Maintaining the Hardening of a Syst

Duy trì cứng của một hệ thống Chiến lược chính kẻ tấn công là để quét, tìm kiếm một hệ thống dễ bị tổn thương, và sau đó thiết lập một bãi đổ bộ hoặc chỗ đứng bởi ảnh hưởng đến hệ thống đó. Sau đó các máy chủ dễ bị tổn thương có bị tổn hại có thể được sử dụng để tấn công các hệ thống khác, hoặc trong cùng một cơ sở hoặc trong các tổ chức khác. Đây là một lý do để nói rằng "nguy cơ giả định bởi một được chia sẻ bởi Tất cả." Trong giai đoạn đầu của việc bảo vệ một trang web, một vành đai phòng thủ chẳng hạn như tường lửa là về các chỉ hợp lý mà bạn có thể làm. Mặc dù chokepoint phòng thủ chẳng hạn như tường lửa có thể mang lại một số bảo vệ cho hệ thống nội bộ, họ có thể được circumvented trong một số cách, Vì vậy tổ chức biến của nó tập trung vào việc xác định và sửa chữa lỗ hổng - những gì chúng tôi gọi là cứng hệ thống. Phải mất rất nhiều năng lượng để có được một cấu hình được biết đến, hợp lý. Làm thế nào để bạn duy trì rằng nhà nước? Quản lý cấu hình là kỷ luật của việc thiết lập một đường cơ sở được biết đến điều kiện, và sau đó quản lý tình trạng đó. Bây giờ, tất nhiên thay đổi là không thể tránh khỏi, và thay đổi nói chung là nghĩ đến trong hai loại chính: sửa chữa và cải tiến. (Chúng tôi cá nhân là khá perplexed về tại sao sửa chữa một cái gì đó mà là bị hỏng không phải là một cải thiện, nhưng đó là một câu chuyện.) Mặc dù lỗ hổng có thể xảy ra trong khi sửa chữa một cái gì đó, họ đang đến nay, đến nay nhiều khả năng xảy ra khi triển khai một cái gì đó mới. Chúng ta có thể gắn nhãn phần mềm bổ sung, nâng cấp, tính năng mới, và hệ thống mới như "mới xây dựng." Trước khi bạn có thể làm mới xây dựng, bạn cần xây dựng một giấy phép, và một phần của tòa nhà cho phép quá trình là một bài đánh giá thiết kế và kiểm tra. Tòa nhà cho phép quá trình cung cấp cho SANS viện 60 cuốn sách 2 - Quốc phòng chuyên sâu tổ chức một cơ hội để đảm bảo rằng việc xây dựng mới giới thiệu no mới lỗ hổng thành một tổ chức. Tất nhiên, nó không phải là cao độ, nhưng nó chắc chắn là tốt hơn so với không làm bất cứ điều gì ở tất cả. Và nó có rất nhiều lợi ích! Có lẽ đáng chú ý nhất là trước đó trong vòng đời phát triển bạn xác định một vấn đề, nó là rẻ hơn để sửa chữa nó. Các câu hỏi phong phú là đây: bạn có thể phát hiện rằng mới xây dựng đang diễn ra (bất kể của việc có hay không một giấy phép xây dựng đã được ban hành)? Nói một cách khác nhau, có thể bạn phát hiện một thay đổi cơ sở hạ tầng mạng (hoặc máy tính) nếu không có ai đã chỉ ra rằng việc thay đổi là (hoặc sẽ) diễn ra? Nếu bạn không thể phát hiện sự thay đổi, làm thế nào bạn có thể kiểm tra nó? Nếu bạn không thể kiểm tra nó, làm thế nào bạn có thể đánh giá và quản lý rủi ro? Bạn có thể không. Để quản lý của bạn cấu hình, bạn cần hai điều: một tài liệu chính xác đường cơ sở và là một cách để phát hiện khi một sự thay đổi xảy ra với đường cơ sở đó. Nếu một trong hai là mất tích, bạn sẽ có một thời gian khó khăn quản lý cấu hình. Những gì có liên quan đến phát triển và duy trì tài liệu đường cơ sở? Điển hình thành phần bao gồm lập bản đồ mạng và tiến hành đánh giá dễ bị tổn thương, chống lại các máy tính trên mạng (chúng tôi thảo luận về các công cụ để làm điều này trong chương 15). Lập bản đồ và đánh giá cũng được sử dụng để duy trì tài liệu. Cải thiện tất cả bắt đầu với một người sẵn sàng để phát huy năng lượng cần thiết để làm cho một sự khác biệt. Nếu tổ chức của bạn không có cấu hình quản lý, và không có kế hoạch bao giờ thực hiện quản lý cấu hình, bạn vẫn có thể thực hiện cấu hình quản lý về những điều mà bạn đang chịu trách nhiệm. Bạn có thể thêm vào cá nhân của bạn Chính sách bảo đảm thông tin (được thảo luận trong chương 8) rằng trước khi bạn xây dựng mới xây dựng, bạn sẽ phát triển một thử nghiệm cho nó và đảm bảo rằng bạn có thể nghĩ rằng thông qua làm thế nào để trở lại trong sự thay đổi nếu nó không hoạt động. Để cấu hình các quản lý để được thực sự thành công, chúng ta cần thiết bị đo đạc, chẳng hạn như Hệ thống máy quét, lập bản đồ mạng, và dễ bị tổn thương máy quét để phát hiện trái phép thay đổi và chúng tôi cần phải sử dụng những công cụ trên cơ sở theo lịch trình. Chỉ là một cơ sở với một đường cơ sở chính xác có khả năng phát hiện bất thường thực hành, để tìm các cuộc tấn công mà không có không có chữ ký được biết đến.

