システムハードニング.

ハードニングは、出荷時状態のシステムを、未使用サービスの停止、既定アカウントの削除、最小権限の適用、強力な認証の強制、暗号化の有効化、ログの設定、ネットワーク露出の制限などによって、堅牢なシステムへと変える作業です。対象は OS、アプリケーション、データベース、コンテナ、クラウドサービス、ネットワーク機器、ファームウェアに及びます。

現場では、ホストごとに統制を独自に考案するのではなく、公開されたベースラインを採用します。CIS Benchmarks は数百の技術について合意に基づくバージョン管理されたハードニングガイドを提供し、2 つのプロファイルレベルを備えています。適合状況は、機械可読な CIS Controls に対して CIS-CAT を用いて自動的に測定できます。米国政府や国防の領域では DISA STIG が必須であり、SCAP コンテンツとして配布され、OpenSCAP などのツールで監査されます。より広範な統制カタログには NIST SP 800-53 やサーバに特化した NIST SP 800-123 があります。設定を手作業でクリックして回るのではなく、チームはベースラインを Ansible、Chef、Puppet としてコード化し、継続的に強制することで構成のドリフトを防ぎます。

ハードニングはパッチ適用を補完しますが、決してその代替にはなりません。完全にパッチが当たったホストであっても、匿名共有を公開していたり、デバッグ用エンドポイントを開いたままにしていたり、不要なインタプリタを実行していれば悪用されうるからです。多層防御では、ハードニングされたベースラインと監視を組み合わせ、逸脱を検知して元に戻せるようにします。

flowchart TB
  A[既定のシステム<br/>広いアタックサーフェス] --> B[ベースライン選定<br/>CIS Benchmark・DISA STIG・NIST 800-53]
  B --> C[統制の適用<br/>サービス停止・最小権限・暗号化・ログ取得]
  C --> D[IaC による自動化<br/>Ansible / Chef / Puppet]
  D --> E[コンプライアンス監査<br/>CIS-CAT・OpenSCAP]
  E --> F{ドリフトや欠落は?}
  F -->|あり| C
  F -->|なし| G[ハードニング済みベースライン<br/>継続的に監視]