إنشاء وصيانة عملية التكوين الآمن
الوصف
إنشاء وصيانة عملية التكوين الآمن لأصول المؤسسة (أجهزة المستخدم النهائي بما في ذلك المحمولة والمتنقلة والأجهزة غير الحاسوبية/إنترنت الأشياء والخوادم) والبرمجيات (أنظمة التشغيل والتطبيقات). مراجعة وتحديث الوثائق سنويًا أو عند حدوث تغييرات مؤسسية كبيرة قد تؤثر على هذا الضمان.
قائمة التحقق من التطبيق
توصيات الأدوات
أداة تقييم آلية لمعايير مركز أمن الإنترنت لفحص امتثال التكوين عبر أنظمة التشغيل والتطبيقات والسحابة
Center for Internet Security · عضوية حزمة الأمان من مركز أمن الإنترنت
منصة سحابية لتقييم التكوين والامتثال مع دعم معايير مركز أمن الإنترنت والمراقبة المستمرة
Qualys · اشتراك لكل أصل
منصة إدارة تكوين الأمان ومراقبة سلامة الملفات مع امتثال السياسات واكتشاف الانحراف
Fortra (Tripwire) · اشتراك لكل عقدة
التهديدات والثغرات (CIS RAM)
سيناريوهات التهديد
استغلال التكوينات الافتراضية أو الضعيفة للنظام
السلامةيستغل المهاجمون التكوينات الافتراضية الجاهزة بما في ذلك المنافذ المفتوحة والخدمات غير الضرورية وإعدادات الأمان الضعيفة التي لم يتم تقويتها وفقاً لخط أساس آمن.
انحراف التكوين يمكّن نواقل الهجوم
السريةبمرور الوقت، تنحرف الأنظمة عن التكوينات الآمنة من خلال التغييرات المخصصة، مما يعيد إدخال الثغرات التي تم تخفيفها سابقاً ويخلق أوضاعاً أمنية غير متسقة.
استغلال برامج الفدية للأنظمة غير المقواة
التوفرتنتشر برامج الفدية بسرعة عبر الأنظمة التي تفتقر إلى تكوينات مقواة، مستغلة البروتوكولات الممكّنة افتراضياً مثل SMBv1 وخدمات الوصول عن بُعد غير الضرورية.
الثغرات (عند غياب الإجراء الوقائي)
عدم وجود خط أساس تكوين آمن محدد
بدون عملية تكوين آمن موثقة، يتم نشر الأنظمة بالإعدادات الافتراضية للمورد التي تعطي الأولوية لسهولة الاستخدام على الأمان، تاركة أسطح هجوم معروفة مكشوفة.
عدم وجود إيقاع لمراجعة أو تحديث التكوين
بدون مراجعة سنوية لمعايير التكوين الآمن، تصبح خطوط الأساس قديمة مع ظهور تقنيات هجوم جديدة وتغير توصيات الموردين.
متطلبات الأدلة
| النوع | عنصر الدليل | تكرار الجمع |
|---|---|---|
| وثيقة | وثيقة السياسة الحاكمة (حالية، معتمدة، مُبلغة) | يُراجع سنوياً |