Tema: hardening
-
Preparar a recuperação antes de uma mudança de hardening: acesso por console, backup, rollback automático agendado e registro da mudança
Uma metodologia para tornar qualquer mudança de hardening reversível antes de aplicá-la: confirmar o acesso fora de banda, fazer backup do que vai mudar, armar um rollback agendado que dispara se nada confirmar o sucesso e registrar a mudança, de modo que um erro de rede ou autenticação se corrija sozinho, sem exigir ida ao local.
-
Monitoramento de integridade de arquivos com AIDE: criar a baseline, verificar contra ela e manter o banco de dados fora do host
O AIDE compara o sistema de arquivos atual com um banco de dados criado antes: aide --init gera esse banco, o operador precisa movê-lo para o lugar certo, e aide --check só é confiável se um atacante que alterou o host não puder alterar também a baseline armazenada.
-
Instalação e hardening do servidor OpenSSH nativo no Windows Server
O Add-WindowsCapability instala o recurso OpenSSH Server; o sshd_config fica em %ProgramData%\ssh, as chaves autorizadas de um administrador devem ir para administrators_authorized_keys com uma ACL restrita, senão o servidor as ignora, e o DefaultShell define o que uma sessão SSH realmente executa.
-
CIS Benchmarks e DISA STIGs como base de hardening: o que são e como aplicá-los de forma seletiva
CIS Benchmarks e DISA STIGs são dois conjuntos de recomendações de configuração mantidos de forma independente, ambos com níveis de perfil selecionáveis em vez de uma meta única. Aplicar um perfil inteiro sem registrar exceções é uma forma comum de o trabalho de hardening derrubar um serviço em produção.
-
Verificação de um host Linux em relação a uma baseline com o OpenSCAP
O comando oscap xccdf eval avalia um host em execução ou uma imagem offline com base em um perfil do SCAP Security Guide e gera um relatório legível; revisar o script de remediação gerado antes de executá-lo evita que uma verificação automatizada acabe causando uma indisponibilidade automatizada.
Legível por máquina: JSON