Når vi tænker på at beskytte en computer, fokuserer vi normalt på antivirus og firewall og ikke meget andet, men hvis vi taler om Specialhærdning til bærbare computere Billedet ændrer sig fuldstændigt. En bærbar computer kan blive udsat for både fjernangreb og fysisk tyveri når som helst: på biblioteket, i et coworking-område, på toget eller i bilen under et kort stop.
Nøglen er at anvende et sæt af tekniske, fysiske og organisatoriske foranstaltninger der minimerer angrebsfladen, både logisk og fysisk. Det handler ikke kun om at bruge adgangskoder, men også om at gennemgå operativsystemet, tjenesterne, netværket, krypteringen, sikkerhedskopierne og endda hvordan du sikrer din computer til bordet.
Hvad er hærdning præcist, og hvorfor er det så vigtigt i en bærbar computer?
Udtrykket hærdning Dette refererer til processen med at hærde et computersystem for at gøre det meget vanskeligere at angribe eller udnytte. Producenter leverer ofte hardware og operativsystemer, der er designet til at "fungere med alt" lige fra starten. Det betyder at have en masse tjenester, funktioner og åbne porte, der ikke altid er nødvendige.
Hærdning består af Fjern det overflødige og juster indstillingerne af hver komponent (operativsystem, applikationer, tjenester, netværk osv.) for at minimere angrebsfladen uden at ødelægge dens funktionalitet. Det er ligesom at lukke døre og vinduer, der kommer åbne fra fabrikken, og kun efterlade de strengt nødvendige.
I professionelle miljøer er denne hærdning ikke valgfri. Regler og compliance-rammer (såsom CIS-benchmarks eller DISA STIG-retningslinjer) kræver klare hærdningspolitikker for servere, arbejdsstationer og i stigende grad for bærbare computere, der håndterer følsomme oplysninger og flyttes uden for kontoret.
Et seriøst hærdningsprojekt følger normalt tre hovedfaser:
- Først, test effekten af konfigurationerne en kontrolleret miljø.
- Senere De implementerer og distribuerer politikkerne til alle berørte hold.
- Endelig overvåger løbende at intet afviger fra den sikre basislinje.
De vigtigste trusler og hvordan de påvirker bærbare computere
Når vi taler om cyberangreb, tænker vi ofte på sofistikeret malware, men i praksis kombineres de mest almindelige trusler for en bærbar computer Menneskelige fejl, netværksangreb og fysiske farerAlle disse har direkte konsekvenser for, hvordan vi bør designe hærdning. Disse er de mest bekymrende trusler:
- Brugere med begrænset cybersikkerhedstræningAt klikke på en ondsindet vedhæftet fil, indtaste en adgangskode på et phishing-websted eller tilslutte et USB-drev af tvivlsom oprindelse kan ødelægge enhver teknisk indsats. Derfor er bevidsthed og klare brugspolitikker afgørende for at sikre bærbare computere.
- Skadelig software (malware). Det er fortsat en stor trussel: trojanske heste, ransomware, keyloggere osv. For at afbøde det er det ikke nok blot at installere antivirussoftware og glemme alt om det; det skal kombineres med kun at downloade fra legitime kilder, hvidliste applikationer i kritiske miljøer, indholdsfiltrering og løbende opdateringer.
- Udnyttelser, der udnytter sårbarheder af operativsystemet. Eller af applikationer som browsere, kontorpakker eller e-mailklienter. En bærbar computer uden opdaterede programrettelser er et let mål. Her er håndtering af sikkerhedsopdateringer og patches Det er en søjle af hærdning.
- Uautoriseret adgangBåde lokalt (nogen sidder foran computeren) og eksternt (via internettet eller virksomhedens netværk) er muligt. En stærk adgangskodepolitik, multifaktorgodkendelse, veldefinerede tilladelser og kryptering er afgørende for at forhindre en angriber i at forvandle en kompromitteret bærbar computer til en gateway til resten af organisationen.
- Risiko for fysisk tab eller tyveri af enhedenSelvom det ikke er så almindeligt som et malwareangreb, kan effekten være maksimal, når det sker, hvis disken ikke er krypteret, eller computeren starter op blot ved at trykke på tænd/sluk-knappen.
Strategier til at hærde bærbare computere: en oversigt
En plan for at hærde en bærbar computer bør kombinere foranstaltninger på flere niveauer: operativsystem, netværk, data, bruger og fysisk miljøDe arbejder alle sammen; hvis én fejler, lider resten.
