Apsaugokite sistemas, nuo kurių priklauso organizacijos veikla

Serveriuose veikia svarbiausios organizacijos sistemos – duomenų bazės, verslo aplikacijos, failų saugyklos, autentifikavimo paslaugos, virtualizacijos platformos ir kiti kritiniai IT infrastruktūros komponentai.

Kompromitavęs serverį užpuolikas gali pasiekti jautrius duomenis, perimti privilegijuotas paskyras, išplėsti ataką į kitas sistemas arba visiškai sutrikdyti organizacijos veiklą.

Todėl serverių apsauga negali apsiriboti vien antivirusine programa.

AVEDUS projektuoja, diegia ir prižiūri daugiasluoksnius serverių apsaugos sprendimus, padedančius sumažinti atakos paviršių, kontroliuoti privilegijuotą prieigą, aptikti kibernetines grėsmes ir užtikrinti kritinių sistemų atsparumą incidentams.

Kas yra serverių apsauga?

Serverių apsauga – tai technologinių ir organizacinių priemonių visuma, skirta apsaugoti fizinius, virtualius ir debesijos serverius nuo neautorizuotos prieigos, pažeidžiamumų išnaudojimo, kenkėjiškos programinės įrangos ir kitų kibernetinių grėsmių.

Efektyvi apsauga turi apimti visą serverio gyvavimo ciklą:

Projektavimas → Diegimas → Konfigūravimas → Atnaujinimas → Stebėjimas → Incidentų aptikimas → Atkūrimas.

Saugumo priemonės turi būti pritaikomos pagal serverio paskirtį, jame saugomų duomenų svarbą ir galimą incidento poveikį organizacijai.

Serverių saugumo stiprinimas – Hardening

Viena svarbiausių serverių apsaugos priemonių – saugus jų konfigūravimas.

Server Hardening tikslas yra sumažinti potencialų atakos paviršių pašalinant nereikalingas paslaugas ir taikant griežtesnes saugumo konfigūracijas.

Hardening procesas gali apimti:

• nereikalingų paslaugų išjungimą;

• nenaudojamų tinklo prievadų uždarymą;

• administravimo prieigos ribojimą;

• vartotojų ir grupių teisių peržiūrą;

• slaptažodžių ir autentifikavimo politikų stiprinimą;

• saugaus protokolų konfigūravimo nustatymus;

• žurnalų rinkimo įjungimą;

• kitų operacinės sistemos saugumo parametrų konfigūravimą.

Saugumo stiprinimas gali būti atliekamas vadovaujantis pripažintomis saugaus konfigūravimo rekomendacijomis, pavyzdžiui, CIS Benchmarks.

EDR/XDR serverių apsauga

Tradicinė antivirusinė apsauga daugiausia orientuota į žinomos kenkėjiškos programinės įrangos aptikimą.

Šiuolaikinės atakos gali naudoti teisėtus sisteminius įrankius, pavogtas administratorių paskyras ir kitus metodus, kurių tradicinė antivirusinė programa gali nepastebėti.

EDR (Endpoint Detection and Response) analizuoja procesus, failus, vartotojų veiksmus ir kitą serverio elgseną.

EDR gali padėti aptikti:

• kenkėjišką programinę įrangą;

• ransomware;

• įtartinus procesus;

• privilegijų eskalavimą;

• neįprastą administravimo įrankių naudojimą;

• bandymus išjungti saugumo priemones;

• kitus galimo kompromitavimo požymius.

XDR gali papildomai susieti informaciją iš serverių su tinklo, identiteto, elektroninio pašto ir kitų saugumo sistemų duomenimis.

Apsauga nuo ransomware

Serveriai yra vienas svarbiausių ransomware atakų taikinių.

Užpuolikai dažnai siekia pasiekti failų serverius, virtualizacijos platformas ir atsarginių kopijų infrastruktūrą, kad galėtų maksimaliai sutrikdyti organizacijos veiklą.

Todėl apsauga nuo ransomware turi apimti kelis sluoksnius:

• EDR/XDR;

• daugiafaktorę autentifikaciją;

• privilegijuotų paskyrų kontrolę;

• tinklo segmentavimą;

• pažeidžiamumų valdymą;

• saugias atsargines kopijas;

• saugumo įvykių stebėjimą.

Vienos technologijos nepakanka – svarbu apriboti tiek pirminio kompromitavimo, tiek tolimesnio atakos plitimo galimybes.

Pažeidžiamumų valdymas

Serverių operacinėse sistemose ir įdiegtose aplikacijose nuolat aptinkama naujų pažeidžiamumų.

Viešai pasiekiamas arba kritinis nepašalintas pažeidžiamumas gali tapti tiesioginiu keliu į organizacijos infrastruktūrą.

