¿Qué es el endurecimiento del sistema? Lista básica del sistema operativo a la aplicación

El endurecimiento del sistema significa bloquear el sistema y reducir su superficie de ataque: elimine los paquetes innecesarios, determine el valor predeterminado como la configuración más ajustada y configure el sistema para ejecutar solo lo que requiere explícitamente.

Tomemos la vida diaria como ejemplo. Una joyería y una tienda de comestibles están una al lado de la otra, pero ciertamente puede esperar que el bar y las cerraduras más fuertes de la joyería se puedan cerrar toda la noche porque el contenido es más valioso. En este caso, el edificio de la joyería se ha endurecido para proteger productos preciosos y detener a los ladrones.

También podemos usar métodos muy similares a los sistemas informáticos. Cuando se lanza un software como un sistema operativo, cualquiera puede descargarlo y usarlo para jugar, ejecutar banca en línea y todo lo demás. Sin embargo, para ejecutar un banco, necesitamos tomar otras precauciones para que el sistema sea más alto que la configuración predeterminada.

El sistema de endurecimiento está diseñado para reducir su exposición para que sea más difícil invadir y reducir el daño colateral potencial en caso de una compensación.

¿Por qué es importante el endurecimiento del sistema?

Cualquiera que ejecute la infraestructura informática en la que confíe debe preocuparse por endurecer sus sistemas. Esto es especialmente importante cuando se trata de datos de usuarios como información de identificación personal o registros financieros, ya que las organizaciones enfrentan una gran cantidad de multas, sin mencionar la pérdida de reputación causada por los malditos titulares.

¿Cuál es el tipo de endurecimiento del sistema?

Endurecimiento del servidor

Cada capa y componente del sistema de TI deben endurecerse para garantizar que proporcionen una base segura para la siguiente capa. Todo comienza con el hardware, la base de la pila de aplicaciones, por lo que la primera ubicación que vamos a ver es el hardware del servidor.

La idea es hacer que el servidor sea lo más poderoso posible contra los ataques locales, es decir, las personas con acceso físico a la máquina y evitar que sean datos en el servidor o introducir código malicioso.

Estos son los principales pasos de endurecimiento del servidor:

• Actualizar BIOS. Los fabricantes a menudo lanzan nuevas versiones de BIOS para resolver problemas de seguridad, y es importante actualizar la última versión lo antes posible, lo cual es importante.
• Habilitar SecureBoot. Esto utiliza firmas digitales para garantizar que el sistema inicie el código de firma real, lo que significa que es difícil para los atacantes con acceso físico al servidor para subvertir el proceso de inicio.
• Configuración de BIOS y contraseñas de administración remota. Las características como SecureBoot se pueden deshabilitar en el BIOS, por lo que es importante establecer una contraseña de BIOS para evitar esta función. La interfaz de administración remota también proporciona una gran cantidad de derechos de acceso al sistema de bajo nivel y debe estar protegida con contraseña y accesible solo a través de una subred de administración confiable.
• Deshabilitar puertos USB no utilizados. Si el servidor no necesita usar ciertas características de hardware, estas características generalmente se pueden deshabilitar en el BIOS para evitar aún más los ataques físicos en el sistema.
• Configurar discos con cifrado de disco completo. El cifrado de disco significa que alguien no puede sacar el disco de la máquina y acceder o modificar el contenido fuera de línea. En entornos en la nube y máquinas virtuales, el cifrado de disco también evita que los actores maliciosos estén en el nivel de gestión de la máquina virtual y no puedan acceder a discos virtuales.

Endurecimiento del sistema operativo

Después de bloquear el hardware del servidor, el siguiente paso es configurar el sistema operativo.

Aquí es donde se pueden aplicar la mayoría de los programas endurecidos, ya que el sistema operativo es un lienzo universal que requiere personalización para cada caso de uso individual. Por ejemplo, el entorno de desarrollo tiene una postura de seguridad muy diferente del servidor de producción.

Hay muchas maneras de seguir al endurecer un sistema operativo que se puede dividir en las siguientes categorías:

• Eliminar componentes innecesarios y no utilizados. El sistema operativo Linux (como Ubuntu) contiene el alcance del paquete para cubrir una gama muy amplia de casos de uso, pero los sistemas de producción pueden tener solo un pequeño número de cargas de trabajo críticas. Cualquier paquete que no admite estas cargas de trabajo debe eliminarse.
• Apriete la configuración predeterminada y ejecute cifradonorte. Asegúrese de que el directorio esté configurado para permitir solo los privilegios mínimos requeridos para ejecutar cargas de trabajo de producción y sistemas de archivos en cifrado.
• Registros de configuración y comprobaciones de integridad. Todos los registros de sistemas y aplicaciones deben almacenarse en servidores remotos para garantizar que los atacantes no puedan eliminar los registros para sobrescribir sus pistas. Si se producen cambios inesperados, el software de monitoreo de integridad de archivos debe implementarse para proporcionar advertencias.
• Mantenga el software parcheado y actualizado. La mayoría de los compromisos del sistema ocurren porque los atacantes explotan vulnerabilidades conocidas que aún no han sido reparadas. Todos los parches de seguridad deben aplicarse de manera rápida y automática.
• Escanee regularmente por vulnerabilidades Use un software de escaneo de terceros para determinar cualquier debilidad en la integridad general del sistema.
• Implementar las mejores prácticas operativas, especialmente en la administración de cuentas de usuario. En cualquier organización, los usuarios vienen a cambiar los roles;