Først skal der implementeres en streng politik opdateringer og patchesOperativsystemet (Windows, Linux osv.) og al installeret software skal opdateres ofte. Angreb udnytter typisk kendte og offentligt tilgængelige sårbarheder, så et uopdateret system er altid et skridt bag angriberen.
den stærke adgangskoder og forbedret godkendelse De er en anden grundlæggende byggesten. For en bærbar computer anbefales det kraftigt at kombinere en stærk brugeradgangskode (eller brugen af adgangskodeadministratorer) med en pinkode eller biometrisk faktor (fingeraftryk, ansigtsgenkendelse) og, hvor det er muligt, bruge multifaktor-godkendelse på kritiske tjenester (VPN, virksomheds-e-mail, cloud-applikationer).
Netværkssikkerhed skal involvere brugen af VPN og pålidelige antimalware-løsningerEn bærbar computer kan oprette forbindelse til Wi-Fi på hoteller, caféer eller hjemmenetværk, så det er afgørende at kryptere trafik og have en velkonfigureret firewall, der blokerer uautoriserede indgående forbindelser.
Frem for alt skal vi arbejde på brugeruddannelse og -bevidstgørelseDet er ikke særlig nyttigt at have krypterings- og antivirussoftware, hvis brugeren skriver adgangskoden ned på en post-it-seddel, der sidder fast på den bærbare computer, eller har en kopi af følsomme data på et ukrypteret USB-drev.
Hærdning af operativsystemer: Windows og Linux på bærbare computere
Operativsystemet er fundamentet for al hærdning. Mange af hærdningsprincipperne stammer fra serververdenen, men de gælder perfekt for en bærbar computer til professionel eller personlig brugmed nogle nuancer.
Hærdende foranstaltninger i Linux-systemer
På Linux-bærbare computere er en god startpraksis holde systemet og pakkerne opdateredeOpsætning af sikkerhedslagre, regelmæssig kontrol for opdateringer og automatisering af kritiske programrettelser, når det er relevant, reducerer drastisk mulighederne for udnyttelse.
Det er vigtigt at gennemgå og justere bruger- og gruppetilladelserIdeen er at forhindre almindelige brugere i at have for mange privilegier. Princippet om færrest privilegier er nøglen: hver konto bør kun have de strengt nødvendige tilladelser.
Et andet væsentligt punkt er brugen af stærke krypteringsnøglerDette inkluderer ændring af standardadgangskoder eller -nøgler, der følger med distributionen eller de installerede tjenester. Dette inkluderer legitimationsoplysninger til lokale databaser, tredjepartsapplikationer og selvfølgelig diskkryptering.
Det er også tilrådeligt at deaktivere tjenester og dæmoner, der ikke er nødvendigePå en bærbar computer bliver tjenester, der blev brugt midlertidigt, ofte kørt tilbage på grund af uagtsomhed. Hver aktiv tjeneste er en potentiel angrebsvektor, så det er vigtigt regelmæssigt at gennemgå listen over kørende tjenester.
Værktøjerne til revision og registrering Logfiler giver dig mulighed for at overvåge, hvad der sker i systemet: logins, godkendelsesfejl, konfigurationsændringer osv. En god logpolitik, selv at sende bestemte logfiler til en central server eller platform, letter tidlig opdagelse af hændelser.
Systemhærdningsværktøjer og -løsninger
Der findes en bred vifte af værktøjer designet til analyser sårbarheder og usikre konfigurationerNogle, såsom CIS-CAT eller OpenSCAP, giver dig mulighed for at sammenligne udstyrets status med anerkendte benchmarks og indhente rapporter om, hvilke parametre der skal justeres.
Der er også værktøjer, der hjælper med at automatisere hærdningsopgaverved massiv anvendelse af sæt af sikkerhedsregler, hvilket er særligt nyttigt i organisationer, hvor der er mange bærbare computere med lignende konfigurationer.
I forretningsmiljøer er det almindeligt at bruge centraliserede platforme til politikstyring (for eksempel Microsoft, Red Hat eller tredjepartsløsninger), der giver dig mulighed for at definere sikkerhedsgrundlinjer og anvende dem på alle computere i et domæne eller en gruppe.
For at overvåge overholdelse er følgende meget nyttige: konfigurations- og compliance-scannere (Tripwire, Qualys, CIS-CAT Pro osv.), som genererer rapporter om udstyrets justeringsgrad i forhold til de vedtagne sikkerhedsretningslinjer og påpeger afvigelser.
Inden for fri software finder vi projekter som f.eks. SALT, Microsoft Security Compliance Toolkit, hærdningsscripts og værktøjer til sårbarhedsanalyse Windows-specifikke funktioner, der hjælper med at registrere svage konfigurationer eller potentielle rettighedseskaleringer.
Netværks- og infrastrukturhærdning anvendt på bærbare computere
På en bærbar computer er netværket en af de største eksponeringsflader. Dette skyldes, at den konstant ændrer sit miljø: i dag opretter den forbindelse til virksomhedsnetværk, i morgen til et offentligt Wi-Fi og dagen efter til hjemme-Wi-FiDerfor er det afgørende at kombinere aktiv og passiv sikkerhed.
