Харденинг: что это и как усилить защиту системы

Харденинг (hardening, «усиление защиты») — это систематическое устранение лишних возможностей и уязвимых настроек системы с целью сократить поверхность атаки. В отличие от поиска и устранения конкретных уязвимостей в коде, харденинг работает на уровне конфигурации: он не чинит баг, а убирает то, что баг вообще не обязано было там находиться, — включённую по умолчанию службу, открытый порт, избыточные права, тестовую учётную запись, которую забыли отключить после установки системы.

Это один из базовых защитных процессов информационной безопасности, наравне с управлением уязвимостями и мониторингом.

В основе харденинга лежит принцип минимизации: система должна делать ровно то, что от неё требуется, и не более того. Каждая работающая служба, открытый сетевой порт или предоставленное право доступа — это потенциальная точка входа для атаки, независимо от того, есть ли в этом компоненте формальная уязвимость. Если функциональность не используется, безопаснее её отключить, чем оставить работающей «на всякий случай».

Термин применим к любому уровню инфраструктуры — от отдельной рабочей станции до облачной платформы целиком, и результатом харденинга обычно становится документированный эталон настроек (baseline), с которым в дальнейшем сверяют фактическое состояние системы.

Харденинг применяют на всех слоях инфраструктуры — от операционной системы до облачной среды, — и на каждом слое набор мер свой, хотя логика одна: убрать лишнее, ограничить оставшееся. Ниже — основные объекты харденинга и типовые меры для каждого.

Набор типовых мер, который повторяется на большинстве уровней: удаление или отключение неиспользуемого программного обеспечения, смена паролей, установленных по умолчанию, закрытие неиспользуемых сетевых портов, настройка прав доступа по принципу минимально необходимых полномочий и своевременная установка обновлений безопасности — последний пункт формально относится к патч-менеджменту, но на практике идёт в одной связке с харденингом.

Харденинг редко делают «на глаз» — есть готовые, детально проработанные наборы безопасных настроек для конкретных систем, и именно на них опираются на практике. Двумя наиболее распространёнными источниками таких настроек в мире являются CIS Benchmarks и DISA STIG.

Соответствие бенчмарку — не разовое действие, а состояние, которое нужно поддерживать: настройки со временем «сползают» из-за ручных изменений, установки нового ПО или ошибок администрирования. Поэтому проверку конфигурации на соответствие baseline автоматизируют: сканеры уязвимостей и конфигураций регулярно сверяют фактические настройки систем с эталоном и показывают отклонения, вместо того чтобы полагаться на разовый ручной аудит.

Харденинг редко существует как изолированная разовая задача — обычно он встроен в постоянные процессы управления уязвимостями и конфигурацией, а для части инфраструктуры регулируется напрямую требованиями ФСТЭК России. Ниже — где харденинг пересекается с другими элементами защиты.

• Управление уязвимостями. Контроль конфигурации — естественное продолжение работы по управлению уязвимостями: если сканер находит не только известные CVE, но и отклонения от безопасного baseline — открытый лишний порт, слабый пароль по умолчанию, — харденинг устраняет находки именно этого второго типа, которые формально не являются уязвимостью в чистом виде, но расширяют поверхность атаки так же реально.
• Харденинг образов контейнеров. Для контейнерной инфраструктуры харденинг сдвигается на самый ранний этап — сборку образа: минимальный набор пакетов, отсутствие лишних утилит и отладочных инструментов в конечном образе снижает риск ещё до того, как контейнер запущен в продакшене, а не после.
• Доверенная загрузка. Средства доверенной загрузки (СДЗ) решают смежную, но отдельную задачу: контролируют целостность программной среды на этапе старта системы, до загрузки операционной системы, — харденинг же настраивает саму ОС и приложения после того, как система уже запущена. Вместе эти меры закрывают защиту на разных этапах жизненного цикла системы.
• Требования ФСТЭК России. Приказы ФСТЭК, регулирующие защиту государственных информационных систем, информационных систем персональных данных и значимых объектов КИИ, включают меры по анализу защищённости и контролю состава и параметров настройки программного обеспечения и средств защиты информации. Формально это отдельная мера защиты, но по содержанию она требует того же результата, что и харденинг, — систему нужно держать в проверенной, безопасной конфигурации, даже если приказ не использует само слово «харденинг».