La számítógépes rendszerek biztonsága Már régóta nem „technikai probléma”, hanem kritikus üzleti üggyé vált. Manapság egy vállalat szinte minden működése az informatikai ökoszisztémájától függ. Ezért, amikor valami támadás vagy rossz konfiguráció miatt meghibásodik, a következmények pénzügyi veszteségekben, elégedetlen ügyfelekben és a márkaimázs romlásában nyilvánulnak meg.
Ebben a kontextusban, edzés Alapvető stratégiává vált. Nem csak további biztonsági eszközök telepítéséről van szó, hanem a már meglévők megfelelő konfigurálásáról, a felesleges funkciók csökkentéséről és olyan ajtók bezárásáról, amelyeknek soha nem lett volna szabad nyitva lenniük. A Google Chrome böngésző esetében ez olyan technikák kombinálását jelenti, mint... folyamatszigetelés, speciális beállítások és a szabályozott ágazatok szigorú előírásainak való megfelelés érdekében hozott konkrét ellenőrzések.
Mi a keményítés, és miért olyan fontos a Chrome-ban?
Amikor keményedésről beszélünk, akkor arra gondolunk, hogy mértékek és konfigurációk halmaza Úgy tervezték, hogy minimalizálja a rendszer sebezhetőségeit. A Chrome esetében ez magában foglalja a böngésző beállítását a lehető legmagasabb biztonság nyújtására, csökkentve a böngészőhöz érkező hívások számát. „támadási felület” amit a támadók kihasználhatnak.
Az alapelv egyszerű: Kevesebb felesleges funkció Minél több biztonsági funkció aktív, annál kevesebb lehetőség van a sebezhetőségek kihasználására. A gyártók jellemzően használatra készen szállítják termékeiket, a könnyű használhatóságot helyezve előtérbe a szigorú biztonsággal szemben. Ez azt jelenti, hogy gyakran a következőkkel érkeznek: alapértelmezés szerint engedélyezett opciók amelyekre esetleg nincs szüksége, és amelyek támadási vektorokká válhatnak. Különösen a szigorú szabályozás alá tartozó szervezeteknél.
A keményedés egy Ésszerű egyensúly a védelem és a használhatóság közöttNem arról van szó, hogy mindent blokkoljunk és ellehetetlenítsük a felhasználók életét, hanem arról, hogy olyan kényelmes munkakörnyezetet teremtsünk, ahol a lehető legkisebb a súlyos incidens bekövetkezésének valószínűsége.
Szabályozott környezetben a keményítés már nem „jó, ha van” opció, hanem inkább szabályozási követelménySzámos szabályozási keretrendszer és szabvány (például a CIS-benchmarkok vagy a DISA STIG irányelvek) biztonságos konfigurációkat és speciális ellenőrzéseket ír elő a böngészők és alkalmazások, köztük a Chrome felett.
Folyamat elkülönítése a Chrome-ban: az első védelmi vonal
Az egyik legfontosabb pillér Króm edzés Ez a folyamatelkülönítési architektúrája, más néven sandboxing. A Chrome a lapokat, bővítményeket, sőt sok esetben akár teljes webhelyeket is független folyamatokra választja szét, korlátozva egy adott oldalra vagy összetevőre gyakorolt sebezhetőség hatását.
Ez a megközelítés a „minden a dobozában” Ez kulcsfontosságú a szabályozott környezetekben, ahol az érzékeny adatok kiszivárgása nem támaszkodhat egyetlen akadályra. Ha egy támadónak sikerül kihasználnia egy webhely sebezhetőségét, a folyamatok elkülönítése megnehezíti, hogy a hiba más lapokra, más tartományokra vagy magára az operációs rendszerre terjedjen át.
Továbbá a sandboxing mechanizmusai kiegészítik a következőket: memória-vezérlés és kihasználás-megelőzés a böngészőben és az alapul szolgáló rendszerben (operációs rendszerben). Ezért még egy sebezhetőség felfedezése esetén is általában másokkal kell láncolni a teljes kihasználás érdekében, ami sokkal bonyolultabb, ha a folyamatok elkülönítése megfelelően van konfigurálva, és általános rendszerkeményítéssel párosul.
Az auditoknak és ellenőrzéseknek kitett szervezeteknél gyakori, hogy a biztonsági szabályzatok előírják a következőket: Ne tiltsa le ezeket a védelmeket Kivéve a nagyon indokolt, dokumentált és ellenőrzött eseteket. A Chrome izolációs és sandbox funkcióinak aktívan tartása nem csupán általános tanács: alapvető követelmény a kellő gondosság és a szabályozó hatóságok felé való megfelelés igazolására.
