Como proteger o servidor Ubuntu

Question

Existe algum documento completo de endurecimento do servidor Ubuntu que seja suficiente para ISO 27001 ou PCI DSS ou qualquer outro padrão de segurança.

    

Answer 1

Eu não sei de nenhum documento oficial de proteção do servidor Ubuntu, mas espero que o seguinte dê a você um bom ponto de partida:

O NIST (Instituto Nacional de Padrões e Tecnologia) publica diretrizes sobre como proteger os sistemas * nix. É isso que os garotos usam como ponto de partida (DOD, Army, Etc.).

Confira também este artigo do instituto SANS . Esta lista também é uma boa regra prática.

Você pode usar ferramentas como Nessus, OpenVAS e outros verificadores de vulnerabilidades para ter uma ideia de quais portas e serviços precisam ser desativados também.

O Banco Nacional de Vulnerabilidade é um bom site para fazer referência cruzada à sua configuração de software.

Se você está tentando conformidade com a ISO 27001, então a ISO deve ter documentação e lista de verificação para esse tipo de coisa (embora seja uma boa ideia examinar).

Desculpe se isso é muito genérico, espero que ajude.

    

Answer 2

A resposta acima é ótima, mas minha única preferência pessoal é o Guia de Fortalecimento do Debian do CIS, que pode ser encontrado em: link

    

Answer 3

Existem vários guias de proteção que são utilizados, o padrão da indústria que muitos frameworks procuram, especificamente PCI-DSS são os benchmarks do CIS apresentados pelo Center for Internet Security (CIS). As diretrizes do CIS não apenas fornecem orientação para sistemas operacionais como Windows, Linux, AIX, mas também têm diretrizes de proteção para muitos dos serviços que executam, como Apache, MySQL, Oracle, Weblogic, SQL Server, IIS etc. seus plugins ao fazer verificações de vulnerabilidade e segurança com a varredura de produtos. Há também itens específicos de segurança para carregar para tarefas variadas, como IDS / IPS na rede, ou HIDS no host. Ferramentas instaladas para detectar configurações e alterações não autorizadas, analisar e analisar registros de atividades não normais, etc. Tenho construído e fortalecendo servidores há mais de 20 anos, portanto, se você tiver perguntas mais detalhadas, eu ficaria feliz em tentar respondê-las. .