Execute o software antivírus nos servidores DNS do Linux. Isso faz sentido?

Question

Durante uma auditoria recente, fomos solicitados a instalar um software antivírus em nossos servidores DNS que executam o linux (bind9). Os servidores não foram comprometidos durante o teste de penetração, mas essa foi uma das recomendações dadas.

1. Normalmente, o software antivírus do Linux está instalado para verificar o tráfego destinado aos usuários, então qual é o objetivo de instalar o antivírus em um dns servidor?

2. Qual é a sua opinião sobre a proposta?

3. Você realmente executa um software antivírus em seus servidores linux?

4. Em caso afirmativo, qual software antivírus você recomendaria ou se atualmente usando?

Answer 1

Um aspecto disso é que recomendar "anti-vírus" para estar em tudo é uma aposta segura, para o auditor.

As auditorias de segurança não são inteiramente sobre segurança técnica real. Muitas vezes, eles também estão prestes a limitar a responsabilidade em caso de uma ação judicial.

Digamos que sua empresa tenha sido invadida e que uma ação coletiva tenha sido movida contra você. Sua responsabilidade específica pode ser mitigada com base em quão bem você seguiu os padrões do setor. Digamos que os auditores não recomendam o AV neste servidor, portanto você não o instala.

Sua defesa é que você seguiu as recomendações de um auditor respeitado e passou o dinheiro, por assim dizer. Aliás, esse é o motivo PRIMÁRIO pelo qual usamos auditores de terceiros. Note que a mudança de responsabilidade é frequentemente escrita no contrato que você assina com os auditores: se você não seguir as recomendações deles, tudo estará em você.

Bem, os advogados investigarão o auditor como um possível réu. Em nossa situação hipotética, o fato de que eles não recomendaram AV em um determinado servidor será considerado incompleto. Só isso os prejudicaria nas negociações, mesmo que não tivesse absolutamente nenhum impacto sobre o ataque real.

A única coisa fiscalmente responsável para uma empresa de auditoria fazer é ter uma recomendação padrão para todos os servidores, independentemente da superfície de ataque real. Neste caso, AV em tudo . Em outras palavras, eles recomendam uma marreta mesmo quando um bisturi é tecnicamente superior devido ao raciocínio legal.

Faz sentido técnico? Geralmente não, pois geralmente aumenta o risco. Faz sentido para advogados, um juiz ou mesmo um júri? Absolutamente, eles não são tecnicamente competentes e incapazes de compreender as nuances. É por isso que você precisa obedecer.

@ewwhite recomenda que você fale com o auditor sobre isso. Eu acho que esse é o caminho errado. Em vez disso, você deve falar com o advogado da sua empresa para obter sua opinião sobre não após essas solicitações.

    

Answer 2

Às vezes os auditores são idiotas ...

Esta é uma solicitação incomum, no entanto. Eu iria contrariar a recomendação dos auditores, protegendo / limitando o acesso a servidores, adicionando um monitoramento de IDS ou integridade de arquivos ou reforçando a segurança em outro lugar em seu ambiente. O antivírus não tem nenhum benefício aqui.

Editar:

Como observado nos comentários abaixo, eu estava envolvido no lançamento de um site de alto perfil aqui nos EUA, e foi responsável por projetar a arquitetura de referência do Linux para conformidade com HIPAA.

Quando surgiu a questão do Antivírus, recomendamos o ClamAV e um firewall de aplicativo para processar envios de usuários finais, mas evitamos ter o antivírus em todos os sistemas implementando controles de compensação ( IDS de terceiros autenticação de dois fatores para a VPN e servidores, monitoramento de integridade de arquivos da AIDE, de terceiros Criptografia DB, estruturas loucas do sistema de arquivos etc. . Estes foram considerados aceitáveis pelos auditores, e todos foram aprovados.

    

Answer 3

A primeira coisa que você precisa entender sobre os auditores é que eles podem não saber nada sobre como a tecnologia no escopo é usada no mundo real.

Existem muitas vulnerabilidades e problemas de segurança do DNS que devem ser abordadas em uma auditoria. Eles nunca chegarão aos problemas reais se forem distraídos por objetos brilhantes como "antivírus em um servidor DNS".

    

Answer 4

O software anti-vírus moderno típico tenta encontrar com maior precisão malware e não se limita apenas a vírus. Dependendo da implementação real de um servidor (caixa dedicada para um serviço dedicado, contêiner em uma caixa compartilhada, serviço adicional no "único servidor"), provavelmente não é uma má idéia ter algo como o ClamAV ou o LMD (Linux Malware Detect) instalado e realizar algumas digitalizações extras a cada noite.

