Конфигурация операционной системы
Конфигурация операционной системы предполагает корректировку системных параметров и усиление защиты конфигурации ОС по умолчанию с целью снижения риска эксплуатации злоумышленниками и предотвращения злоупотребления системными функциями. Правильная конфигурация ОС устраняет уязвимости безопасности, сокращает поверхность атаки и обеспечивает надёжную защиту от широкого спектра техник. Данная мера может быть реализована следующими способами: Отключение неиспользуемых компонентов: - Отключайте SMBv1, LLMNR и NetBIOS там, где они не нужны. - Отключайте удалённый реестр и ненужные службы. Применение защитных механизмов ОС: - Включайте Data Execution Prevention (DEP), Address Space Layout Randomization (ASLR) и Control Flow Guard (CFG) в Windows. - Используйте AppArmor или SELinux в Linux для применения обязательного контроля доступа. Защита параметров доступа: - Включайте контроль учётных записей (UAC) в Windows. - Ограничивайте доступ root/sudo в Linux/macOS и применяйте строгие права с помощью файлов sudoers. Усиление файловой системы: - Применяйте принцип наименьших привилегий для критически важных файлов и системных каталогов. - Регулярно проверяйте права доступа с помощью инструментов icacls (Windows) или getfacl/chmod (Linux/macOS). Защита удалённого доступа: - Ограничивайте доступ по RDP, SSH и VNC авторизованными IP-адресами с помощью правил межсетевого экрана. - Включайте NLA для RDP и применяйте строгие парольные политики и политики блокировки. Усиление конфигурации загрузки: - Включайте Secure Boot и применяйте защиту UEFI/BIOS паролем. - Используйте BitLocker или LUKS для шифрования загрузочных дисков. Регулярные проверки: - Периодически проверяйте конфигурации ОС с помощью инструментов, таких как эталоны CIS или средства SCAP. *Инструменты реализации* Windows: - Объекты групповых политик (GPO) Microsoft: централизованное применение параметров безопасности ОС. - Windows Defender Exploit Guard: встроенная защита ОС от эксплойтов. - CIS-CAT Pro: аудит конфигураций безопасности Windows на основе эталонов CIS. Linux/macOS: - AppArmor/SELinux: применение обязательного контроля доступа. - Lynis: комплексный аудит безопасности. - SCAP Security Guide: автоматизация усиления защиты конфигурации с использованием SCAP. Межплатформенные: - Ansible или Chef/Puppet: автоматизация усиления конфигурации в масштабе. - OpenSCAP: проверки соответствия требованиям и конфигурации.