Sécurité + Certification: Protéger vos défenses - Les nuls

Le durcissement fait référence au processus de modification d'un ordinateur ou d'un périphérique réseau afin de le rendre moins vulnérable aux intrusions. Ceci est important car les ordinateurs et les réseaux utilisés par une organisation doivent continuer à fonctionner sans interruption; les informations commerciales contenues ou traitées par celles-ci sont censées conserver leur intégrité.

Pour un certain nombre de raisons qui ne sont pas pertinentes au sujet de la certification Security +, les systèmes ne proviennent pas de leurs fabricants dans un état complètement durci. Il appartient à l'organisation qui utilise les systèmes d'effectuer toutes les procédures de renforcement qui sont appropriées pour leur environnement.

Le bon durcissement d'un système se résume à cinq principes:

• Conserver les correctifs de sécurité et corriger les problèmes. Pratiquement tous les fournisseurs de matériel et de logiciels publient de temps en temps des correctifs de sécurité. Il est essentiel que chaque organisation utilisant le produit installe le correctif de sécurité le plus rapidement possible afin d'éviter les incidents de sécurité.
• Désactiver ou supprimer des composants inutiles. Si un composant logiciel d'un système n'est pas utilisé, il est probablement inutile. Chaque composant inutile sur un système doit être désactivé ou, mieux encore, supprimé complètement. Lorsqu'un composant logiciel est supprimé d'un système, toute vulnérabilité découverte dans ce composant ne peut pas présenter de risque pour le système. Si le composant défectueux n'est pas actif ou n'est pas présent, il ne peut pas être utilisé pour entrer dans un système.

• Désactiver les configurations d'accès par défaut. Les systèmes et les périphériques réseau peuvent avoir des comptes par défaut et / ou des mots de passe qui, s'ils sont inchangés, permettent un accès facile par un intrus. Les comptes invités doivent être désactivés ou supprimés. les mots de passe par défaut doivent être changés; les comptes sans mot de passe doivent être désactivés ou les mots de passe doivent être attribués.
• Resserrez les contrôles d'accès. Trop souvent, les autorisations d'accès à des ressources telles que des programmes ou des fichiers sont trop laxistes. Dans le but de mettre en place un nouveau service, les administrateurs système modifient fréquemment les contrôles d'accès pour les "ouvrir complètement", puis, dans leur hâte de terminer le projet, négligent de restreindre l'accès. Plus tard, l'accès «grand ouvert» peut être exploité par un intrus qui peut voler ou endommager des informations.

• Activer la journalisation d'audit. De nombreux systèmes d'exploitation et applications, bien qu'ils contiennent une fonctionnalité de journalisation des événements / accès / audit, sont fréquemment envoyés avec la journalisation désactivée ou désactivée.En utilisant la journalisation des événements, il peut être possible de retracer certaines étapes d'un intrus.

Ces principes universels s'appliquent à peu près à toutes les situations concernant les ordinateurs et les périphériques réseau. Si les ingénieurs système et réseau sont diligents et suivent ces principes, la majorité des incidents de sécurité potentiels seront évités.

Défauts et correctifs de sécurité

Les ordinateurs et les périphériques réseau sont constitués d'un ou de plusieurs logiciels contrôlant leur fonctionnement. Être écrit, installé et géré par des humains imparfaits, parfois des ordinateurs et des périphériques réseau contiennent des failles qui permettent un comportement inattendu. De temps en temps, ce comportement inattendu entraîne une personne capable de contrôler ou de modifier le système. Ceci est généralement connu comme un défaut de sécurité .

D'autres dysfonctionnements dans le logiciel font que le système ne fonctionne pas comme prévu. Bien qu'ils ne puissent pas prendre la forme de failles de sécurité, ils peuvent néanmoins être irritants.