- aktiv sikkerhedDette omfatter alle de mekanismer, der fungerer i realtid for at opdage og blokere trusler: personlige firewalls, antivirussoftware, systemer til registrering og forebyggelse af indtrængen (IDS/IPS) og løsninger til analyse af trafikadfærd. Selvom mange af disse teknologier vil blive implementeret på virksomhedens netværksniveau, skal den bærbare computer være klar til at integrere med dem.
- Passiv sikkerhedDet fokuserer på design og konfiguration: netværkssegmentering, opdateringspolitikker, datakryptering, sikkerhedskopiering, robust adgangskontrol osv. For en bærbar computer betyder dette altid at bruge krypterede forbindelser (VPN, HTTPS, SSH) og implementere veldesignede firewallpolitikker.
Som for netværkssikkerhedskonfigurationDet er vigtigt at definere klare regler for, hvilken trafik der er tilladt, og hvad der er blokeret. Operativsystemets firewall bør begrænse tjenester til kun at lytte, når det er nødvendigt, og om muligt begrænse indgående forbindelser fra netværk, der ikke er tillid til.
For at beskytte mod angreb på netværk og kommunikation anbefales det at håndhæve brugen af sikre protokollerFor eksempel deaktivering af almindelig HTTP til fordel for HTTPS, brug af SSH i stedet for Telnet eller FTP og brug af VPN til fjernadgang til interne ressourcer. Derudover hjælper stærk autentificering og brugen af IDS/IPS på virksomhedsniveau med at opdage forsøg på at udnytte bærbare computertrafik.
Når en bærbar computer er en del af en virksomhedsinfrastruktur, skal den integreres i organisationens sikkerhedspolitikkeradgangskoder med minimumskrav, begrænsning af fysisk adgang til rum med dokker eller faste stationer, sikre fjernadministrationsprotokoller, periodiske revisioner og planer for håndtering af hændelser.
Databeskyttelse og forebyggelse af lækager i bærbare computere
Ud over at beskytte selve enheden er målet med hærdning at afskærme oplysningerne i den bærbare computerTyveri eller ondsindet malware er alvorligt. Men det, der virkelig er kritisk, er tab eller eksponering af data.
En første forsvarslinje er at have regelmæssige sikkerhedskopierDisse kan være i skyen, på krypteret ekstern lagring eller i centraliserede virksomhedsløsninger. Det vigtige er, at hvis den bærbare computer mistes, harddisken fejler, eller den krypteres af ransomware, kan de kritiske data gendannes. For at vælge passende metoder anbefales det at gennemgå en Sammenligning af backupmetoder.
Opbevaring af disse kopier skal ske i sikre og velforvaltede miljøermed strenge adgangskontroller og helst på andre steder end selve den bærbare computer (for at undgå at miste alt i tilfælde af tyveri eller en lokal katastrofe).
For at minimere informationslækager kan følgende implementeres DLP-værktøjer (forebyggelse af datatab)Eller i det mindste kontroller, der overvåger, hvilke data der kopieres til USB-drev, personlige cloud-tjenester eller printere. Overvågning af dataadgang og -bevægelse med advarsler om usædvanlig adfærd er meget nyttigt.
Med hensyn til specifikke teknikker, datakryptering i hvile og under transport Det er næsten obligatorisk i disse dage. Krypter hele disken med BitLocker (på Windows, udnytter TPM 2.0) eller tilsvarende teknologier i Linux betyder, at selvom nogen stjæler den bærbare computer eller fjerner harddisken, kan de ikke få adgang til indholdet uden legitimationsoplysningerne.
Det er også tilrådeligt at anvende Adgangskontrol baseret på roller og privilegier på system- og applikationsniveau. Ikke alle brugere har brug for adgang til alle oplysninger. Andre teknikker, såsom dataanonymisering og segmentering af virksomhedsnetværk, reducerer virkningen, hvis en angriber får adgang til systemet.
Overvågning og vedligeholdelse af sikkerhedstilstanden
Korrekt hærdning er ikke noget, man konfigurerer én gang og glemmer. Netværk og enheder er dynamiske, og en bærbar computer er i konstant forandring. installere software, oprette forbindelse til nye netværk og ændre kontekstDerfor er løbende tilsyn afgørende.
Overvågningsløsninger (såsom Zabbix og andre tilsvarende værktøjer) giver dig mulighed for at have realtidsoverblik over aktivernes statusDetektering af afbrydelser, uventede kørende tjenester, unormale overbelastninger eller mistænkelige konfigurationsændringer. I denne sammenhæng er det nyttigt at overvåge systemet for at justere politikker og foranstaltninger.