Todėl svarbu periodiškai:

• identifikuoti pažeidžiamumus;

• įvertinti jų kritiškumą;

• nustatyti, kurios sistemos yra paveiktos;

• prioritetizuoti pataisymus pagal realią riziką;

• diegti saugumo atnaujinimus;

• patikrinti, ar pažeidžiamumas buvo pašalintas.

Prioritetas turėtų būti nustatomas ne tik pagal CVSS balą, bet ir pagal serverio kritiškumą, jo pasiekiamumą ir konkretaus pažeidžiamumo išnaudojimo tikimybę.

Atnaujinimų valdymas

Reguliarūs operacinių sistemų ir aplikacijų atnaujinimai yra viena svarbiausių serverių apsaugos priemonių.

Tačiau kritinėse sistemose atnaujinimai negali būti diegiami nekontroliuojamai.

Reikia įvertinti galimą poveikį aplikacijoms, priklausomybes, reikalingą sistemos perkrovimą ir galimą prastovą.

Todėl atnaujinimų valdymas turi būti planuojamas ir derinamas su organizacijos veiklos tęstinumo reikalavimais.

Privilegijuotų paskyrų apsauga

Serverių administratorių paskyros turi itin plačias teises, todėl jų kompromitavimas gali suteikti užpuolikui didelę kontrolę infrastruktūroje.

Administravimo prieiga turi būti apsaugota naudojant:

• daugiafaktorę autentifikaciją (MFA);

• individualias administratorių paskyras;

• mažiausių privilegijų principą;

• atskiras administravimo paskyras;

• privilegijuotų prieigų valdymą (PAM);

• administravimo sesijų registravimą;

• prieigos laiko ir šaltinio ribojimą.

Kasdieniam darbui neturėtų būti naudojamos paskyros, turinčios nereikalingas administratoriaus privilegijas.

Tinklo segmentavimas

Ne visi organizacijos vartotojai ir įrenginiai turi turėti tiesioginę tinklo prieigą prie serverių.

Serveriai turėtų būti atskiriami į tinklo segmentus pagal jų paskirtį ir kritiškumą.

Pavyzdžiui, gali būti atskirti:

• aplikacijų serveriai;

• duomenų bazių serveriai;

• infrastruktūros valdymo sistemos;

• atsarginių kopijų serveriai;

• viešai pasiekiamos sistemos;

• administravimo infrastruktūra.

Ryšiai tarp segmentų turi būti leidžiami tik ten, kur jie reikalingi.

Tai padeda sumažinti užpuoliko galimybes judėti tarp sistemų.

Viešai pasiekiamų serverių apsauga

Serveriams, kurie tiesiogiai pasiekiami iš interneto, kyla didesnė kibernetinių atakų rizika.

Todėl jų apsauga turi būti ypač griežta.

Svarbu:

• atverti tik būtinus tinklo prievadus;

• reguliariai tikrinti pažeidžiamumus;

• riboti administravimo prieigą;

• naudoti MFA;

• stebėti tinklo ir sistemos įvykius;

• naudoti WAF, jei serveryje veikia interneto aplikacijos;

• taikyti DDoS apsaugą kritinėms interneto paslaugoms.

Viešai pasiekiamos sistemos turėtų būti tinkamai atskirtos nuo vidinės organizacijos infrastruktūros.

Virtualių serverių apsauga

Virtualizacija leidžia vienoje fizinėje infrastruktūroje valdyti daug serverių, tačiau kartu sukuria papildomų saugumo aspektų.

Ypač svarbu apsaugoti virtualizacijos valdymo platformą.

Kompromitavus hipervizoriaus ar virtualizacijos administravimo paskyrą, užpuolikas gali gauti prieigą prie daugelio virtualių serverių vienu metu.

Todėl virtualizacijos infrastruktūrai turi būti taikoma:

• griežta administravimo prieigos kontrolė;

• MFA;

• atskiras administravimo tinklas;

• pažeidžiamumų ir atnaujinimų valdymas;

• saugumo įvykių stebėjimas;

• atsarginių kopijų apsauga.

Debesijos serverių apsauga

Virtualaus serverio perkėlimas į viešąją debesiją savaime nepašalina serverio saugumo rizikų.

Organizacija ir toliau atsako už operacinės sistemos, vartotojų prieigų, aplikacijų ir dalies tinklo konfigūracijų saugumą pagal konkretaus debesijos paslaugų modelio atsakomybės ribas.

Debesijos serverių apsauga gali apimti:

• saugų konfigūravimą;

• identiteto ir prieigos kontrolę;

• tinklo saugumo politikas;

• EDR/XDR;

• pažeidžiamumų valdymą;

• žurnalų rinkimą;

• saugumo stebėjimą;

• atsargines kopijas.

