Руководство по усилению защиты

В этой статье описаны рекомендации и особенности настройки Kaspersky NGFW, предназначенные для усиления безопасности за счет дополнительной настройки решения, устранения доступов по умолчанию и отключения неиспользуемых системных протоколов.

Мы настоятельно рекомендуем выполнить описанные настройки при развертывании и первоначальной настройке решения до начала работы с ним.

При развертывании решения

• При развертывании оркестратора:
  • Разворачивайте оркестратор в отказоустойчивом кластере.
  • Внимательно следуйте инструкциям по развертыванию.
  • Разворачивайте виртуальные машины в сетях, защищенных межсетевым экраном.
  • На всех виртуальных машинах с помощью iptables настройте межсетевой экран так, чтобы были разрешены входящие подключения только по портам, которые используются оркестратором.
  • На всех виртуальных машинах отключите вход по паролю, разрешите только вход по SSH-ключам.
  • На всех виртуальных машинах обеспечьте регулярное применение патчей безопасности для операционной системы.
  • Обеспечьте безопасность данных:
    • Для MongoDB:
      • Включите аутентификацию.
      • Не используйте пользователя root или dbAdmin.
      • Включите TLS/SSL для всех соединений к MongoDB (как из контейнеров приложений, так и для межкластерного трафика).
    • Для Redis: включите TLS/SSL для всех соединений к Redis.
  • Не используйте стандартные пароли, ключи и учетные данные.
  • Передавайте секреты в контейнеры как переменные окружения.
  • При генерации сертификатов используйте ключи длиной не менее 4096 бит.
  • Используйте безопасные пароли: не менее 10 символов с цифрами и разного регистра. Пароль оркестратора (ORC_ENC_PASS) должен быть не менее 32 символов.
• При развертывании службы идентификации пользователей:
  • Разворачивайте компоненты службы в изолированном доверенном сегменте сети.
  • Разворачивайте Docker-контейнеры компонентов службы на отдельном аппаратном или виртуальном устройстве, для которого разрешен только локальный доступ (без использования SSH, RDP и других протоколов).
  • На устройстве с компонентами службы закройте все порты, кроме тех, которые используются службой.
  • На устройстве с компонентами службы добавьте единственного пользователя admin (в дополнение к пользователю root). Убедитесь, что аутентификационные данные для пользователя admin есть только у администратора, осуществляющего настройку и обслуживание службы.
• Периодически во время обслуживания устройств пересоздавайте токен, который используется для двусторонней аутентификации при подключении устройства к оркестратору.
• Настройте учетные записи пользователей в OSMP:
  • При выборе количества учетных записей пользователей и их прав руководствуйтесь принципами цифровой гигиены:
    • Для каждого пользователя создавайте отдельную учетную запись. Не допускайте совместного доступа нескольких пользователей к одной учетной записи.
    • Для каждой учетной записи настраивайте минимальное необходимые права.
  • Измените максимальное количество попыток ввода пароля пользователем на 4.
• Настройте учетные записи пользователей в KUMA:
  • Если вы используете отдельно установленную KUMA, создайте там учетные записи для пользователей и назначьте им роли. Руководствуйтесь теми же принципами цифровой гигиены.

    При использовании KUMA, встроенной в платформу OSMP, используются единые учетные записи.

  • Измените максимальное количество попыток ввода пароля пользователем на 4. Подробнее см. в справке KUMA.

При первоначальной настройке устройства

• Смените пароли, установленные по умолчанию:
  • [Только для аппаратных платформ KX-100-KA1 и KX-100-KB1] Смените пароль от BIOS; настройте средство доверенной загрузки "Витязь"; убедитесь, что Secure Boot включен и правильно настроен.
  • [Для всех аппаратных платформ, кроме KX-100-KA1 и KX-100-KB1] Смените пароль от BIOS; убедитесь, что Secure Boot включен и правильно настроен.
  • [Для всех аппаратных платформ, кроме KX-100-KA1 и KX-100-KB1] Смените пароль от BMC.
  • Смените пароль пользователя root.
• Настройте регистрацию событий безопасности и отправку журналов:
  • Настройте передачу событий в KUMA и в альтернативную SIEM-систему (при наличии).
  • Настройте отправку уведомлений о событиях безопасности, происходящих на устройствах Kaspersky NGFW.
  • Настройте локальное хранение событий безопасности.
  • Настройте подключение к syslog-серверу.
• Настройте инфраструктурные и служебные сервисы для управления:
  • Отключите неиспользуемые сервисы.

    Описание семейств команд для настройки работы Kaspersky NGFW вы можете найти в документе Управление Kaspersky NGFW с помощью командной строки.

  • При настройке подключения к устройству по SSH используйте выделенный интерфейс управления. Оставьте только те подключения, которые используются, а остальные отключите.
  • Настройте службу NTP.

    Точные дата и время требуются для корректного ведения журналов, анализа состояния устройства в режиме реального времени, а также для проверки срока действия сертификатов.

  • Настройте мониторинг SNMP.

    Рекомендуется использовать SNMPv3. Если используется более старая версия протокола, то значение по умолчанию строки сообщества (англ. SNMP community string) должно быть изменено. При выборе строки сообщества не используйте стандартные значения и словарные фразы. Рекомендуется использовать сочетание букв, цифр и специальных символов длиной от 14 символов.

    Если мониторинг SNMP не используется, отключите его.

  • Настройте DNS-клиент.
• Настройте сетевой стек:
  • Для выделенных интерфейсов управления ограничьте сетевые адреса, с которыми они взаимодействуют.
  • Защитите используемые интерфейсы от атак:
    • SYN Flood;
    • IP-спуфинга;
    • TCP Port Scan.
• Настройте кластер:
  • Включите TLS-шифрование для защиты канала синхронизации между узлами.
  • Соедините узлы кластера напрямую без промежуточных устройств: из порта одного узла в порт другого узла соответствующим сетевым кабелем.
• При создании IKE-шлюза с аутентификацией локального и удаленного узлов при помощи сертификатов используйте криптографически стойкие сертификаты с ключами RSA длиной 2048 или 4096 бит.