Szerver hardening és NIS2 megfelelés

Mit keményítünk meg konkrétan

Végigmegyünk a szerveren és leállítjuk a nem használt szolgáltatásokat, korlátozzuk a hozzáférést SSH-kulcsra és jogosultsági szintre, bezárjuk a kifelé nem szükséges portokat, és beállítjuk az automatikus biztonsági frissítéseket. A konfigurációt CIS Benchmarks szerint ellenőrizzük, majd időszakosan újra lefuttatjuk a vizsgálatot, hogy a rendszer ne csússzon vissza a bevezetéskori állapotból. Minden változtatást dokumentálunk, hogy pontosan visszakövethető legyen, mi és miért módosult a szerver alapkonfigurációjához képest.

• Nem használt szolgáltatások és portok lezárása
• SSH-kulcsos hozzáférés, jelszavas belépés kikapcsolva
• CIS Benchmarks szerinti ellenőrzés OpenSCAP és Lynis eszközökkel
• 3-2-1 elvű mentés immutábilis másolattal, ransomware ellen

Az AI-kor: gyorsabb szkennelés, szorosabb javítási ablak

Egy nyilvánosan felfedett sebezhetőség után automatizált szkennerek órákon belül végigpásztázzák az internetet a javítatlan rendszerekért, gyakran LLM-alapú eszközökkel, amelyek maguk generálnak kihasználó kódot a publikált leírásból. Ez azt jelenti, hogy a javítási SLA nem lehet heteket számoló folyamat: a konfigurációdrift-figyeléssel és az automatizált CIS-ellenőrzéssel napok alatt észrevesszük, ha egy rendszer eltér a kemény alapállapottól vagy elmaradt egy kritikus frissítés. A cél, hogy a javítási ablak rövidebb legyen, mint amennyi idő alatt egy automatizált szkenner ténylegesen megtalálja és kihasználja a rést.

Megfelelés: NIS2, GDPR, ISO 27001-igazodás

A dokumentált hardening-folyamat és a mentési stratégia a NIS2 hatálya alá tartozó szervezetek kockázatkezelési kötelezettségeihez ad gyakorlati alapot, a Kibertan-tv. előírásaival összhangban. A GDPR és a NAIH elvárásaihoz az adatvédelmi és hozzáférés-korlátozási intézkedések igazodnak. A 4hosting az ISO 27001 elveihez igazodva működteti az infrastruktúráját, formális harmadik fél általi minősítés nélkül; ha a szervezetednek saját, hivatalos auditra van szüksége, ehhez a mi dokumentációnk kiindulópontként szolgálhat.

Hogyan dolgozunk

1. Állapotfelmérés

   Lefuttatjuk a CIS Benchmarks szerinti ellenőrzést a szervereden, és listázzuk, mely beállítások térnek el a kemény alapállapottól.

2. Keményítés

   Bezárjuk a felesleges portokat és szolgáltatásokat, átállunk SSH-kulcsos hozzáférésre, és bekapcsoljuk az automatikus biztonsági frissítéseket.

3. Mentési stratégia

   Beállítjuk a 3-2-1 elvű, immutábilis mentést, és teszteljük a visszaállítást, hogy egy ransomware-incidens esetén is működjön.

4. Folyamatos ellenőrzés

   Időszakosan újra lefuttatjuk a konfigurációellenőrzést, és jelezzük, ha a rendszer eltér a bevezetéskori kemény állapottól.

Felhasználási esetek

Technológiák

• CIS Benchmarks
• OpenSCAP
• Lynis
• nftables
• SSH keményítés
• 3-2-1 immutábilis mentés
• GDPR
• NIS2

Gyakori kérdések

• Kire vonatkozik a NIS2 Magyarországon?

  A NIS2-t a Kibertan-tv. ülteti át a magyar jogba, és alapvetően a kritikus és fontos ágazatokban működő, egy bizonyos méret feletti szervezetekre vonatkozik. A pontos besorolás ágazatonként és mérettől függően eltér, ezért ezt mindig a konkrét szervezet adatai alapján kell megállapítani.

• Mi az a szerver hardening?

  A hardening azt jelenti, hogy a szervert a szükséges minimumra szűkítjük: csak a ténylegesen használt szolgáltatások futnak, a hozzáférés korlátozott és kulcsalapú, a felesleges portok zárva vannak. Ez csökkenti a támadási felületet anélkül, hogy megváltoztatná az alkalmazás működését.

• Mit ír elő a Kibertan-tv.?

  A Kibertan-tv. a NIS2 irányelv magyar átültetése, kockázatkezelési intézkedéseket és incidens-bejelentési kötelezettséget ír elő a hatálya alá tartozó szervezeteknek. A pontos kötelezettségek szervezetenként eltérnek, a besorolást és a teendőket egyedileg érdemes tisztázni.

• Hogyan készüljek fel egy ISO 27001 auditra?

  A 4hosting az ISO 27001 elveihez igazodva működteti a saját infrastruktúráját, de nem tanúsító testület. Az általunk elvégzett hardening és a dokumentált konfigurációellenőrzés jó kiindulópont egy hivatalos auditra készülő szervezet számára, a tanúsítást azonban független auditor végzi, akihez a mi dokumentációnkat bizonyítékként átadhatod. Ez jelentősen lerövidítheti a saját felkészülési időt, mert a technikai alapok már dokumentáltan a helyükön vannak.

• Milyen gyakran ellenőrzitek a konfigurációt?

  A CIS Benchmarks szerinti ellenőrzést időszakosan újra lefuttatjuk, hogy időben kiderüljön, ha egy beállítás visszacsúszott vagy egy frissítés elmaradt. A pontos gyakoriságot a rendszer kritikussága alapján állítjuk be, és kritikus rendszereknél ez gyakoribb, ütemezett vizsgálatot jelent.

• Mi történik mentés-visszaállítási teszttel?

  Nem elég, ha a mentés lefut: időszakosan visszaállítást is tesztelünk, hogy egy valós incidens esetén ne derüljön ki későn, ha egy másolat sérült vagy hiányos. Ez a 3-2-1 elvű stratégia kötelező része nálunk.