Maintaining the Hardening of a System

The primary attacker strategy is to scan, looking for a vulnerable system, and then
establish a beachhead or foothold by compromising that system. Then the vulnerable host that got compromised can be used to attack other systems, either in the same facility or in other organizations. This is one reason for saying that "risk assumed by one is shared by
all."

In the early stages of protecting a site, a perimeter defense such as a firewall is about the
only reasonable thing you can do. Although chokepoint defenses such as firewalls can
yield some protection to internal systems, they can be circumvented in a number of ways,
so the organization turns its focus to identifying and fixing vulnerabilities - what we call hardening systems. It takes a lot of energy to get to a known, reasonable configuration.
How do you maintain that state?

Configuration management is the discipline of establishing a known baseline condition,
and then managing that condition. Now, of course change is inevitable, and change
generally is thought of in two major categories: repairs and improvements. (We
personally are quite perplexed about why fixing something that is broken isn't an
improvement, but that's another story.) Although vulnerabilities can occur while fixing
something, they are far, far more likely to occur when deploying something new. We can label software additions, upgrades, new features, and new systems as "new construction."

Before you can do new construction, you need a building permit, and part of the building
permit process is a design review and an inspection. The building permit process gives



SANS Institute

60 Book 2 - Defense in-Depth


the organization an opportunity to ensure that the new construction introduces no new
vulnerabilities into an organization. Of course, it's not foolproof, but it sure is better than not doing anything at all. And it has a lot of benefits! Perhaps the most significant is that the earlier in the development lifecycle you identify a problem, the cheaper it is to fix it. The rich question is this: Can you detect that new construction is taking place (regardless
of whether or not a building permit has been issued)? Said differently, can you detect a
change to the network (or computer) infrastructure if no one has indicated that the change is (or will be) taking place? If you can't detect the change, how can you inspect it? If you
can't inspect it, how can you assess and manage the risk? You can't. To manage your
configuration, you need two things: an accurate baseline document and a way to detect when a change occurs to that baseline. If either is missing, you will have a tough time managing the configuration.

What is involved in developing and maintaining the baseline document? Typical
components include mapping the network and conducting vulnerability assessments against the computers on the network (we discuss tools for doing this in Chapter 15). Mapping and assessments are also used to maintain the document.

All improvement starts with one person willing to exert the energy needed to make a
difference. If your organization doesn't have configuration management, and doesn't plan
to ever implement configuration management, you can still implement configuration
management on the things for which you are responsible. You can add to your personal
Information Assurance policy (discussed in Chapter 8) that before you build new
construction, you are going to develop a test for it and make sure you have thought through how to back out the change if it doesn't work.

For configuration management to be truly successful, we need instrumentation, such as
system scanners, network mapping, and vulnerability scanners to detect unauthorized
change and we need to use those tools on a scheduled basis. Only a facility with an
accurate baseline is likely to practice anomaly detection, to find attacks for which there are no known signatures.