🏮 ✂️ 🚏 नई सूचना सुरक्षा मानक: हमलावरों के लिए जीवन को अधिक कठिन बनाते हैं 🍵 👟 ⁉️

आईटी और सूचना सुरक्षा के क्षेत्र में, बेंचमार्क की अवधारणा लंबे समय से स्थापित है - यह एक विशिष्ट ऑपरेटिंग सिस्टम, नेटवर्क उपकरण या सर्वर सॉफ्टवेयर स्थापित करने के लिए एक तकनीकी मानक है। इस तरह के दस्तावेज़ आमतौर पर यह बताते हैं कि कंपनी के बुनियादी ढांचे में क्या और कैसे काम करना चाहिए, यह सुरक्षा के किन पहलुओं को प्रभावित करता है, सब कुछ कैसे जांचें और कॉन्फ़िगर करें। यह छोटा और स्पष्ट लगता है, लेकिन व्यवहार में यह अधिक कठिन हो जाता है।

इस लेख में हम सूचना सुरक्षा के आधुनिक तकनीकी मानकों (बेंचमार्क) की समस्याओं के बारे में बात करेंगे और उन्हें कैसे हल किया जा सकता है।

आधुनिक बेंचमार्क कैसा दिखता है

प्रत्येक प्रणाली के लिए, ये मानक अलग हैं। दुनिया भर में सबसे प्रसिद्ध सीआईएस बेंचमार्क परिवार के मानक हैं जिन्हें दुनिया भर से आमंत्रित विशेषज्ञ उत्साही लोगों की मदद से अंतरराष्ट्रीय संगठन सीआईएस के तत्वावधान में विकसित किया गया है।

आमतौर पर, इन मानक लोगों में सैकड़ों आवश्यकताएं शामिल होती हैं जो वर्णन करती हैं:

पासवर्ड की लंबाई और जटिलता;
विभिन्न प्रकार की फ़ाइलों तक पहुँच अधिकार;
सेवाओं को सक्षम और अक्षम करने के लिए अनुशंसित।

मौजूदा तकनीकी मानकों के पेशेवरों और विपक्ष

किसी भी टूलकिट की तरह, सुरक्षा बेंचमार्क इस मायने में उपयोगी हैं कि वे बुनियादी ढांचे की सुरक्षा के औसत स्तर को बढ़ाते हैं। यह इस तथ्य से परिलक्षित होता है कि मुख्य बेंचमार्क सिफारिशों के अनुसार कम से कम कॉन्फ़िगर किया गया एक बुनियादी ढांचा दरार करने के लिए बहुत अधिक कठिन है - कम से कम पेन्टेस्टर्स के साथ (ऐसे कई मामलों में वे आमतौर पर समय सीमा या स्वीकार्य हमले के लक्ष्य या स्वीकार्य हमले के तरीकों के कारण अपने लक्ष्यों को प्राप्त करने में विफल होते हैं। )

चूंकि प्रत्येक ऐसा मानक काफी बड़ा है, इसलिए इसे केवल संदर्भ या चेक सूची के रूप में उपयोग किया जा सकता है, जिसके अनुसार उपकरण और सॉफ़्टवेयर कॉन्फ़िगर किए गए हैं।

विदेशों में मान्यता प्राप्त बेंचमार्क विभिन्न देशों की कंपनियों से परिचित हैं, इसलिए वे अपने लाभों के बारे में जानते हैं और दस्तावेजों में निर्दिष्ट आवश्यकताओं को पूरा करने का प्रयास करते हैं।

लेकिन व्यवहार में सब कुछ इतना सहज नहीं है: सभी परिचित मानकों का आवेदन समस्याओं के बिना नहीं है। यहां उनमें से कुछ दिए गए हैं।

बहुत सारी आवश्यकताएं हैं

यदि ओएस और कुछ सर्वर सर्वरों के एक जोड़े को कुछ नोड पर स्थापित किया गया है, तो आपको कई मानकों को लागू करने की आवश्यकता होगी, और आवश्यकताओं की कुल संख्या आसानी से 500 से अधिक हो सकती है। यहां एक विशिष्ट बड़े संगठन के मामले के लिए एक सरल अंकगणित है:

कार्यस्थान: विंडोज और एमएस कार्यालय के लिए 500 से अधिक आवश्यकताएं, नोड्स की संख्या - एक हजार से।
सर्वर: ओएस और इंस्टॉल किए गए सर्वर सॉफ़्टवेयर के आधार पर, प्रति नोड 100 से 700 आवश्यकताओं से, नोड्स की संख्या सैकड़ों है।
नेटवर्क उपकरण: ब्रांड, मॉडल और कार्यक्षमता के आधार पर प्रति नोड 20 से 80 आवश्यकताओं के बीच, नोड्स की संख्या सैकड़ों है।

