Hardening checks

Dentro de la seguridad de información, uno de los aspectos más importantes a tomar en cuenta en el plan de seguridad es el hardening de los equipos: desde switches hasta PDAs si es necesario. No basta con ponerles antivirus y parches a los equipos, es necesario definir cual es la configuración más segura y adecuada para el servicio.

A final de cuentas el hardening es eso: un conjunto de reglas de configuración, estado, etc relativas a un equipo con la finalidad de hacerlos lo más seguro posibles. Es el equivalente a cuando te vas a comprar a tepito. Si vas llevas únicamente lo necesario, nada más. Sabes con quien comprar y hablar, y NADA MÁS. Sabes que debes llevar ropa común y media jodidona, etc etc

Por tal relevancia uno de los sueños de cualquier especialista en seguridad es poder saber en tiempo real cuando uno de sus dispositivos está rompiendo las reglas de hardening establecidas (parte del sueño es que estas reglas estén documentadas, probadas e implementadas)

El punto es que no queremos que hayan windows xps por ahí con sw no necesario o servicios de impresión que no se usan, puertos abiertos, switches sin pw, etc etc etc
.
.
.

Para ayudarnos a cumplir nuestros sueños existen herramientas muy fregonas que te permiten hacer continuamente quality checks para comparar las instalaciones y configuraciones con una base de datos de hardening

En esta ocasión les presento a las herramientas de CIS para auditoría que no sólo permite comparar contra configuraciones nuestras sino que te puede hacer un buen benchmark con sus bases de datos

No más pedirle a los de operaciones que nos manden sus reportes (que de por sí no hacen bien). No más ojos vendados

Ahora que si están en la situación en que no tienen checklists de hardening existe un genial repositorio en el nist para nuestra consulta

Happy auditing