Det er nyttigt at skelne mellem proaktiv og reaktiv overvågningDen første søger at forudse problemer (for eksempel at advare om, at en disk er ved at blive fyldt op, eller at der er et usædvanligt antal mislykkede loginforsøg), mens den anden reagerer på hændelser, når de er blevet opdaget.
God vedligeholdelse bør omfatte periodisk gennemgang af sikkerhedsregistre og -rapporter, kontrolleret anvendelse af opdateringer, fjernelse af unødvendig software og verifikation af, at sikkerhedspolitikker fortsat er passende til den faktiske brug af udstyret og aktuelle trusler.
Automatiserings-, konfigurationsstyrings- og compliance-værktøjer
I virksomheder med mange bærbare computere er det upraktisk at hærde hver enkelt manuelt. Derfor findes der andre løsninger. hærdning af automatiseringsværktøjer der dækker hele cyklussen: testning, implementering af sikre konfigurationer og compliance-overvågning.
Disse løsninger er i stand til at Lær systemets adfærd at kende og simuler virkningen af hver ændring konfigurationen, før den anvendes i produktionen, hvilket sparer en masse testtid og reducerer risikoen for at gøre udstyr ubrugeligt på grund af alt for aggressive justeringer.
Derudover tillader de anvende sikkerhedspolitikker centralt til et stort sæt udstyr, hvilket sikrer, at alle bærbare computere i organisationen deler den samme hærdede konfigurationsgrundlinje, og automatisk korrigerer eventuelle afvigelser, der opdages over tid.
Værktøjerne til konfigurationsstyring (SCM) Værktøjer som Ansible, Chef, Puppet og Microsoft Configuration Manager er ikke designet udelukkende til at forbedre konfigurationen, men de er meget nyttige til at anvende ensartede konfigurationsændringer, versionspolitikker, revidere, hvem der ændrede hvad og hvornår, og generere rapporter om computernes status.
Ud over ovenstående, compliance-scannere (Tripwire, Qualys, NNT SecureOps, CIS-CAT Pro osv.) evaluerer, i hvilket omfang hvert team overholder frameworks som CIS Benchmarks eller DISA STIG, og peger på svage parametre, der skal styrkes.
Endelig økosystemet af Open source-værktøjer rettet mod hærdning og sårbarhedsanalyse (SALT, Security Compliance Toolkit, revisionsscripts, værktøjer til optælling af angreb og detektion af eskalering af rettigheder) giver yderligere ressourcer til både administratorer og sikkerhedsteams.
Fysisk hærdning og specifikke foranstaltninger for stjålne bærbare computere
På en bærbar computer er risikoen for, at nogen stjæler den, meget reel, så hærdning kan ikke begrænses til software alene. Det er vigtigt at overveje... hvordan man gør tyveri vanskeligere, og hvordan man begrænser skaden, hvis det sker.
Et simpelt første skridt er at bruge en Kensington-lås eller andre fysiske fastholdelsessystemerDisse er låsbare kabler, der fastgøres til et fast punkt (bord, anker) og til den bærbare computers specifikke stik, hvilket gør det meget mere ubelejligt for nogen at gribe den "på farten" i et offentligt rum eller et delt kontor.
Harddiskkryptering spiller en nøglerolle her: med løsninger som f.eks. BitLocker på Windows eller LUKS på LinuxDette forhindrer en tyv i at fjerne harddisken og læse dens indhold fra en anden computer. Selv hvis de formår at boote fra et alternativt USB-drev, vil dataene forblive utilgængelige uden den korrekte adgangskode.
Det anbefales kraftigt at aktivere funktionerne i enhedens placering inkluderet i operativsystemet (f.eks. "Find min enhed" i Windows). Disse funktioner giver dig mulighed for at se den omtrentlige placering af din bærbare computer, låse den eksternt eller endda slette dens indhold fra en anden computer eller din mobilenhed.
Alt dette skal ledsages af gode praksisser til daglig brugFor eksempel: Lad ikke din bærbare computer være uden opsyn på offentlige steder, lad den ikke stå i åbent syn i bilen, indstil automatisk skærmlås efter et par minutters inaktivitet, og gem ikke kritiske oplysninger uden kryptering på eksterne enheder, der er lette at miste.
Hele dette sæt af foranstaltninger – fra diskkryptering og stærke adgangskoder til netværkspolitikker, brugen af automatiseringsværktøjer og en fysisk lås – gør en bærbar computer... meget mere modstandsdygtig over for tyveri, malware, uautoriseret adgang og datalækagerminimere virkningen af en hændelse og give mulighed for at arbejdet kan fortsætte med større ro i sindet, selv i ukontrollerede miljøer.
