DISA (Agencia de Sistemas de Información de Defensa) lanzó recientemente la Guía de implementación técnica de seguridad (STIG) para Ubuntu 22.04 LTS en abril de 2024. sistema.
¿Qué es STIG?
STIG es un conjunto de pautas sobre cómo configurar una aplicación o sistema para reforzarlo. Reforzar significa reducir la superficie de ataque de su sistema: eliminar paquetes innecesarios, bloquear los valores predeterminados en las configuraciones más restrictivas posibles y configurar su sistema para ejecutar solo lo que necesita explícitamente. Las directrices para reforzar el sistema también buscan reducir los daños colaterales cuando se produce un compromiso.
STIG fue desarrollado principalmente para uso interno dentro del Departamento de Defensa de EE. UU. Sin embargo, debido a que se basan en principios de seguridad universalmente reconocidos, pueden ser utilizados por cualquiera que desee un marco potente para fortalecer el sistema. Como resultado, STIG ha experimentado una adopción más amplia dentro del gobierno de EE. UU. y en numerosas industrias, como los servicios financieros y los juegos en línea.
Guía de seguridad de Ubuntu
Hay más de 300 reglas individuales en Ubuntu STIG, por lo que implementarlas desde cero requiere mucho tiempo. Creamos la herramienta Ubuntu Security Guide (USG) para automatizar los aspectos de refuerzo o remediación y auditoría de STIG para simplificar realmente el proceso de refuerzo.
Disponible para Ubuntu Pro
USG está incluido en Ubuntu Pro, una suscripción de cumplimiento y seguridad de nivel empresarial que se encuentra por encima del Ubuntu normal. Puede habilitar e instalar USG usando los siguientes comandos:
$ sudo pro enable usg
$ sudo apt install usg
El perfil DISA-STIG está incluido en la última versión de USG: 22.04.7.
auditoría
Para verificar el estado de su sistema y ver cómo se compara con STIG, ejecute USG en modo auditoría:
$ sudo usg audit disa_stig
Remedios
Luego, para solucionar cualquier problema resaltado por la auditoría y hacer que el sistema cumpla con STIG, ejecute el USG en modo de reparación:
$ sudo usg fix disa_stig
Necesita personalización
Cada implementación de TI es diferente y cada sistema tiene su propio propósito. Por lo tanto, la STIG es una directriz que proporciona un conjunto de referencia de recomendaciones generales y mejores prácticas que pueden aplicarse ampliamente. Esto significa que puede haber algunas reglas en el perfil STIG que no sean coherentes con sus propias tareas y configuración del sistema. Está bien: STIG es una guía que puedes personalizar según tus necesidades específicas.
Para generar archivos personalizados, ejecute:
$ sudo usg generate-tailoring disa_stig mytailoringfile.xml
Edite el archivo personalizado para seleccionar reglas para habilitar o personalizar, luego use el archivo personalizado para auditar o reparar su sistema:
$ sudo usg audit --tailoring-file mytailoringfile.xml
Encuentre detalles en las páginas man
Varias reglas del perfil STIG deben ajustarse a su configuración personal. Esto incluye servidores de auditoría y registro remoto, contraseñas de Grub, software de seguridad de terceros y varios otros detalles personalizados. Proporcionamos ayuda e información detallada en las páginas de manual:
$ man usg-disa-stig
Requiere cifrado FIPS
Uno de los requisitos para el cumplimiento de STIG es que el sistema utilice módulos criptográficos validados por NIST que tengan certificación FIPS 140. El módulo de cifrado Ubuntu 22.04 LTS todavía está esperando la aprobación del CMVP del NIST. Los módulos están disponibles para que los clientes los prueben y obtengan una vista previa, y CMVP ha lanzado un programa de validación provisional para probar y certificar más rápidamente los módulos FIPS 140-3. Sin embargo, las herramientas de USG no están directamente conectadas con el proceso de certificación NIST, así que utilice su criterio al decidir qué nivel de certificación NIST requieren estos módulos.
en conclusión
Esta versión del perfil USG DISA-STIG permitirá a los clientes implementar y reforzar rápidamente Ubuntu 22.04 LTS (Jammy Jellyfish) frente a las líneas base STIG. Dado que USG está incluido con Ubuntu Pro, debes suscribirte a Pro. Pro también incluye un módulo de cifrado FIPS. Si desea obtener más información sobre USG o Ubuntu Pro, contáctenos.
