Al planificar un proyecto de hardening, hay dos tipos de análisis de impacto que debe considerar como parte de su plan: análisis de impacto en las políticas y análisis de impacto en la seguridad.
El análisis de impacto en las políticas se refiere a la generación de un informe que indica el impacto de cada regla de política en su entorno de producción. Es especialmente importante para evitar interrupciones del sistema causado por cambios de configuración.
El segundo tipo de análisis de impacto es el análisis de impacto de seguridad.
Cada análisis de impacto es esencial para la seguridad y funcionalidad de su red. La base de cada análisis de impacto es la línea base de la política para hardening, que debe guiarlo para decidir qué cambio de configuración aprobar.
En esta publicación profundizaremos en el Análisis de Impacto en la Seguridad para entender:
- ¿Qué es (y por qué debería realizar) el análisis de impacto en la seguridad?
- ¿Cómo generar un análisis de impacto en la seguridad?
¿QUÉ ES EL ANÁLISIS DE IMPACTO DE SEGURIDAD?
El análisis de impacto en la seguridad es uno de los pasos más críticos a la hora de proteger las configuraciones. Su objetivo es analizar cuál será el impacto en la seguridad de cada cambio de configuración en la organización y si puede exponer a la organización a ataques. Por otro lado, también indica cómo los cambios de configuración benefician la postura de seguridad.
Los análisis de impacto en la seguridad son realizados por equipos que entienden y conocen a profundidad el sistema de información y los riesgos potenciales que pueden mitigarse o exponerse mediante cambios de configuración.
Estos equipos deben tener en cuenta el impacto de los cambios en la seguridad en las siguientes fases:
- Antes de que se implemente el cambio:
Es fundamental realizar un análisis de impacto de seguridad en esta etapa para comprender si debiese haber algún impacto del cambio de configuración en la postura de seguridad. Esto se hace antes de que se apruebe el cambio para poder abordar cualquier problema de seguridad antes de invertir energía en cambiar configuraciones.
- Fases de desarrollo e implementación –
La forma en que se crea e implementa un cambio de configuración también puede influir en el impacto del cambio en la seguridad. También es relevante a la hora de desarrollar nuevos componentes. Los desarrolladores deben tener en cuenta la seguridad al desarrollar el componente, considerando qué cambios de configuración en el sistema pueden requerir y cómo influirá en toda la postura de seguridad del sistema.
- Una vez implementado el cambio:
Esto es principalmente para garantizar que su análisis de impacto en la seguridad sea correcto y que no haya expuesto su red a vulnerabilidades inesperadas. Además, es importante analizar el impacto en la seguridad de los cambios de configuración no programados o no autorizados que ocurren a menudo durante las operaciones.
Guía CIS de Hardening y Seguridad de la Configuración
¿CÓMO REALIZAR EL ANÁLISIS DE IMPACTO DE SEGURIDAD?
Después de que un equipo con la experiencia adecuada genere el análisis de impacto en la seguridad, estos son los siguientes pasos que deben seguir para cada cambio de configuración:
- Descripción general del cambio: cuando planee realizar un cambio, el primer paso será revisar la arquitectura del cambio y cómo se implementará. En caso de que revise un cambio después de que ya se haya realizado, asegúrese de obtener toda la documentación y los datos auditando sus registros y preguntando directamente a la persona que realizó el cambio. Después de recopilar todos los datos, investigue el impacto del cambio en la seguridad.
- Identifique vulnerabilidades en productos estándar: si el cambio está relacionado con la implementación de un nuevo producto estándar, debe buscar vulnerabilidades conocidas. Al buscar en la base de datos nacional de vulnerabilidades, por ejemplo, puede abordar las vulnerabilidades conocidas y mitigarlas antes de que el producto se convierta en parte de su red. Los escáneres de vulnerabilidades también pueden ser útiles en esta situación. Si el cambio implica la implementación de un desarrollo puntual, también debe analizarlo. Asegúrese de documentar cada vulnerabilidad descubierta y lo que se hizo para mitigarla.
- Trate cada vulnerabilidad de acuerdo con su riesgo: no todas las vulnerabilidades son iguales. Debe evaluar el riesgo de cada vulnerabilidad que encuentre antes de tomar medidas para mitigarla. Identifique la probabilidad de que se aproveche la vulnerabilidad y el impacto del potencial evento. Puede decidir que el riesgo es demasiado bajo y puede aceptarse sin remediación. En otros casos, decidirá que el riesgo es demasiado alto y rechazará el cambio o implementará salvaguardas para reducirlo.
- Comprenda cómo el cambio afectará a los controles de seguridad existentes: por ejemplo, el cambio deseado puede involucrar la instalación de software que requiere cambiar la línea base de configuración existente. Una buena práctica será comparar el cambio con su política de endurecimiento, para ver si existen conflictos que puedan indicar vulnerabilidad. En otros casos, el cambio puede afectar a otros sistemas o componentes del sistema. Por ejemplo, si decide actualizar una base de datos que admita controles de auditoría, debe tener en cuenta de que la actividad de auditoría se detendrá mientras actualiza la base de datos.
- Desarrolle salvaguardas y contramedidas: si el cambio deseado expone a la organización a un riesgo inaceptable, debe elegir un curso de acción diferente que le permita evitar este cambio o desarrollar una salvaguarda o práctica relevante que reduzca el riesgo.
Lista de Verificación para Hardening de la Protección de Datos