Les entreprises qui fabriquent et supportent des systèmes ont des gens dont le travail consiste à créer des mises à jour logicielles. Selon la raison de la création de la mise à jour, elle peut prendre plusieurs formes:

• Service Release. Egalement appelées mise à niveau de version ou service pack, les versions de service contiennent généralement de nombreux correctifs, et même des améliorations ou des mises à niveau. Les communiqués de service sont généralement produits une à trois ou quatre fois par année.
• Patch. Également appelé correctif, un correctif est conçu pour modifier un problème spécifique. Bien que les modifications apportées à un correctif soient généralement incluses dans une version de service, un correctif est généralement généré en raison d'une urgence accrue. Généralement, un fournisseur produit un correctif car il estime que ses clients doivent l'installer immédiatement au lieu d'attendre la prochaine version de service pour résoudre le problème.

Désactiver les services inutiles

Une application ou un service inutilisé mais en cours d'exécution peut augmenter les risques pour un système. Prenez, par exemple, le service FTP. FTP est une sécurité fiable et adéquate lorsqu'il est configuré correctement.

Supposons, par exemple, qu'une faille sérieuse ait été découverte dans FTP. Dites, si vous avez fourni un certain modèle dans le champ de mot de passe, vous seriez en mesure de contrôler le système. Cela compromettrait l'intégrité du système. Toutefois, si FTP n'a pas été utilisé sur un système donné, il doit être désactivé ou supprimé. Cela éliminerait la menace causée par la faille FTP, car si FTP n'est pas exécuté sur le système, il ne peut pas être exploité afin de compromettre le système.

Désactiver l'accès par défaut

Afin de faciliter leur configuration initiale ou leur utilisation, de nombreux systèmes sont livrés au client avec un compte invité, et peut-être un mot de passe par défaut sur un ou plusieurs comptes administratifs. Si ces comptes ne sont pas modifiés ou désactivés, un intrus connaissant les mots de passe par défaut ou d'autres méthodes d'accès peut être en mesure de contrôler un système.

Il est donc impératif d'effectuer l'une des actions suivantes:

• Désactivez ou supprimez les comptes Invité.
• Modifiez les mots de passe par défaut sur les comptes.
• Assurez-vous que tous les comptes ont des mots de passe.

Les comptes et les mots de passe constituent la première ligne de défense d'un système, il est donc important de ne pas le rendre trop facile pour un intrus de compromettre votre système.

Serrer les contrôles d'accès

L'accès à tout ce qui touche aux ordinateurs et aux réseaux doit être réservé aux personnes qui ont un motif professionnel justifié pour y avoir accès. Considérez les pointeurs suivants:

• Résistez à la tentation de modifier les autorisations d'accès pour qu'elles soient "largement ouvertes" (permettant l'accès à tout un chacun).
• Adopter le principe de "refusé sauf si explicitement autorisé". En d'autres termes, l'autorisation d'accès par défaut à une ressource doit être "refusée". "Ensuite, autoriser explicitement l'accès à des groupes spécifiques ou des individus au besoin. Cela fonctionne mieux que "autorisé sauf explicitement refusé", ce qui permet aux nouveaux utilisateurs d'accéder à une ressource autrement fermée (sauf si l'administrateur est diligent à 100% et ajoute toujours chaque nouvel utilisateur à la liste "refusée" de chaque ressource gérée).
• Adoptez le principe selon lequel "les utilisateurs n'ont que le moins de privilèges nécessaires pour accomplir leur travail. "Ceci est connu comme le principe du" moindre privilège ". "

Activer la journalisation d'audit

La journalisation d'audit est une fonction présente dans la plupart des systèmes d'exploitation, bases de données et applications plus importantes où la plupart des transactions utilisateur et administratives sont enregistrées indépendamment. Cela fournit une piste de vérification qui peut être utilisée pour reconstituer des événements routiniers ou inhabituels.

La journalisation de l'audit doit contenir au minimum les éléments suivants décrivant une transaction ou un événement:

• Qui a effectué la transaction. C'est généralement l'ID utilisateur associé à la transaction.
• Lorsque la transaction a été effectuée.
• Ce qui était contenu dans la transaction. Selon la nature de la transaction, celle-ci peut contenir des valeurs «anciennes» et «nouvelles» ou une description de la transaction.
• Où la transaction a été effectuée. Ce sera généralement un identifiant de terminal ou une adresse IP.