PR.IP-1: Базовая конфигурация ИТ-систем

Подробное описание

PR.IP-1 требует разработки и поддержания задокументированных базовых конфигураций безопасности (security baselines) для всех информационных систем организации. Эталонные конфигурации должны основываться на отраслевых стандартах хардинга (CIS Benchmarks, DISA STIG), регулярно обновляться и применяться через автоматизированные средства развертывания. Контроль включает создание золотых образов (golden images), использование инфраструктуры как кода (Terraform, Ansible, Chef), непрерывный мониторинг отклонений конфигурации (configuration drift detection) и процесс управления изменениями. Базовые конфигурации охватывают операционные системы, сетевое оборудование, СУБД, middleware, контейнеры и облачные сервисы.

Практические шаги внедрения

1. 1

   Инвентаризировать все типы ИТ-активов и сгруппировать по категориям (серверы Windows/Linux, сетевое оборудование, СУБД, контейнеры)

2. 2

   Разработать базовые конфигурации на основе CIS Benchmarks Level 1/2, DISA STIG или NIST SP 800-128, адаптировав под требования организации

3. 3

   Создать золотые образы (golden images) для типовых систем с предустановленными настройками безопасности и обязательным ПО

4. 4

   Автоматизировать применение конфигураций через Infrastructure as Code (Terraform, Ansible, Puppet) и систему управления конфигурациями

5. 5

   Внедрить систему непрерывного мониторинга отклонений конфигурации (OSSEC, Wazuh, Chef InSpec, OpenSCAP) с алертингом при drift

6. 6

   Установить процесс регулярного пересмотра базовых конфигураций (ежеквартально или при выходе критических обновлений стандартов)

7. 7

   Документировать все исключения из базовых конфигураций с обоснованием бизнес-необходимости и компенсирующими мерами

Типичные нарушения

• Использование дефолтных настроек производителя без применения хардинга (открытые порты, включенные по умолчанию службы, слабые SSL/TLS cipher suites)

• Отсутствие централизованного репозитория эталонных конфигураций и версионирования изменений базовых настроек

• Ручное развертывание систем без использования автоматизированных средств, что приводит к расхождению конфигураций (configuration drift)

• Игнорирование отклонений от базовых конфигураций, выявленных сканерами compliance (отсутствие процесса устранения или документирования исключений)

• Отсутствие регулярного обновления базовых конфигураций при выходе новых версий CIS Benchmarks или после обнаружения критических уязвимостей

Почему это важно

Проверяемые категории

Связанные контроли