IG2 IG3

Daftar Putih Pustaka yang Diotorisasi

Kelompok Kontrol: 2. Inventarisasi dan Pengendalian Aset Perangkat Lunak

Jenis Aset: Aplikasi

Fungsi Keamanan: Lindungi

Deskripsi

Gunakan kontrol teknis untuk memastikan bahwa hanya pustaka perangkat lunak yang diotorisasi, seperti file .dll, .ocx, .so, dll. tertentu, yang diizinkan untuk dimuat ke dalam proses sistem. Blokir pustaka yang tidak diotorisasi agar tidak dimuat ke dalam proses sistem. Evaluasi ulang setiap dua tahun, atau lebih sering.

Daftar Periksa Implementasi

1

Tinjau persyaratan pengamanan terhadap kondisi saat ini

2

Kembangkan rencana implementasi dengan jadwal dan tonggak pencapaian

3

Implementasikan kontrol dan prosedur yang diperlukan

4

Verifikasi implementasi melalui pengujian dan audit

5

Dokumentasikan implementasi dan perbarui prosedur operasional

Rekomendasi Alat

Microsoft Intune Gartner MQ Leader, UEM 2024

Platform manajemen endpoint terpadu untuk pendaftaran perangkat, penyebaran perangkat lunak, konfigurasi, dan kepatuhan di seluruh Windows, macOS, iOS, dan Android

Microsoft · Langganan per pengguna/per perangkat

VMware Workspace ONE Gartner MQ Leader, UEM 2024

Platform ruang kerja digital yang menggabungkan UEM dengan pengiriman aplikasi virtual dan akses zero-trust untuk manajemen endpoint

Broadcom (VMware) · Langganan per perangkat

Flexera One Gartner MQ Leader, SAM 2024

Platform manajemen aset IT dan manajemen aset perangkat lunak dengan optimasi lisensi dan manajemen SaaS

Flexera · Langganan perusahaan

Ancaman & Kerentanan (CIS RAM)

Skenario Ancaman

Serangan DLL Hijacking dan Side-Loading

Integrity

Penyerang menempatkan DLL berbahaya di direktori aplikasi atau jalur sistem untuk dimuat oleh proses yang sah, mencapai eksekusi kode dalam konteks proses tepercaya.

Peracunan Library Rantai Pasok

Confidentiality

Library bersama yang dikompromikan dari vendor pihak ketiga atau repositori open-source dimuat ke dalam proses sistem, memberikan penyerang eksekusi kode melalui saluran tepercaya.

Kerentanan (Saat Pengamanan Tidak Ada)

Tidak Ada Pembatasan pada Pemuatan Library

Tanpa allowlisting library, file DLL, SO, atau OCX mana pun dapat dimuat ke dalam proses sistem, memungkinkan penyerang menyuntikkan kode berbahaya melalui manipulasi library.

Integritas Library Bersama yang Tidak Divalidasi

Ketiadaan kontrol yang memverifikasi keaslian library sebelum pemuatan berarti library yang dimodifikasi atau diganti dieksekusi dengan hak istimewa yang sama seperti proses host.

Persyaratan Bukti

Jenis	Item Bukti	Frekuensi Pengumpulan
Dokumen	Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan)	Ditinjau setiap tahun

Templat Kebijakan Terkait

Kebijakan Manajemen Aset Perangkat Lunak

Control 2

Pengamanan Terkait di Kontrol 2

2.1 Tetapkan dan Pelihara Inventaris Perangkat Lunak

2.2 Pastikan Perangkat Lunak yang Diotorisasi Masih Didukung

2.3 Tangani Perangkat Lunak yang Tidak Sah

2.4 Gunakan Alat Inventaris Perangkat Lunak Otomatis

2.5 Daftar Putih Perangkat Lunak yang Diotorisasi

2.7 Daftar Putih Skrip yang Diotorisasi