Rendszerkeményítés: a Chrome megerősítéséhez szükséges kontextus
A böngésző nem létezik elszigetelten. Ahhoz, hogy a Chrome védelme valóban hatékony legyen, egy... a rendszer globális megkeményedése (Windows, Linux, alkalmazásszerverek, routerek stb.). Egy „biztonságos” Chrome böngésző haszontalan, ha olyan operációs rendszeren fut, amelyen feleslegesen nyitott portok, nem biztonságos szolgáltatások és rosszul kezelt jogosultságok vannak.
A rendszer keményítése a következők alkalmazásából áll: korlátozó intézkedések mind szoftverben, mind hardverben a sebezhetőségek csökkentése a napi működés megzavarása nélkül. Néhány gyakori példa: nem használt programok eltávolítása, az értéket nem teremtő szolgáltatások letiltása, a nem használt portok lezárása, a mappák és felhasználói engedélyek gondos kezelése, valamint a biztonsági rések létrehozása. erős jelszó- és hitelesítési szabályzatok.
Sok biztonsági projektben az ajánlott megközelítés az elkülönítés aktív és passzív intézkedésekAz első típusú biztonsági intézkedések a támadások megelőzésére irányulnak (tűzfalak, hozzáférési szabályok, erős hitelesítés stb.), míg a második az incidensek hatásának enyhítésére összpontosít (biztonsági mentések, helyreállítási képességek, naplózás és nyomon követhetőség, kártevő-ellenőrzés és -eltávolítás stb.). A Chrome mindkettőből profitál. Egy jó biztonsági mentési és incidens-kezelési szabályzat nagy különbséget jelenthet, ha a kártevő a böngészőn keresztül jut be.
A vállalati hálózatokban a következőket is figyelembe veszik: routerek és hálózati berendezések megerősítéseErős jelszavak (nem alapértelmezettek), nem használt portok lezárása, a nem létfontosságú szolgáltatások (FTP, CDP, BOOTP stb.) letiltása és megfelelő alhálózati szegmentálás. Mindezek az intézkedések csökkentik a támadó oldalirányú mozgásának lehetőségeit, miután a böngészőn keresztül kezdeti sebezhetőségre tesznek szert.
Egy másik, a Chrome üzleti életben való használatához szorosan kapcsolódó szempont a mappák és felhasználói profilok védelmeAz engedélyek és ACL-ek megfelelő kezelése azokon az elérési utakon, ahol a böngésző profilokat, gyorsítótárakat vagy letöltéseket tárol, csökkenti a rosszindulatú programok azon képességét, hogy jogosultságokat eszkaláljanak vagy kritikus információkat veszélyeztessenek.
Egy edzési projekt szakaszai szabályozott környezetben
Egy komoly edzési projekt, mind a Chrome, mind annak többi komponense esetében, nem korlátozódik egy sor „varázsrecept” alkalmazására. Általában a következőképpen épül fel: három fő fázis: tesztelés, alkalmazás és monitorozás, amelyet mindig egyértelmű keményítőpolitika támogat.
vizsgálatok
Először is meg kell határoznunk alapértékek és irányelvek minden rendszertípusra: böngészők, szerverek, alkalmazások, verziók, szerepkörök, környezetek (éles, előkészítési, labor stb.). Minél részletesebb a szabályzat (például egy külön sablon a Chrome-hoz a front-office banki szerepkörökben és egy másik a fejlesztőcsapatok számára), annál jobban illeszkedik a napi működésbe.
Szakaszában tesztelésEzeket a szabályzatokat ezután tesztkörnyezetekben telepítik, amelyek a lehető legjobban szimulálják a valóságot. Itt kiértékelik, hogy mely szabályok alkalmazhatók anélkül, hogy bármi is meghibásodna, és melyek okoznak problémákat a vállalati webes alkalmazásokban, a szükséges Chrome-bővítményekben vagy a kritikus szolgáltatásokban. Ez a legköltségesebb szakasz idő és erőforrások szempontjából, de egyben a legfontosabb is: a szigorúbb változtatások közvetlen, tesztelés nélküli alkalmazása az éles környezetben katasztrófákhoz és belső incidensekhez vezet.
kérelem
Miután a szabályzatot kiigazították, a következő szakasz következik: alkalmazás és megfelelésA megállapodott konfigurációkat minden érintett számítógépen és szerveren telepíteni kell, ellenőrizve, hogy mindegyik a megfelelő szabályzatot kapja-e. Ha manuálisan történik, az emberi hiba kockázata nagyon magas. Ezért konfigurációkezelési és automatizálási eszközöket használnak a központosított szabályzatkezelés lehetővé tételéhez.
