Стальная закалка: как харденинг усложняет путь киберпреступников

Харденинг СРК — это комплексная оперативная мера, включающая сегментацию компонентов СРК, минимизацию привилегий, шифрование и неизменяемость хранилищ. Однако решающую роль играют регулярные процессы: проверки копий и тестовые восстановления. Но даже лучшие настройки не дают полной гарантии, если система остается в общем контуре. Полную устойчивость способен обеспечить только полностью изолированный «Бункер». Именно эта резервная копия становится последним «выжившим», когда основная инфраструктура скомпрометирована.

Харденинг ОС и служб каталогов

Харденинг операционных систем и служб каталогов — это последняя линия обороны. Злоумышленники проникают в системные сервисы, когда остальные рубежи уже пройдены.

«Харденинг — это подход, основанный на культуре проактивной защиты и принципе минимализма. Если компонент не нужен системе, его следует отключить. Если пользователю не требуются дополнительные права, их не нужно выдавать. Обязательным элементом является внедрение мандатного контроля доступа (например, SELinux, AppArmor или PARSEC) как дополнительного рубежа, ограничивающего действия даже привилегированных процессов и администраторов. Его настройка действительно требует времени и экспертизы, но отключать этот механизм ради упрощения администрирования — распространенная ошибка, которая заметно ослабляет защиту системы».

Антон Голощапов,

руководитель направления инфраструктурных сервисов Linux компании «Инфосистемы Джет»

Для харденинга операционных систем Linux эксперт рекомендует:

• настроить права на точки монтирования и отключать автоматическое монтирование устройств;
• включить журналирование событий;
• настроить авторизацию для однопользовательского режима;
• отключить службы и сервисы, которые не используются;
• настроить параметры сети и отключать неиспользуемые протоколы;
• настроить контроль целостности;
• регулярно обновлять версии ОС;
• настроить доступ, аутентификацию и авторизацию;
• ограничить права на основные конфигурационные файлы.

Службы каталогов — Active Directory (AD) или ее альтернативы на базе Samba и FreeIPA — требуют отдельного внимания, поскольку через них злоумышленник может получить дополнительные привилегии и перемещаться по инфраструктуре. Здесь применяются строгие парольные политики и ролевая модель, меняются административные пароли после первичной настройки, отключаются устаревшие протоколы и анонимный bind LDAP (операция аутентификации пользователя в службе каталогов), а обычный LDAP (протокол доступа к службе каталогов) заменяется на LDAPS (защищенная версия с шифрованием соединения).

При этом универсального набора настроек для всех сред не существует. Требования зависят от конкретной платформы и ее реализации. Поэтому изменения сначала проверяют на стенде, максимально близком к среде заказчика, и только после тестирования переносят в продуктив.

«Харденинг — это отчасти творческий процесс, ведь технологии взлома и техники атаки зачастую универсальны для различных операционных систем, но при этом конкретным сервисам присущи уникальные нюансы. Решение на базе Samba имеет одни недостатки, а на базе FreeIPA — совершенно другие. Поэтому мы сначала обязательно занимаемся стендированием: создаем копию среды заказчика, выдвигаем требования, отрабатываем их в тестовой среде и только потом переносим в продуктив. Если в скоуп добавляются новые ОС, мы повторяем процесс индивидуально для каждого компонента».

Антон Голощапов,

руководитель направления инфраструктурных сервисов Linux компании «Инфосистемы Джет»

Эксперт также отмечает, что на уровне оборудования и операционных систем харденинг начинается с соблюдения баланса между безопасностью и функциональностью. Если максимально закрутить «гайки» и внедрять все требования ИБ, сервисы будут хорошо защищены, но с большой вероятностью перестанут работать.

Гонка без финиша

Эксперты подчеркивают, что харденинг — это процесс, он требует постоянной работы: инфраструктура меняется, появляются новые системы и сервисы, обновляются конфигурации и права доступа. Поэтому настройки безопасности необходимо регулярно пересматривать и проверять, в том числе с помощью пентестов и тестовых стендов.

Антон Голощапов добавляет, что для системного подхода к харденингу необходимо регулярно проводить аудит и мониторинг угроз. Харденинг бесполезен, если вы не видите попыток взлома.

Отслеживать эволюцию угроз и обновлять методы защиты помогают несколько авторитетных источников:

• MITRE ATT&CK (attack.mitre.org) — глобальная база знаний, систематизирующая тактики, техники и процедуры, которые используют злоумышленники на всех этапах атаки;
• MITRE D3FEND (d3fend.mitre.org) — каталог контрмер и защитных техник для каждой атаки;
• Банк данных угроз безопасности информации ФСТЭК (bdu.fstec.ru) — российский государственный реестр угроз и уязвимостей, обязательный к применению при построении моделей угроз для государственных информационных систем, объектов КИИ и систем персональных данных;
• CIS Benchmarks (cisecurity.org) — международный стандарт безопасной конфигурации, который переводит общие принципы харденинга в конкретные, проверяемые настройки для операционных систем, СУБД, облачных платформ и сетевого оборудования.

При этом эксперты компании «Инфосистемы Джет» подчеркивают, что оценивать на уязвимости важно не отдельные компоненты, а всю возможную цепочку атаки — от этапа разведки инфраструктуры до действий по целям (к примеру, критичным системам и резервным копиям). Один из вариантов такой комплексной проверки — «Месячник харденинга», который объединяет мероприятия по защите ИТ-инфраструктуры от проникновения, развития атаки и ее возможных последствий.

Харденинг не исключает саму возможность атаки, но усложняет злоумышленнику путь внутри инфраструктуры и снижает потенциальный масштаб инцидента. В этом и заключается его роль в обеспечении непрерывности бизнеса: чем меньше систем окажется скомпрометировано, тем больше возможностей у компании сохранить критичные процессы и быстрее восстановиться.

Оперативные действия:

МЕСЯЧНИК ХАРДЕНИНГА