पूरे बुनियादी ढांचे के लिए मूल्यांकन की निचली सीमा 500 हजार की आवश्यकता है। यह तर्कसंगत है कि ऐसे मानकों की सभी आवश्यकताओं के साथ अपनी सभी इकाइयों का अनुपालन सुनिश्चित करना असंभव है, साथ ही साथ इन आवश्यकताओं के अनुपालन के तथ्य को ट्रैक करना भी असंभव है।

नियंत्रण के तहत बुनियादी ढांचे में अत्यधिक आवश्यकताओं और नोड्स की अत्यधिक संख्या से एक महत्वपूर्ण परिणाम भी होता है: स्वचालित स्कैनिंग की अवधि और श्रमसाध्यता, यहां तक कि बुनियादी ढांचे के कुछ हिस्सों, एक नियम के रूप में, आईटी प्रशासक या सूचना सुरक्षा विशेषज्ञों के अनुरूप नहीं है। किसी भी तरह से सभी नोड्स की जांच करने के लिए, आपको विभिन्न ट्रिक्स में जाना होगा: नोड्स के विभिन्न समूहों के लिए कुछ निश्चित "तकनीकी विंडो" असाइन करें, जितना हम चाहेंगे, उससे कम बार स्कैन करें।

उसी समय, किसी को अभी भी दूरस्थ शाखाओं के नेटवर्क की उपलब्धता और इसके बैंडविड्थ (कुछ मामलों में यह उपग्रह चैनल है, जो जटिलता को जोड़ता है) की सावधानीपूर्वक निगरानी करना है, स्कैन की आवृत्ति से भ्रमित न होने की कोशिश करें, और बस उठने वाली स्कैनिंग समस्याओं को हल करने का समय ढूंढें।

प्राथमिकता देना मुश्किल

आवश्यकताओं के मानक सेटों में, आमतौर पर अधिक या कम महत्वपूर्ण लोगों में कोई विभाजन नहीं होता है, परिणामस्वरूप, केवल उन लोगों को चुनना और लागू करना बेहद मुश्किल होता है जो ब्रेक-इन के प्रतिरोध को प्रभावित करते हैं। इस तरह के अलगाव को शुरू करने के प्रयासों के कुछ उदाहरण हैं, लेकिन अभी तक वे बहुत सफल नहीं हैं: सीआईएस विशेषज्ञों ने हाल ही में अपनी आवश्यकताओं को दो महत्व समूहों में विभाजित करना शुरू किया था, लेकिन अंत में दोनों समूह वैसे भी बहुत बड़े हो गए, और इस कदम से समस्या का समाधान नहीं हुआ।

कई संगठन सीआईएस पर आधारित सुरक्षित सेटिंग्स के लिए अपने स्वयं के मानक बनाने का प्रयास कर रहे हैं, आवश्यकताओं की संख्या जिसमें मूल से कम है। हालांकि, अन्य क्षेत्रों में कंपनियों के मामले में, विशेषज्ञों को अक्सर विशेष ज्ञान की कमी होती है।

यह स्पष्ट नहीं है कि वास्तव में एक विशेष आवश्यकता क्या प्रभावित करती है।

मानकों की आवश्यकताओं को पढ़ते समय, यह अक्सर स्पष्ट नहीं होता है कि उनमें से कौन व्यावहारिक सुरक्षा से संबंधित है और हैकिंग से बचाने में मदद करेगा, और जो सब कुछ सही ढंग से काम करने के लिए आवश्यक है। इसे समझने के लिए, आपको एक गहरे स्तर पर समझने की आवश्यकता है कि जिस सिस्टम के लिए बेंचमार्क लिखा गया है।

तकनीकी मानकों का उपयोग करने के लिए कोई प्रोत्साहन नहीं है

कई नोड्स पर कई बेंचमार्क की आवश्यकताओं को प्राप्त करने के लिए एक विशाल, जटिल और गहन काम है। इसके अलावा, अगर बुनियादी ढांचे में शामिल आईटी विशेषज्ञ को यह भी समझ में नहीं आता है कि वास्तव में पहले से काम कर रहे सिस्टम को कुछ आवश्यकताओं की पूर्ति क्या होगी - इसका उपयोग करने के लिए कोई प्रोत्साहन नहीं है।

इन समस्याओं को कैसे हल करें: पीटी आवश्यक मानक

सूचना सुरक्षा में आज के मानकों की मुख्य समस्याएं उनके विशाल आकार और सामान्य गैर-विशिष्टता हैं। यदि इन दो कमियों को समाप्त नहीं किया जाता है, तो ऐसे मानकों का लाभ हमेशा सीमित रहेगा।