megfigyelés
Végül a fázis folyamatos monitorozás Ez az, ami megakadályozza, hogy a rendszer idővel visszatérjen a kezdeti, nem biztonságos állapotába. Az informatikai környezetek rendkívül dinamikusak: új alkalmazások telepítődnek, berendezéseket szerelnek le, jogosultságok módosulnak, és így tovább. Ha ezt a „konfigurációs eltérést” nem figyelik és nem korrigálják, a biztonsági intézkedések gyorsan elveszítik hatékonyságukat.
Eszközök az edzés automatizálásához és monitorozásához
E három szakasz hatékony kezeléséhez általában a következőkre támaszkodunk: négy fő eszközcsalád:
- Edzési automatizálás.
- Konfigurációkezelés.
- Megfelelőségi szkennerek.
- Nyílt forráskódú megoldások.
Mindegyik a ciklus egy másik részét fedi le.
az automatizálási eszközök edzése Általában átfogóbb megoldást kínálnak: tesztelhetik a konfigurációs változtatásokat, felmérhetik azok hatását, tömegesen alkalmazhatnak szabályzatokat, és központilag figyelhetik a megfelelőséget. Erősségük az egyes szabályok éles szolgáltatásokra gyakorolt hatásának automatikus elemzésében rejlik, ami kulcsfontosságú a Chrome-tól vagy a rendszerbeállításoktól függő webalkalmazások meghibásodásának elkerülése érdekében.
Léteznek kereskedelmi forgalomban kapható, szerverek megerősítésére és köztes szoftverekre szakosodott megoldások, amelyek célja csökkentse az üzemeltetési költségeket és kerülje a fennakadásokat szigorú biztonsági szabályzatok alkalmazásával. Némelyik általánosságban a szerverekre irányul, míg mások meghatározott platformokra (pl. webes környezetekre) összpontosítanak. Az ilyen típusú eszközök lehetővé teszik az erős biztonsági helyzet fenntartását a manuális erőfeszítések növelése nélkül. Emellett megkönnyítik a megfelelőségi jelentések generálását auditokhoz.
Egy másik kategória a biztonsági konfigurációkezelő (SCM) eszközökA NIST ezeket a rendszereket olyan folyamatok és technológiák összességeként írja le, amelyeket egy információs rendszer konfigurációjának szabályozására használnak a kockázatok kezelése érdekében. Funkcióik az adott alapkonfiguráció alkalmazásától a verziók ellenőrzésén, a változtatások felülvizsgálatán, a módosítások jóváhagyásán át a változtatások nyomon követhetőségének fenntartásáig terjednek.
Végül az ökoszisztéma nyílt forráskódú Több, a biztonsági résekre összpontosító projektet kínál. Ezek az automatizálási és összehangolási keretrendszerektől kezdve a Windows megfelelőségi sablonokon át a konfigurációkat a hivatalos biztonsági résekre vonatkozó irányelvekkel összehasonlító szkriptekig, valamint a rendszerinformációkat elemző és potenciális sebezhetőségeket és gyenge konfigurációkat javasoló eszközökig terjednek, amelyek privilégiumok eszkalációját tehetik lehetővé.
Gyakorlati edzési intézkedések: a rendszertől a felhasználóig
A keményedés nem egyetlen cselekvés, hanem kiegészítő intézkedések halmaza különböző rétegeken alkalmazzák: operációs rendszer, hálózat, alkalmazások, adatok és emberek. Bár a Chrome számos incidens középpontjában áll, csupán egyetlen láncszem a láncban.
Rendszer és böngésző
A rendszer részben néhány tipikus intézkedés a következő:
- Módosítsa az összes alapértelmezett jelszót.
- Távolítsa el a felesleges szoftvereket.
- Távolítsa el azokat a felhasználókat, akikre már nincs szükség.
- Tiltsa le a nem használt szolgáltatásokat, és erősítse meg a működőképes szolgáltatások biztonságát.
- Zárja be a használaton kívüli nyitott portokat.
- Rendszeres és megbízható biztonsági mentési stratégiákat kell kidolgozni.
- Telepítsen és konfiguráljon megfelelően egy tűzfalat.
- Tartsa az operációs rendszerét és az alkalmazásait (beleértve a Chrome-ot is) mindig frissítve.
Ez is kényelmes észlelje, hogy kiszivárgott-e a jelszava amikor lehetséges.
