F

irma OVH stworzyła modułowy framework napisany głównie w języku powłoki bash, który za pomocą skryptów sprawdza rekomendacje z CIS (ang. Center for Internet Security) dla systemu Debian w wersji 9/10. Zgodnie z filozofią “zjedz własną karmę dla psa” (ang. eat your own dog food), która opisuje wykorzystywanie własnych produktów lub usług do swoich, wewnętrznych działań firmowych – projekt ten jest wykorzystywany do hartowania systemów OVH, które mają spełniać standard PCI DSS (ang. Payment Card Industry Data Security Standard). Na postawie tego projektu powstał również inny o nazwie harbian-audit, który rozszerzył działanie o wytyczne z STIG (ang. Security Technical Implementation Guide) dla systemu CentOS 8 oraz Ubuntu 16.04. Możemy w nim również znaleźć autorskie wytyczne stworzone przez społeczność HardenedLinux.

O

penSCAP jest implementacją open source protokołu Security Content Automation Protocol, czyli SCAP, który analizuje system pod kątem zgodności ze standardami bezpieczeństwa. Przestrzeganie wytycznych i wskazówek w tym protokole umożliwia infrastrukturze opartej o system Linux spełnienie standardów przeznaczonych dla systemów klasy Enterprise oraz tych przewidzianych w PCI DSS. Do dyspozycji mamy narzędzie GUI (scap-workbench) lub dla linii poleceń (openscap-scanner), które umożliwiają nam przeskanowanie systemu pod względem zgodności z wybraną wcześniej polityką. Jeśli chcemy na poważnie potraktować wszystkie zalecenia, z którymi będziemy mogli zapoznać się w końcowym raporcie najlepiej od razu użyć wtyczki do anakondy – pozwoli ona na przeprowadzenie analizy bezpieczeństwa już podczas procesu instalacji systemu. W ten sposób nie będziemy musieli się martwić np. o jego przepartycjonowanie. Jeśli nasza dystrybucja różni się od rodziny Red Hat zawsze możemy przestudiować Przewodnik Bezpieczeństwa SCAP.

Więcej informacji: Make a RHEL7 server compliant with PCI-DSS, Security Harden CentOS 7, Contributing to SCAP Security Guide

N

ational Checklist Program Repository (NCP) jest rządowym repozytorium, publicznie dostępnych list kontrolnych oraz benchmarków, które dostarczają nisko poziomowe wskazówki na temat ustawień gwarantujących bezpieczeństwo systemów operacyjnych oraz aplikacji. NCP działa w ramach NIST i został powołany na mocy Cyber Security Research and Development Act z 2002 roku, aby rozwijać tego typu publikacje, które minimalizują ryzyko dla bezpieczeństwa sprzętu oraz oprogramowania, który jest lub może stać się powszechnie stosowany w obrębie rządu federalnego. Twórcy NCP wierzą, że takie wskazówki mogą znacząco przyczynić się do zmniejszenia narażenia na podatności różnego rodzaju organizację. Jest to prawie identyczna inicjatywa, jak wcześniej opisany CIS. Oprócz wykorzystania NCP jako dobrych praktyk w konfiguracji różnych systemów i aplikacji warto systematycznie przeglądać publikacje udostępniane w ramach Cybersecurity NIST oraz Computer Security Resource Center np. Vulnerability Description Ontology lub Dramatically Reducing Software Vulnerabilities.

Więcej informacji: NCPR

C

IS jest organizacją non-profit założoną w październiku 2000 roku, której misją jest “podwyższanie gotowości i zdolności do cyberbezpieczeństwa wśród podmiotów sektora publicznego i prywatnego”. Wykorzystując swoją siłę w współpracy z przedsiębiorcami oraz organizacjami rządowymi CIS stara się podejmować wyzwania bezpieczeństwa cybernetycznego na globalną skalę. Pomaga również organizacją przyjmować kluczowe z najlepszych praktyk w celu uzyskania natychmiastowej i skutecznej obrony przed cyberatakami. W skład działań CIS wchodzą m.in. Multi-State Information Sharing and Analysis Center (MS-ISAC), CIS Security Benchmarks oraz CIS Critical Security Controls. Nas będą interesować benchmarki.
[ czytaj całość… ]

L

ynis jest narzędziem typu open source przeznaczonym do przeprowadzania automatycznych audytów bezpieczeństwa i hartowania systemów pochodzących z rodziny *nix. Prosty w obsłudze, dostępny za darmo, nie wymaga instalacji, i jak zapewniają autorzy działa na prawie każdym systemie opartym o Unix (został przetestowany na współczesnych platformach w tym dystrybucjach Linuksa jak CentOS, Fedora, Debian itd.).
[ czytaj całość… ]

O

becnie system możemy zabezpieczyć na dwa sposoby: 1). Ręcznie – poprzez poprawę wszystkich “niedociągnięć” (jednak wymagana jest tu dogłębna wiedza na temat platformy systemowej), lub 2). Automatycznie – przy użyciu zestawu odpowiednich skryptów (tutaj wymagana jest tylko powierzchowna znajomość własnego systemu). Projekt “uszczelniania” systemu RedHat Linux został zapoczątkowany przez Jona Lassera oraz Bena Woodarda. Bastille Linux został napisany w języku Perl, w założeniu ma poprawić bezpieczeństwo systemu “Czerwonego Kapelusza”.
[ czytaj całość… ]