Усиление систем (hardening).

Hardening превращает «коробочные» системы в устойчивые за счёт отключения неиспользуемых служб, удаления дефолтных учётных записей, применения принципа минимальных привилегий, строгой аутентификации, включения шифрования, настройки журналирования и ограничения сетевой видимости. Это применимо к операционным системам, приложениям, базам данных, контейнерам, облачным сервисам, сетевому оборудованию и прошивкам.

Вместо того чтобы изобретать контроли для каждого узла, специалисты берут за основу опубликованные базовые конфигурации (baselines). CIS Benchmarks предоставляют согласованные, версионируемые руководства по усилению для сотен технологий с двумя уровнями профилей; соответствие можно измерять автоматически с помощью CIS-CAT относительно машиночитаемых CIS Controls. В государственном и оборонном секторах США DISA STIG обязательны, распространяются в виде SCAP-контента и проверяются такими инструментами, как OpenSCAP. К более широким каталогам контролей относятся NIST SP 800-53 и ориентированный на серверы NIST SP 800-123. Вместо того чтобы вручную перебирать настройки, команды кодифицируют базовую конфигурацию в виде Ansible, Chef или Puppet и непрерывно её применяют, предотвращая дрейф конфигурации.

Hardening дополняет — но никогда не заменяет — патчинг: даже полностью пропатченная система может быть скомпрометирована, если она предоставляет анонимную сетевую шару, держит открытым отладочный эндпоинт или запускает ненужный интерпретатор. Эшелонированная защита сочетает усиленную базовую конфигурацию с мониторингом, чтобы отклонения обнаруживались и откатывались.

flowchart TB
  A[Система по умолчанию<br/>широкая поверхность атаки] --> B[Выбор базовой конфигурации<br/>CIS Benchmark · DISA STIG · NIST 800-53]
  B --> C[Применение контролей<br/>отключение служб · минимальные привилегии · шифрование · журналирование]
  C --> D[Автоматизация через IaC<br/>Ansible / Chef / Puppet]
  D --> E[Аудит соответствия<br/>CIS-CAT · OpenSCAP]
  E --> F{Дрейф или пробелы?}
  F -->|Да| C
  F -->|Нет| G[Усиленная базовая конфигурация<br/>под непрерывным мониторингом]