A böngészővel kapcsolatban a Chrome megerősítése például a következőket jelenti: Bővítmények korlátozása csak a szervezet által jóváhagyottakat, korlátozza a bővítmények telepítését, kényszeríti a HTTPS használatát, letiltja a kísérleti vagy kevéssé használt funkciókat, amelyek kockázatot jelenthetnek, szabályozza a fájlletöltési szabályzatok és beállíthatja a mikrofon, a kamera, a helyszín, a vágólap stb. hozzáférési engedélyeit. Mindez vállalati környezetben szabályzatsablonok és adminisztrációs eszközök segítségével kezelhető.
Felhasználók és biztonság
Nem szabad elfelejtenünk a felhasználó-keményítésEgy jól konfigurált böngészőnek nincs sok haszna, ha a személyzet minden mellékletet ellenőrzés nélkül megnyit, kétes bővítményeket telepít, vagy adathalász oldalakon adja meg jelszavát. A biztonság megerősítéséhez elengedhetetlen a biztonsági tudatosság és a képzés. Megtanítjuk az embereket a gyanús e-mailek felismerésére, Kerüld a nem hivatalos oldalakról származó letöltéseketHasználj erős jelszavakat, ne használd őket újra több szolgáltatásban, tartsd aktív és naprakészen a víruskeresődet, és kattintás előtt használd a józan eszedet.
A gyakorlatban a következők kombinációjával dolgozunk: aktív és passzív biztonság.
- Aktív biztonsági intézkedésekkel próbálják megelőzni az incidenst (Chrome konfiguráció, tűzfal, hitelesítés, hozzáférés-vezérlés, hálózati szegmentálás).
- A passzív biztonság a károk minimalizálására összpontosít, miután valami megtörtént (biztonsági mentések, helyreállítási tervek, naplók, elemző és tisztító eszközök, észlelő és monitorozó rendszerek).
Kockázatok, akadályok és példák, ahol a keménykedés változást hozott volna
Egy komoly edzésprogram megvalósítása nem mentes a hátrányoktól. kihívások és súrlódásokA szigorítási intézkedések technikailag összetettek lehetnek, speciális profilokat igényelhetnek, és gyakran ellenállásba ütköznek a felhasználók vagy az üzleti területek részéről, akik ezeket a szabályokat kellemetlenségnek tekintik.
Az egyik visszatérő probléma az kompatibilitás a meglévő alkalmazásokkalBizonyos változtatások (például egy protokoll letiltása, egy port blokkolása vagy a makrók végrehajtásának korlátozása) meghibásodást okozhatnak a már évek óta futó, régi alkalmazásokban vagy munkafolyamatokban. Ezért olyan kritikus fontosságú a tesztelési fázis. Ezeket az ütközéseket korán fel kell ismerni, és eseti alapon kell döntést hozni arról, hogy az alkalmazást adaptálják-e, alternatívát keresnek-e, vagy elfogadnak-e egy szabályozott kivételt.
A közvetlen (eszközök, tanácsadás, személyzet) és a közvetett (a használhatóságra vagy a teljesítményre gyakorolt potenciális hatás) költségeket is figyelembe kell venni. Néhány nagyon korlátozó konfiguráció enyhe teljesítménycsökkenést eredményezhet. Ez különösen nagy volumenű tranzakciós környezetekben vagy összetett webes alkalmazásokkal Chrome-ban végzett munka során észrevehető.
Bár minden eset más, a kiberbiztonság története tele van példákkal, ahol rossz javításkezelés vagy alapértelmezett konfigurációk Ez hatalmas incidensek forrása volt. Javítatlan sebezhetőségek okozta biztonsági rések, elavult protokollokat kihasználó zsarolóvírusok, kritikus infrastruktúra elleni támadások a nem biztonságos konfigurációk miatt… Ezekben az esetekben egy szigorú biztonsági rések jelentősen csökkentették volna a hatást, vagy akár meg is előzték volna az incidenst.
Végső soron a Chrome és az infrastruktúra többi részének megerősítése egy módja annak, hogy építsünk szilárd alapok Ezek azok a területek, ahol érdemes más fejlett biztonsági technológiákat is bevezetni. Mielőtt divatos megoldásokba vagy kifinomult észlelési szolgáltatásokba fektetnénk be, érdemes ellenőrizni, hogy megvannak-e az alapvető biztonsági intézkedések, hogy a konfigurációk megfelelőek-e, és hogy a személyzet képes-e azonosítani a leggyakoribb kockázatokat. Csak így tudják a védelem felsőbb rétegei valóban ellátni a feladatukat.
