5. Конфігурація системних служб
Вимоги безпеки, перевірка параметрів та інженерні рекомендації для розділу «Конфігурація системних служб».
Рекомендацій: 9
v1.1.0
5.1.1 Переконайтеся, що приймачі перехоплень SNMP налаштовано (Вручну)
Вмикає приймачі перехоплень SNMP, куди надсилаються перехоплення.
Метою служби SNMP є моніторинг у режимі реального часу подій, що відбуваються на систем, щоб відповідати вимогам безпеки доступності систем і послуги. Перехоплення – це сповіщення SNMP, які надсилаються до NMS або отримувачів перехоплень SNMP і має бути ввімкнено, щоб надсилатися та оброблятися NMS. NMS або Одержувачі перехоплень SNMP нададуть повну агрегацію та звітність генеруються події, допомагаючи адміністратору. Крім того, додатковий пакет NET-SNMP (при відповідній конфігурації) також може задовольнити це.
У GUI: – Перейдіть до Services > SNMP. – Перевірте, чи включено «SNMP Traps Enable». – Перевірте, чи налаштовано «Параметри перехоплення SNMP».
У GUI: – Перейдіть до Services > SNMP. – Перевірте, чи включено «SNMP Traps Enable». — Налаштовано значення «Параметри перехоплення SNMP». – НАТИСНІТЬ Зберегти
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
5.1.2 Переконайтеся, що перехоплення SNMP увімкнено (Вручну)
Дозволяє надсилати перехоплення SNMP на станцію керування мережею (NMS)
Метою служби SNMP є моніторинг у режимі реального часу подій, що відбуваються на систем, щоб відповідати вимогам безпеки доступності систем і послуги. Перехоплення – це сповіщення SNMP, які надсилаються до NMS, і їх слід увімкнути замовлення, яке буде надіслано та оброблено NMS. Тоді NMS надасть a комплексне агрегування та звітування про згенеровані події, таким чином допомагаючи адміністратор.
У ГРАФІЧНОМУ Інтерфейсі користувача: – Перейдіть до Служби > SNMP. – Перевірте, чи включено «SNMP Traps Enable».
У ГРАФІЧНОМУ Інтерфейсі користувача: – Перейдіть до Служби > SNMP. – встановити прапорець «SNMP Traps Enable». – Натисніть «Зберегти».
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
5.1.3 Переконайтеся, що додатковий пакет NET-SNMP встановлено та налаштовано безпечно (Вручну)
Додатковий пакет NET-SNMP забезпечує простий протокол керування мережею (SNMP) на pfSense. SNMP використовується для керування мережею та моніторинг, що дозволяє адміністраторам збирати та переглядати інформацію про пристрої на мережі. Це правило гарантує, що пакет NET-SNMP інстальовано та безпечно налаштовано.
SNMP є широко використовуваним протоколом для керування мережею та моніторингу, і це так важливо переконатися, що його безпечно налаштовано на pfSense. Якщо SNMP не працює належним чином захищений, він може дозволити несанкціонований доступ до мережевих пристроїв і конфіденційної інформації. Переконавшись, що пакет NET-SNMP встановлено та налаштовано безпечно, адміністратори можуть контролювати мережеві пристрої, одночасно підтримуючи безпеку їх мережі.
• Перевірте, чи пакет NET-SNMP встановлено на pfSense. • Переконайтеся, що SNMPv3 увімкнено та налаштовано з параметрами надійного шифрування та автентифікації. • Переконайтеся, що доступ SNMP обмежено лише авторизованими хостами. • Переконайтеся, що типові рядки спільноти видалено або змінено.
5.2 Політика служби NTP
5.2.1 Переконайтеся, що часовий пояс правильно налаштовано (Вручну)
Встановлює інформацію про місцевий часовий пояс для більш точного відображення часу на пристрої для глядачів.
Налаштування часу пристрою мають бути точними, зокрема, з двох причин. Перший що цифрові сертифікати використовують цей час для порівняння терміну дії, який вони вказують у своїх Поля «Дійсно від» і «Дійсно до» в певний діапазон часу. Друге виправдання – потреба для точних позначок часу під час реєстрації даних. Під час захоплення пакетів, доставки повідомлення на сервер Syslog, станції моніторингу SNMP або інші завдання, мітки часу лише якщо ви можете бути впевнені в їх точності.
– Перейдіть до Служби > NTP – перевірте поле «Увімкнути сервер NTP».