Svarbu vienodą saugumo lygį taikyti tiek vietinei, tiek debesijos infrastruktūrai.

Atsarginių kopijų apsauga

Atsarginės kopijos yra paskutinė apsaugos linija, kai produkciniai duomenys sunaikinami, sugadinami ar užšifruojami.

Todėl pačios atsarginės kopijos taip pat turi būti apsaugotos.

Atsarginių kopijų strategija gali apimti:

• atskiras administravimo paskyras;

• MFA;

• šifravimą;

• nekintamas (immutable) kopijas;

• offline arba izoliuotas kopijas;

• geografiškai atskiras saugojimo vietas;

• periodinius atkūrimo testus.

Svarbu užtikrinti, kad kompromitavus produkcinę infrastruktūrą užpuolikas negalėtų tuo pačiu metu sunaikinti ir visų atsarginių kopijų.

Serverių saugumo stebėjimas

Serveriai generuoja daug informacijos, galinčios padėti identifikuoti kibernetinį incidentą.

Svarbu stebėti:

• prisijungimus;

• administratorių veiksmus;

• vartotojų ir grupių pakeitimus;

• procesų paleidimą;

• saugumo politikų pakeitimus;

• EDR/XDR įspėjimus;

• neįprastus tinklo ryšius;

• bandymus išjungti saugumo priemones.

Šie duomenys gali būti perduodami į SIEM ir SOC/MDR sistemas, kur analizuojami kartu su tinklo, identiteto ir kitais organizacijos saugumo įvykiais.

Failų vientisumo stebėjimas

Kritiniuose serveriuose gali būti svarbu stebėti sisteminių failų ir konfigūracijų pakeitimus.

File Integrity Monitoring (FIM) padeda identifikuoti, kada svarbus failas buvo sukurtas, pakeistas ar pašalintas.

Tai gali padėti aptikti neautorizuotus sistemos pakeitimus ir suteikti papildomos informacijos incidento tyrimo metu.

Serverių apsauga ir Zero Trust

Serverio buvimas vidiniame organizacijos tinkle neturėtų reikšti, kad jis automatiškai gali komunikuoti su visomis kitomis sistemomis.

Zero Trust principai gali būti taikomi ir serverių infrastruktūrai.

Prieiga suteikiama pagal konkrečią paskirtį, identitetą ir realų poreikį, o ryšiai tarp sistemų ribojami naudojant segmentavimą ir saugumo politikas.

Tai padeda sumažinti atakos paviršių ir lateral movement galimybes.

Serverių apsauga ir NIS2

Serveriuose dažnai veikia organizacijos kritinės sistemos ir saugomi svarbūs duomenys.

Todėl jų saugumas yra reikšminga bendro kibernetinių rizikų valdymo dalis.

Pažeidžiamumų valdymas, saugios konfigūracijos, prieigos kontrolė, MFA, atsarginės kopijos, incidentų aptikimas ir saugumo stebėjimas gali būti platesnio NIS2 pasirengimo ir organizacijos kibernetinio atsparumo stiprinimo proceso dalis.

Daugiasluoksnė serverių apsauga

Nėra vienos technologijos, galinčios apsaugoti serverį nuo visų kibernetinių grėsmių.

Efektyvi apsauga sukuriama derinant kelis saugumo sluoksnius:

Hardening → Pažeidžiamumų valdymas → MFA ir PAM → EDR/XDR → Segmentavimas → Atsarginės kopijos → SIEM/SOC stebėsena → Incidentų valdymas.

Tokiu būdu siekiama ne tik užkirsti kelią atakai, bet ir kuo greičiau ją aptikti, apriboti jos poveikį bei atkurti sistemas.

Kodėl AVEDUS?

Kompleksinis požiūris

Serverių apsaugą vertiname kaip bendros organizacijos kibernetinio saugumo architektūros dalį.

Apsauga skirtinguose sluoksniuose

Deriname serverių hardening, EDR/XDR, prieigos kontrolę, tinklo segmentavimą, pažeidžiamumų valdymą ir saugumo stebėjimą.

Fizinė, virtuali ir debesijos infrastruktūra

Saugumo architektūrą pritaikome pagal tai, kur ir kaip veikia organizacijos serveriai.

Integracija su SIEM ir SOC/MDR

Serverių saugumo įvykiai gali būti centralizuotai analizuojami kartu su kitais organizacijos saugumo duomenimis.

Nuo vertinimo iki priežiūros

AVEDUS gali įvertinti esamą serverių saugumo būklę, suprojektuoti apsaugos architektūrą, įdiegti reikalingas technologijas ir užtikrinti jų tolesnę priežiūrą.