🛡️ Uzbrukuma virsmas samazināšana

Windows

Servisi, kas palaižas automātiski un šobrīd darbojas.

Get-Service |
  Where-Object { $_.StartType -eq 'Automatic' } |
  Where-Object { $_.Status -eq 'Running' } |
  Sort-Object Name | Select-Object Name, DisplayName

Print Spooler serverī, kas nedrukā (PrintNightmare, CVE-2021-34527):

Stop-Service Spooler
Set-Service Spooler -StartupType Disabled

Set-Service Spooler -StartupType Automatic
Start-Service Spooler

SMBv1 - novecojis protokols, ko izmantoja WannaCry:

Disable-WindowsOptionalFeature -Online `
  -FeatureName SMB1Protocol -NoRestart

Enable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol

Pārbaudi, ka izdevās

Get-Service Spooler | Select-Object Name, Status, StartType
Get-WindowsOptionalFeature -Online -FeatureName SMB1Protocol |
  Select-Object FeatureName, State

macOS

Ielādētie launchd darbi un izslēgtie sistēmas servisi. Koplietošanas servisus ērtāk pārvaldīt System Settings, General, Sharing.

sudo launchctl list | grep -v com.apple
sudo launchctl print-disabled system

Attālā pieteikšanās (SSH), ja to nelieto. Terminālim vajag Full Disk Access:

sudo systemsetup -setremotelogin off

sudo systemsetup -setremotelogin on

Ekrāna koplietošana:

sudo launchctl disable system/com.apple.screensharing

sudo launchctl enable system/com.apple.screensharing

Pārbaudi, ka izdevās

sudo systemsetup -getremotelogin
sudo launchctl print-disabled system | grep screensharing

Linux

Iespējotās un strādājošās systemd vienības.

systemctl list-unit-files --type=service --state=enabled
systemctl list-units --type=service --state=running

Drukas serviss serverī (arī socket aktivācija):

sudo systemctl disable --now cups.service cups.socket cups.path

sudo systemctl enable --now cups.service cups.socket cups.path

mDNS (Avahi) - izziņo ierīci lokālajā tīklā:

sudo systemctl disable --now avahi-daemon.service avahi-daemon.socket
sudo systemctl mask avahi-daemon.service avahi-daemon.socket

sudo systemctl unmask avahi-daemon.service avahi-daemon.socket
sudo systemctl enable --now avahi-daemon.service

Pārbaudi, ka izdevās

systemctl is-enabled cups.service avahi-daemon.service
systemctl is-active cups.service avahi-daemon.service

Windows

Atvērtie porti ar procesa nosaukumu un ugunsmūra profili.

Get-NetTCPConnection -State Listen |
  Select-Object LocalAddress, LocalPort,
  @{ n='Process';
     e={ (Get-Process -Id $_.OwningProcess).ProcessName } }
Get-NetFirewallProfile |
  Select-Object Name, Enabled, DefaultInboundAction

Set-NetFirewallProfile -Profile Domain,Private,Public `
  -Enabled True -DefaultInboundAction Block

Set-NetFirewallProfile -Profile Domain,Private,Public `
  -DefaultInboundAction NotConfigured

Pārbaudi, ka izdevās

Get-NetFirewallProfile | Select-Object Name, DefaultInboundAction
# no citas ierīces - aizvērtais ports nedrīkst atbildēt:
Test-NetConnection <servera-adrese> -Port 3389

macOS

Atvērtie TCP un UDP porti un lietotņu ugunsmūris.

sudo lsof -iTCP -sTCP:LISTEN -n -P
sudo lsof -iUDP -n -P
/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate

sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setglobalstate on
sudo /usr/libexec/ApplicationFirewall/socketfilterfw --setstealthmode on

sudo /usr/libexec/ApplicationFirewall/socketfilterfw \
  --setstealthmode off
sudo /usr/libexec/ApplicationFirewall/socketfilterfw \
  --setglobalstate off

Pārbaudi, ka izdevās

/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
/usr/libexec/ApplicationFirewall/socketfilterfw --getstealthmode

Linux

Atvērtie porti ar procesu un aktīvie savienojumi.

sudo ss -tulpn
sudo ss -tnp state established

sudo ufw default deny incoming
sudo ufw allow 22/tcp
sudo ufw enable

sudo ufw disable

Pārbaudi, ka izdevās

sudo ufw status verbose
# no citas ierīces - aizvērtais ports nedrīkst atbildēt:
nc -zv <servera-adrese> 5432

Windows

Palaišanas ieraksti, ne-Microsoft plānotie uzdevumi un pilns pārskats ar Sysinternals Autoruns.

Get-CimInstance Win32_StartupCommand |
  Select-Object Name, Command, Location, User
Get-ScheduledTask |
  Where-Object { $_.State -ne 'Disabled' } |
  Where-Object { $_.TaskPath -notlike '\Microsoft\*' } |
  Select-Object TaskPath, TaskName, State
autorunsc.exe -accepteula -a * -m -s -h -c > autoruns.csv

Disable-ScheduledTask -TaskPath '\' -TaskName 'VecsAtjauninatajs'

Enable-ScheduledTask -TaskPath '\' -TaskName 'VecsAtjauninatajs'

macOS

LaunchAgents un LaunchDaemons mapes, fona uzdevumu datubāze (macOS 13+) un cron.

ls -la ~/Library/LaunchAgents \
  /Library/LaunchAgents /Library/LaunchDaemons
sudo sfltool dumpbtm
crontab -l

launchctl bootout gui/$(id -u) \
  ~/Library/LaunchAgents/com.example.updater.plist

launchctl bootstrap gui/$(id -u) \
  ~/Library/LaunchAgents/com.example.updater.plist

Linux

Visu lietotāju cron, sistēmas cron mapes un systemd taimeri.

for u in $(cut -d: -f1 /etc/passwd); do
  sudo crontab -l -u "$u" 2>/dev/null | sed "s/^/$u: /"
done
ls -la /etc/cron.d /etc/cron.daily /etc/cron.hourly
systemctl list-timers --all

sudo systemctl disable --now vecs-atjauninatajs.timer

sudo systemctl enable --now vecs-atjauninatajs.timer

Windows

Security Compliance Toolkit (Policy Analyzer, LGPO) un CIS-CAT Lite novērtējums pret CIS Benchmark. Pašreizējo drošības politiku var eksportēt salīdzināšanai.

secedit /export /cfg C:\Temp\drosibas-politika.inf
gpresult /h C:\Temp\gpo-atskaite.html

macOS

mSCP ģenerētais pārbaudes skripts rāda atbilstību izvēlētajai bāzes līnijai. Organizācijā iestatījumus uztur MDM profili.

sudo zsh ./<baseline>_compliance.sh --check

Linux

Ātrs audits ar Lynis un pilna pārbaude ar OpenSCAP. Profila nosaukums un satura fails atšķiras pa distribūcijām - tos parāda oscap info.

sudo lynis audit system
oscap info /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml
sudo oscap xccdf eval --profile <profils> \
  --report atskaite.html \
  /usr/share/xml/scap/ssg/content/ssg-ubuntu2204-ds.xml