2.7.1. Тестування безпеки операційної системи

Періодичне тестування безпеки ОС є важливим способом ідентифікувати уразливості і гарантувати, що існуючі заходи забезпечення безпеки ефективні. Найбільш популярними методами тестування ОС є сканування уязвимостей і тестування проникнення. Зазвичай використовують автоматизовані сканери уязвимостей для сканування уязвимостей застосування, мережі або ОС на хості або групі хостів в мережі. Тестування проникнення є процесом тестування, розробленим для перевірки можливості компрометації мережі, при цьому використовуються інструментальні засоби і методики того, що атакує. Це ітеративний процес тестування, який ідентифікує найбільш слабкі області мережі і використовує їх для отримання доступу до мережі, що залишилася. Результатом зазвичай є компрометація безпеки всієї мережі. Сканування уязвимостей повинне проводитися періодично, принаймні, раз на тиждень або в місяць. Тестування проникнення повинне бути мінімум щорічним. Оскільки обидві ці технології тестування застосовуються також для тестування програм web-сервера, далі вони обговорюватимуться детальніше.

2.7.2. Список дій для забезпечення безпеки ос, на якій виконується web-сервер

Складання плану конфігурації і розгортання web-сервера.

• Визначити функції web-сервера;

• Визначити категорії інформації, яка зберігатиметься, оброблятиметься і передаватиметься web-сервером;

• Визначити вимоги безпеки для даної інформації.

• Визначити способи публікації інформації на web-сервері;

• Визначити необхідність мати виділений хост для web-сервера;

• Визначити користувачів і категорії користувачів web-сервера і визначити привілеї кожної категорії користувачів;

• Визначити методи аутентифікації користувачів на web-сервері.

Вибір відповідної ОС для web-сервера.

• Максимальна захищеність від уязвимостей;

• Можливість обмежити діяльність рівня адміністратора або root тільки аутентифікованими і авторизованими користувачами;

• Можливість заборонити доступ до інформації на сервері всім, окрім явно вказаних користувачів;

• Можливість зробити недоступними непотрібні мережеві сервіси, які могли бути вбудовані до ОС або ПО сервера;

• Можливість управління доступом до різних програм, пов'язаних з web-сервером, таким як CGI-скрипты і plug-ins сервера у разі web-сервера.

2.7.3. Застосування patch-ів і upgrade-ів ос

• Визначити і інсталювати всі необхідні patches і upgrades для ОС;

• Визначити і інсталювати всі необхідні patches і upgrades для програм і сервісів, включених в ОС.

2.7.4. Видалення або заборона непотрібних сервісів і програм, конфігурація аутентифікації користувачів в ос.

• Видалити або заборонити непотрібні акаунти і групи, що існують за умовчанням;

• Заборонити не інтерактивні акаунти;

• Створити групи користувачів для даного екземпляра ОС;

• Створити акаунти користувачів для даного екземпляра ОС;

• Перевірити політику пароля в організації і встановити відповідні паролі акаунтів (довжина, складність);

• Конфігурувати ОС для заборони входу після невеликого числа невдалих спроб;

• Інсталювати і конфігурувати інші механізми безпеки для посилення аутентифікації.

2.7.5. Тестування безпеки ос

• Протестувати ОС після початкової інсталяції для визначення уязвимостей.

• Проводити часте тестування ОС для визначення нових уязвимостей.