Quando solicitado em uma auditoria, escolha o requisito exato e dê uma olhada nas informações que o acompanham. Por que: muitos auditores não leem o requisito completo, não estão cientes do contexto e das informações de orientação.

Por exemplo, o PCIDSS declara "implantar um software antivírus em todos os sistemas comumente afetados por softwares maliciosos" como um requisito.

A coluna de orientação do PCIDSS diz especificamente que mainframes, computadores intermediários e sistemas similares podem não ser comumente visados ou afetados por malware, mas deve-se monitorar o atual nível de ameaça atual, estar ciente das atualizações de segurança do fornecedor e implementar medidas para resolver novas vulnerabilidades de segurança (não se limitando a malware).

Então, depois de apontar para a lista de cerca de 50 vírus Linux do link em comparação com os milhões de vírus conhecidos para outros sistemas operacionais, é fácil argumentar que um servidor Linux não seja comumente afetado . O "conjunto mais básico de regras" do link também é um ponteiro interessante para a maioria dos auditores focados no Windows.

E seus alertas apticron sobre atualizações de segurança pendentes e verificadores de integridade em execução, como o AIDE ou o Samhain, podem tratar com mais precisão os riscos reais do que um antivírus padrão. Isso também pode convencer seu auditor a não introduzir o risco de instalar um software desnecessariamente desnecessário (que fornece um benefício limitado, pode impor um risco de segurança ou simplesmente quebrar).

Se isso não ajudar: instalar o clamav como um cronjob diário não prejudica tanto quanto outros softwares.

    

Answer 5

Os servidores DNS tornaram-se populares entre os auditores do PCI este ano.

O importante é reconhecer que, embora os servidores DNS não manipulem dados confidenciais, eles suportam seus ambientes. Como tal, os auditores estão começando a sinalizar esses dispositivos como "PCI suportando", semelhante aos servidores NTP. Os auditores geralmente aplicam um conjunto diferente de requisitos aos ambientes de suporte PCI do que aos próprios ambientes PCI.

Gostaria de falar com os auditores e pedir que eles esclarecessem a diferença em seus requisitos entre o PCI e o PCI, apenas para garantir que esse requisito não ocorresse acidentalmente. Precisávamos garantir que nossos servidores DNS atendessem diretrizes de proteção semelhantes aos ambientes PCI, mas o antivírus não era um dos requisitos que enfrentamos.

    

Answer 6

Isso poderia ter sido uma reação instintiva à vulcânica do shellshock, foi sugerido online que o bind poderia ser afetado.

EDIT: Não tenho certeza se foi comprovado ou confirmado.

    

Answer 7

Se os seus servidores DNS estiverem dentro do escopo do PCI DSS, você poderá ser forçado a executar o AV neles (mesmo que seja completamente bobo na maioria dos casos). Nós usamos o ClamAV.

    

Answer 8

Se isso for para a conformidade com o SOX, eles estão lhe dizendo para instalar o antivírus, provavelmente, porque em algum lugar você tem uma política que diz que todos os servidores devem ter um antivírus instalado. E este não faz.

Escreva uma exceção à política desse servidor ou instale o AV.

    

Answer 9

Existem dois tipos principais de servidores DNS: autoritativo e recursivo. Um servidor DNS autoritativo informa ao mundo quais endereços IP devem ser usados para cada nome de host em um domínio. Ultimamente, tornou-se possível associar outros dados a um nome, como diretivas de filtragem de email (SPF) e certificados criptográficos (DANE). Um servidor DNS resolvedor ou recursivo procura informações associadas a nomes de domínio, usando os servidores raiz ( . ) para localizar servidores de registro ( .com ), usando aqueles para encontrar servidores autoritativos de domínios ( serverfault.com ) e finalmente usá-los para encontrar nomes de host ( serverfault.com , meta.serverfault.com , etc.).

Não consigo ver como "antivírus" seria apropriado para um servidor autoritativo. Mas o "antivírus" prático para um resolvedor envolveria o bloqueio da pesquisa de domínios associados à distribuição ou o comando e controle de malware. O Google dns block malware ou dns sinkhole trouxe alguns resultados que podem ajudar você a proteger sua rede, protegendo seus resolvedores. Esse não é o mesmo tipo de antivírus que você executaria em uma máquina cliente / desktop, mas propor ao responsável pelo requisito "antivírus" pode gerar uma resposta que ajude a entender melhor a natureza do requisito "antivírus" .

Perguntas relacionadas em outros sites do Stack Exchange:

• Como alguém pode afundar domínios?

Answer 10

Melhor usar o Tripwire ou o AIDE