza estas herramientas admite SSH como una alternativa mucho más segura.

Requisito de ejemplo "Excluir comandos peligrosos de la configuración de sudo"

1. aumentar los privilegios en el sistema,
2. sobrescribir los archivos del sistema, interrumpiendo el sistema.

• escribir en un archivo arbitrario (especificado por el usuario);
• escribir en uno de los archivos del sistema;
• destruir el sistema de archivos o la partición del disco.

« »

• , , . , , — .
• 755 , root ( ).
• , , . root, .

Conclusión