Seguridad y endurecimiento de la aplicación

Cuando se trata de la seguridad de la aplicación, es difícil regular el endurecimiento porque cada aplicación tiene sus propios requisitos de seguridad. Sin embargo, los principios generales de seguridad y endurecimiento se pueden aplicar a la mayoría de las aplicaciones:

• Realice un cifrado fuerte y garantice la autenticidad utilizando PKI de confianza. Por ejemplo, una aplicación basada en la web usa TLS, que puede proporcionar un certificado para «Vamos en cifrado».
• Reducir el nivel de privilegio al mínimo requerido. Asegúrese de que los usuarios ordinarios no tengan derechos de acceso administrativo completos.
• Configurar el registro y el registro de excepciones de monitor. Los registros de aplicaciones deben resumirse de forma remota para garantizar que no puedan ser cambiados o destruidos por el atacante, y los registros deben analizarse para detectar un comportamiento anormal para revelar el comienzo del ataque activo.
• Verifique si hay vulnerabilidades de dependencia. La mayoría de las aplicaciones tienen una gran cantidad de bibliotecas y dependencias de software, y cualquiera de ellas puede tener vulnerabilidades de seguridad: todos los componentes deben estar parcheados y actualizados.

Para cualquier aplicación, es importante construir una base sólida, lo que significa primero garantizar el sistema operativo y el endurecimiento correctamente. El siguiente paso es observar la cadena de suministro de software construida por la aplicación, y un buen lugar para comenzar aquí es comer componentes de software de fuentes de confianza.

Ubuntu brinda a todos acceso a la más amplia gama de bibliotecas y aplicaciones de software de código abierto dentro de la industria, con una década de garantías de mantenimiento de seguridad con una suscripción profesional, que proporciona seguridad para la seguridad de su aplicación y solidifica la base más sólida.

Punto de referencia cis

Debido a que el endurecimiento del sistema es importante para muchos tejidos, se han desarrollado estándares de la industria para recopilar las mejores prácticas de todo el mundo y desarrollar un método de endurecimiento común.

este Centro de Seguridad de Internet (CIS) Lanze puntos de referencia de endurecimiento para muchas aplicaciones de software comunes y sistemas operativos, incluido Ubuntu, y puede garantizar su seguridad general si implementa recomendaciones en estos perfiles de endurecimiento.

Los puntos de referencia de CIS tienen una amplia aplicabilidad en una amplia gama de industrias y son útiles para cualquier organización que implementa servicios en Internet. Algunas industrias tienen requisitos regulatorios específicos para autorizar el endurecimiento del sistema, como PCI-DSS, estándares de seguridad de datos de la industria de tarjetas de pago.

PCI-DSS Versión 4 requiere «Configuración de componentes del sistema y gestión de seguridad» y «de acuerdo con los estándares de endurecimiento del sistema aceptados en la industria o las recomendaciones de endurecimiento del proveedor» y se refiere específicamente a los puntos de referencia de CIS.

Automatizar herramientas de ciberseguridad con la Guía de seguridad de Ubuntu (USG)

Especificando, reconocemos la necesidad de endurecer, y también reconocemos que la implementación de cientos de reglas en los puntos de referencia de CIS es una tarea desalentadora, por lo que proporcionamos la Guía de seguridad de Ubuntu, una herramienta automatizada de seguridad cibernética para el endurecimiento, remediación y auditoría automatizados. USG está disponible como parte de Ubuntu Pro y está disponible de forma gratuita en hasta 5 máquinas.

Después de instalar USG, endurecer el sistema Ubuntu al estándar cis es tan simple como ejecutar comandos:

USG corrige cis_level1_server

Para comenzar rápidamente la Guía de seguridad de Ubuntu para CIS o DISA-STIG, considere usar este tutorial.

Guía completa

Canonical ha lanzado una guía detallada de endurecimiento por infraestructura que cubre todos los pasos y procedimientos descritos aquí, y más.

en conclusión

El endurecimiento de la infraestructura y los sistemas es un paso crucial para crear un entorno de producción, pero puede ser una perspectiva desalentadora.

Aprovechar los estándares de la industria, como los puntos de referencia de CIS, así como el uso de herramientas automatizadas de seguridad cibernética disponibles en Ubuntu Pro puede convertirlo en una propuesta más manejable.

Para obtener más información, contáctenos aquí.

Para obtener más información sobre las especificaciones y lo que hacemos en términos de seguridad y cumplimiento: