Що таке CIS Benchmark: стандарти безпеки та системного хардненінгу
Інженерний посібник про те, чому налаштування «за замовчуванням» несуть критичні ризики для корпоративної інфраструктури, як влаштовані рівні захисту Level 1 та Level 2, та як забезпечити відповідність міжнародним вимогам кібербезпеки.
У масовій культурі слово «бенчмарк» асоціюється з вимірюванням швидкодії заліза (Geekbench, Cinebench або AnTuTu). Проте в кібербезпеці CIS Benchmark — це не тест швидкості. Це офіційний, детальний еталон безпечної конфігурації (Hardening Guide) від Center for Internet Security. Він визначає перелік перевірених правил, системних служб, параметрів реєстру та мережевих політик, які необхідно налаштувати для запобігання несанкціонованому проникненню.
За замовчуванням: максимальна сумісність
Розробники ПЗ залишають увімкненими застарілі протоколи (SMBv1, LLMNR, NetBIOS), дозволяють анонімні мережеві запити та надають користувачам надлишкові привілеї. Це мінімізує кількість звернень до техпідтримки, але робить робочі станції вразливими до вірусів-шифрувальників (Ransomware) та горизонтального переміщення зловмисників мережею.
Після Hardening: мінімізація поверхні атак
Хардненінг (зміцнення конфігурації) за настановами CIS вимикає зайві фонові служби, обмежує виконання неавторизованого коду, ізолює облікові записи, активує обов’язкове шифрування дисків (BitLocker / FileVault) та налаштовує детальний аудит подій безпеки.
Рекомендовано для всіх робочих систем
Цей профіль усуває понад 80% типових векторів атак та не порушує роботу повсякденних додатків і звичний робочий процес співробітників.
- Блокування автозапуску знімних USB-накопичувачів.
- Автоблокування екрана після 15 хвилин бездіяльності.
- Вимкнення застарілих протоколів автентифікації.
- Увімкнення базового журналування спроб входу.
Для серверів та конфіденційних середовищ
Застосовується на серверах, ПК системних адміністраторів, банківських системах та робочих місцях із доступом до критичних персональних даних.
- Обмежений режим інтерпретатора PowerShell (Constrained Language).
- Сувора заборона анонімного доступу до системних ресурсів.
- Блокування завантаження неподписаного коду та драйверів.
- Ізоляція гіпервізорів та відключення неактивних портів керування.
🏛️ ISO/IEC 27001
Контроль A.8.9 (Configuration Management) зобов’язує організації створювати, документувати та впроваджувати стандартні безпечні конфігурації систем.
💳 PCI-DSS v4.0
Вимога 2.2 прямо вказує на необхідність конфігурувати всі системні компоненти відповідно до загальновизнаних галузевих стандартів (CIS, NIST).
🔒 SOC 2 Type II
Критерії довіри (Trust Services Criteria) вимагають доказової бази шифрування пристроїв, централізованого керування політиками та контролю доступу.
🇺🇦 НБУ (Постанова №95)
Нормативні вимоги Національного банку України до інформаційної безпеки фінансового сектору спираються на настанови CIS Controls та ешелонований захист.
Аудит поточної конфігурації (Baseline & Gap Analysis)
Зняття поточних параметрів операційних систем і мережевого обладнання та зіставлення їх з рекомендаціями CIS для виявлення критичних розривів безпеки.
Пілотне тестування (Pilot Testing)
Розгортання профілю Level 1 на контрольній тестовій групі пристроїв (5–10% інфраструктури) для перевірки сумісності з внутрішніми програмами, VPN та ERP.
Централізована автоматизація (MDM / GPO / CLI)
Тиражування перевірених конфігурацій через Microsoft Intune для мобільних ПК, групові політики Active Directory (GPO) для домену або шаблони автоматизації для фаєрволів.
Моніторинг та контроль відхилень (Configuration Drift)
Впровадження автоматичного моніторингу відповідності: система повідомляє адміністратора або автоматично повертає безпечне значення у разі неавторизованої зміни.