– Перейдіть до Служби > NTP – Перевірте поле “Увімкнути сервер NTP” – Натисніть “Зберегти”
📋 CIS Controls & Нормативні посилання
IG 1, 2
IG 1, 2
5.3.1 Переконайтеся, що «DNSSEC» увімкнено в службі DNS (Вручну)
Увімкніть “DNSSEC” у конфігурації служби DNS.
Увімкніть підтримку DNSSEC. DNSSEC — це засіб захисту даних DNS від атак які використовують підроблені або змінені дані DNS, наприклад, отруєння кешу DNS.
– Перейдіть до Служби > DNS Resolver > Загальні параметри DNS Resolver – Перевірте, чи встановлено прапорець “DNSSEC”.
– Перейдіть до Служби > DNS Resolver > Загальні параметри DNS Resolver – Поставте прапорець поруч із “DNSSEC” і встановіть Enable – CLICK “Save”
📋 CIS Controls & Нормативні посилання
IG 1, 2, 3
IG 1, 2, 3
5.4 VPN Configuration
5.4.1 Переконайтеся, що RADIUS або LDAP використовуються для автентифікації VPN (Вручну)
Налаштуйте резервну автентифікацію для користувача VPN на сервер LDAP. Налаштував сервери LDAP сервер для централізованої автентифікації.
Схема автентифікації, авторизації та обліку (AAA) забезпечує авторитетність джерело для керування та моніторингу доступу для пристроїв.
– Перейдіть до System > User Manager. – Клацніть Сервери автентифікації вгорі. – Перевірте параметр «Сервери автентифікації».
– Перейдіть до System > User Manager. – Клацніть Сервери автентифікації вгорі. – Налаштуйте параметр «Сервери автентифікації».
📋 CIS Controls & Нормативні посилання
IG 1, 2
IG 1, 2
5.4.2 Застосувати довірений підписаний сертифікат для порталу VPN (Вручну)
Застосуйте підписаний сертифікат від надійного центру сертифікації (CA) до порталу SSL VPN дозволити користувачам безпечно з’єднуватися з упевненістю.
Наявність непідписаного або самопідписаного сертифіката залишає підключення відкритими для людини всередині середні атаки та можуть дозволити користувачам підключатися до ненадійних серверів.
У GUI: – Перейдіть до System > Cert. Менеджер > Центри сертифікації – перевірте стовпець «Емітент».
У GUI: – Перейдіть до System > Cert. Менеджер > Центри сертифікації – натисніть «Додати» – у «Методі» скористайтеся «Імпортувати існуючий центр сертифікації» – заповніть текстове поле та натисніть «Зберегти».
📋 CIS Controls & Нормативні посилання
IG 1, 2
IG 1
IG 1, 2
5.4.3 Переконайтеся, що OpenVPN налаштовано на використання шифрування TLS для безпечного зв’язку. (Інструкція) (Вручну)
Налаштуйте OpenVPN на використання шифрування TLS для безпечного зв’язку з клієнтами та серверів.
У графічному інтерфейсі • Відкрийте веб-інтерфейс pfSense і перейдіть до VPN > OpenVPN. • Клацніть конфігурацію сервера, яку потрібно налаштувати. • У розділі «Налаштування криптографії» встановіть параметр «Конфігурація TLS» на «Увімкнути». • Виберіть відповідну довжину ключа TLS, напрямок ключа та алгоритм дайджесту. • Натисніть «Зберегти», щоб зберегти зміни.5.5 OpenVPN
5.5.1 Переконайтеся, що OpenVPN використовує надійні шифри або алгоритми хешування (Вручну)
Це правило має на меті запобігти використанню слабких криптографічних алгоритмів у OpenVPN, які можуть бути використані зловмисниками для порушення конфіденційності, цілісності та наявність трафіку VPN. Зокрема, це правило вимагає, щоб тільки сильні та безпечні криптографічні шифри та алгоритми хешування використовуються в OpenVPN.
Слабкі криптографічні алгоритми більш сприйнятливі до таких атак, як груба сила атаки, атаки з відомим відкритим текстом і атаки “людина посередині”. Тільки забезпечивши це у OpenVPN використовуються надійні криптографічні алгоритми, трафік VPN буде кращим захищений від несанкціонованого доступу та модифікації.
Реалізація цього правила може вплинути на продуктивність служби OpenVPN, оскільки вона є сильною криптографічні алгоритми можуть бути більш обчислювально інтенсивними, ніж слабші. Однак цей вплив можна мінімізувати, вибравши відповідну криптографію алгоритми базового обладнання та мережевого середовища.
6 Журнал
Потрібні інші розділи стандарту?
Перегляньте повний інтерактивний перелік усіх рекомендацій у головному хабі стандарту.