Evaluación de la configuración de seguridad del host

La metodología de Foundstone se crea a partir de pautas públicas establecidas y de la experiencia de nuestros consultores. Foundstone ha desarrollado herramientas para automatizar la recopilación de datos. Utilizamos estos scripts para identificar errores de configuración u omisiones de alto riesgo en las compilaciones de los servidores de su empresa. Basados en nuestra experiencia, probamos el riesgo general del host, en lugar de simplemente verificar una lista de puntos específicos recomendados por el proveedor. Gracias a ello, podemos identificar los controles que necesitan mejoras con más urgencia para reducir el riesgo que enfrenta el host.

Comprobamos detalladamente la idoneidad de los controles de seguridad en las características y funciones indicadas para diversos sistemas operativos y dispositivos, entre los que se incluyen:

• Microsoft Windows 2000 y superior
• Unix (incluidos Solaris, HP-UX, Linux, Tru64 y AIX) y Novell
• Aplicaciones específicas como IIS, SQL Server y Apache
• Hosts de enrutador y conmutador

Hosts Microsoft Windows y UNIX
Creamos una medida de riesgo que se puede comparar entre diferentes sistemas operativos y aplicaciones. Cada host se mide según las prácticas de seguridad de nuestra metodología:

• Administración de cuentas y seguridad
  • Restricciones adecuadas de los mecanismos de almacenamiento de contraseña
  • Controles de generación y administración de contraseñas
  • Permisos adecuados para cuentas de usuarios
  • Cuentas únicas para todos los usuarios
  • Identificar las políticas de cuentas de dominio o servidor que controlan las reglas de contraseñas, restricciones del tiempo de inicio de sesión y detección y bloqueo de intrusos
  • Probar la política de contraseñas usando crackers de contraseñas, como LOphtcrack o John el Destripador
• Administración de archivos y seguridad
  • Permisos correctos para el sistema, las aplicaciones, los datos y los archivos de usuarios
  • El uso compartido no expone datos innecesarios
  • El uso compartido se restringe a los usuarios y grupos correctos
  • Se monitorea la integridad de los archivos (Tripwire, MD5 Checksum y otros)
  • El software antivirus está instalado, actualizado y funcionando
• Nivel de parche
  • Existe un entorno y un procedimiento para probar los parches antes de implementarlos en sistemas de producción
  • Se han aplicado los parches relacionados con la seguridad del sistema operativo
  • Se han aplicado los parches relacionados con la seguridad de las aplicaciones
• Seguridad de la red
  • No hay protocolos innecesarios habilitados
  • Sólo se están ejecutando servicios relacionados con el negocio
  • Los servicios comunes están protegidos adecuadamente (FTP, HTTP, Network File System, servicios RPC, X Windows)
  • El firewall a nivel de host u otros mecanismos de control de acceso a la red están habitados, si corresponde
  • La seguridad del módem sigue la política establecida
• Registros y auditorías
  • Se ha ampliado la auditoría predeterminada del sistema operativo
  • Las aplicaciones configuradas para generar datos de registro y archivos de registro están respaldadas
  • Los registros se evalúan periódicamente en busca de actividades sospechosas
  • Las horas del sistema están sincronizadas con un servidor central
• Administración de la seguridad general
  • Comprobar que las aplicaciones se ejecuten con un concepto del menor nivel de privilegio
  • Comprobar si existen archivos ejecutables y scripts de arranque que puedan proporcionar una vulnerabilidad de puerta trasera basada en permisos o implementaciones no protegidas
  • Identificar el alcance y el tipo de relaciones de confianza entre los dominios
  • Identificar el alcance y el tipo de relaciones de confianza entre sistemas individuales
• Detección de intrusiones anteriores
  • Buscar la presencia de troyanos y amenazas de puerta trasera comunes
  • Comprobar los permisos de archivos sospechosos
  • Comprobar cuentas de usuario sospechosas, como cuentas no auditadas, con contraseñas en blanco o con derechos excesivos
• Controles externos (si corresponde)
  • Seguridad física
  • Estrategia de copias de seguridad
  • Alimentación eléctrica ininterrumpida (UPS)
  • Extinción de incendios
  • Medio ambiente (aire acondicionado, humedad)

Evaluaciones de aplicaciones del host — Servidores Web y de base de datos
Foundstone también evalúa la instalación y configuración de las aplicaciones más importantes, como Microsoft IIS y SQL Server. Con frecuencia estas aplicaciones representan un alto riesgo para la red debido a su historial de vulnerabilidades y conectividad con Internet. Además de lo anterior, estas evaluaciones incluyen una revisión de:

• Configuración segura
• Separación de privilegios
• Prácticas recomendadas
• Registros y auditorías

Evaluación del host de enrutadores y conmutadores
Estas evaluaciones comienzan con la metodología descrita anteriormente para evaluar la configuración del host subyacente. Luego, se realizan comprobaciones adicionales para evaluar la función particular del enrutador y del conmutador. La metodología apunta a conceptos de alto nivel al llevar un registro de los siguientes puntos detallados específicos:

• Listas de control de acceso que restringen el flujo de paquetes
• Configuraciones que evitan o minimizan los ataques de suplantación
• Reglas de filtro que restringen el tráfico destinado al enrutador o firewall
• Comprobación de los métodos de autenticación de acceso remoto y local y determinación de la idoneidad de estos controles
• Determinación de si está habilitada la seguridad por puerto para eliminar el alcance no autorizado, donde corresponda (conmutadores Cisco)
• Análisis de los mecanismos de autenticación para las actualizaciones de las tablas de enrutamiento
• Análisis de las rutas, en especial las estáticas, para detectar problemas de seguridad
• Análisis de la idoneidad y la seguridad de las configuraciones de los registros
• Verificación de la instalación de actualizaciones de software recientes
• Análisis de hosts para detectar servicios innecesarios; comprobación de la configuración de los servicios para verificar que tengan los controles de seguridad adecuados

La metodología de Foundstone no sólo apunta a áreas específicas que se deben abordar para reducir el riesgo de exposición del host, sino que además proporciona recomendaciones para determinar los criterios para la implementación de servidores. Estas recomendaciones para reducir los riesgos protegen el sistema de vulnerabilidades conocidas y con frecuencia eliminan la exposición a vulnerabilidades de día cero, que reducen el alcance de un problema de seguridad.