इन समस्याओं को हल करने के लिए, विभिन्न लक्ष्य प्रणालियों के लिए, हमने नई पीढ़ी के पीटी एसेंशियल (PTE) के मानकों को विकसित किया है और उन्हें MaxPatrol 8 में लागू किया है । नए दस्तावेज़ मौजूदा बेंचमार्क (उदाहरण के लिए, सीआईएस) और हमारे विशेषज्ञों द्वारा पैठ परीक्षण से प्राप्त वास्तविक सुरक्षा समस्याओं के बारे में जानकारी के आधार पर बनाए गए थे। ऐसा करने में, हम Pareto 20/80 सिद्धांत का उपयोग करते हैं - आमतौर पर आवश्यकताओं का एक छोटा हिस्सा हमें बड़ी संख्या में संभावित सुरक्षा समस्याओं को बंद करने की अनुमति देता है।

व्यवहार में, आमतौर पर अधिकांश पैठ परीक्षण हमलावरों की सफलता के साथ समाप्त होते हैं। मुख्य कारणों में से एक यह है कि संगठन सरलतम और सबसे महत्वपूर्ण सुरक्षा सिफारिशों का भी पालन नहीं करते हैं, जिनमें शामिल हैं:

पासवर्ड जटिलता *,
पासवर्ड परिवर्तन की आवृत्ति
निक्षेपित OS और सॉफ्टवेयर।

* पॉजिटिव टेक्नोलॉजीज द्वारा किए गए सिस्टम के सुरक्षा स्तर के परीक्षणों के परिणामों से पता चला कि पासवर्ड सुरक्षा के परीक्षण के दौरान सफलतापूर्वक चुने गए अधिकांश पासवर्डों का अनुमान लगाने योग्य तरीके से संकलित किया गया था। उनमें से आधे महीने या वर्ष के समय के विभिन्न संयोजनों से जुड़े थे, जो वर्ष का संकेत देते हैं (उदाहरण के लिए, Fduecn2019, Winter2019)। 123456, 1qaz! QAZ, Qwerty1213 प्रकार के पासवर्ड, जो कीबोर्ड पर पास की चाबियों से बने होते हैं, प्रचलन के मामले में दूसरे स्थान पर आए।

नए मानकों में, हमने कम से कम सबसे स्पष्ट हमले वाले वैक्टरों को बंद करने में मदद करने के लिए सैकड़ों कंपनियों में हमारी टीम द्वारा किए गए कीटों के अनुभव को ध्यान में रखने की कोशिश की। यहां तक कि इस तरह की बुनियादी कार्रवाइयां हमलावर के जीवन को गंभीरता से जटिल बनाती हैं और कंपनी पर हमले को कम आकर्षक बनाती हैं।

यहाँ नए बेंचमार्क के बीच मुख्य अंतर हैं:

उनमें से प्रत्येक में न्यूनतम आवश्यकताएं शामिल हैं - केवल वे जो सिस्टम की सुरक्षा को सीधे प्रभावित करते हैं, शामिल हैं। प्रत्येक लक्ष्य प्रणाली के लिए PTE आवश्यकताओं की संख्या N (N - 3 से 10 तक) CIS समकक्ष से कम है। परिणामस्वरूप, वे आनुपातिक रूप से कम हो जाते हैं:
- स्कैन का समय
- स्कैनिंग की विश्लेषण और पाया कमियों के उन्मूलन के लिए श्रम लागत।
मानक की अधिकांश आवश्यकताओं के लिए, सीवीएसएस मैट्रिक्स को सौंपा गया है - कमजोरियों के समान। यह आपको कमियों के उन्मूलन को तुरंत प्राथमिकता देता है।
सभी आवश्यकताओं का विवरण उन परिणामों का वर्णन करता है जो संगठन का सामना कर सकते हैं यदि वह इसे पूरा नहीं करता है।

नीचे सीआईएस बेंचमार्क और पीटी आवश्यक परिवारों की एक संक्षिप्त तुलना है:

मापदंड	CIS बेंचमार्क	पीटी एसेंशियल (PTE)
आवश्यकताओं की संख्या	400 प्रति मानक है	40 प्रति मानक से अधिक नहीं
आवश्यकताओं को सुरक्षित कॉन्फ़िगरेशन मानक में शामिल करना	सुरक्षा सबसिस्टम सेटिंग्स से संबंधित सब कुछ	केवल वह सीधे हैकिंग से संबंधित है (हैकिंग के खिलाफ सुरक्षा)
आवश्यकताओं को प्राथमिकता देने की क्षमता	2 ( ): ,	— CVSS ( )
	, . , ,	. — ( )

यहाँ एक PTE आवश्यकता का एक उदाहरण है (नीचे दिए गए उदाहरण UNIX सिस्टम पर लागू होते हैं; प्रत्येक UNIX जैसे ऑपरेटिंग सिस्टम के लिए अलग-अलग मानकों के बजाय, MaxPatrol 8 द्वारा समर्थित ऐसी सभी प्रणालियों के लिए एक एकल मानक बनाया गया है):

उदाहरण की आवश्यकता "rlogin / rsh के लिए पासवर्ड रहित दूरस्थ लॉगऑन अक्षम करें"

कॉन्फ़िगर की गई rlogin / rsh सेवाएं आपको पासवर्ड निर्दिष्ट किए बिना लॉग इन करने की अनुमति देती हैं।
वे सभी उपयोगकर्ताओं (/etc/hosts.equiv पर सेट) और प्रत्येक उपयोगकर्ता के लिए व्यक्तिगत रूप से ($ HOME / .rhosts में) दोनों के लिए कॉन्फ़िगर किए जा सकते हैं।
इन सेटिंग्स के साथ, उपयोगकर्ता लक्ष्य सर्वर पर पासवर्ड दर्ज किए बिना निर्दिष्ट क्लाइंट से लक्ष्य सर्वर में लॉग इन कर सकते हैं।
इसके अलावा, आर-सबसिस्टम एआरपी स्पूफिंग हमलों से ग्रस्त हैं, क्योंकि ट्रस्ट मानदंड केवल ग्राहक पते पर आधारित है।
इन अप्रचलित उप-प्रणालियों के उपयोग से एक अत्यंत गंभीर खतरा पैदा होता है, इसलिए यह दृढ़ता से अनुशंसा की जाती है कि वे अक्षम हों।
इन उपकरणों का उपयोग करने वाले सभी एप्लिकेशन और सिस्टम सॉफ़्टवेयर SSH को अधिक सुरक्षित विकल्प के रूप में समर्थन करते हैं।

CVSS: 3.0/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (8.8)

उदाहरण की आवश्यकता "सूडो सेटिंग से खतरनाक कमांड को छोड़ दें"

गलत sudo सेटिंग्स उपयोगकर्ता को रूट के रूप में कुछ (संभावित खतरनाक) कमांड को निष्पादित करने का अधिकार दे सकती हैं:

सिस्टम में विशेषाधिकार बढ़ाएँ,
सिस्टम फ़ाइलों को अधिलेखित करना, सिस्टम को बाधित करना।

संभावित रूप से खतरनाक कोई भी आदेश हो सकता है जो आपको अनुमति देता है:

एक मनमाना (उपयोगकर्ता द्वारा निर्दिष्ट) फ़ाइल लिखना;
सिस्टम फ़ाइलों में से एक को लिखें;
फ़ाइल सिस्टम या डिस्क विभाजन को नष्ट करें।

खतरनाक आदेशों को sudo सेटिंग्स से बाहर करना आवश्यक है।

CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (7.8)

« »

, , . , , — .
755 , root ( ).
, , . root, .

CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H (7.8)

महत्वपूर्ण : एक अनिवार्य आधार पर, प्रत्येक आवश्यकता में सुरक्षा दोषों को हल करने और समस्याओं की जांच करने पर मार्गदर्शन शामिल है।

निष्कर्ष

सूचना सुरक्षा में तकनीकी मानक बुनियादी ढांचे की सुरक्षा के स्तर को बढ़ाने के लिए एक महत्वपूर्ण उपकरण है, आईटी और आईएस विभागों के बीच उचित कार्यान्वयन और अच्छी बातचीत के साथ हमलावरों के जीवन को बहुत जटिल करते हैं। हालांकि, व्यावहारिक अनुप्रयोग के लिए कई आधुनिक मानक बहुत जटिल और स्वैच्छिक हैं।

मानक पीटी आवश्यक परिवार का उपयोग करने के लिए यह बहुत अधिक सुविधाजनक है - एक नई पीढ़ी के बेंचमार्क जो केवल सबसे महत्वपूर्ण जानकारी प्रदान करते हैं और सैकड़ों प्रवेश परीक्षणों के अनुभव पर आधारित हैं। आईटी विभागों और सूचना सुरक्षा विशेषज्ञों को लागू करते समय, यह स्पष्ट है कि कौन सी आवश्यकताएं सबसे महत्वपूर्ण हैं, कहां से शुरू करें और यदि ये आवश्यकताएं पूरी नहीं होती हैं तो क्या समस्याएं उत्पन्न हो सकती हैं।

पीटी आवश्यक आवश्यकताओं का आवेदन आपको इस प्रक्रिया की जटिलता और जटिलता में ध्यान देने योग्य कमी के साथ बुनियादी ढांचे में सबसे महत्वपूर्ण सुरक्षा समस्याओं को जल्दी से पहचानने और हल करने की अनुमति देता है। तो क्यों नहीं pentesters और घुसपैठियों के लिए जीवन कठिन बना?

नई सूचना सुरक्षा मानक: हमलावरों के लिए जीवन को अधिक कठिन बनाते हैं