Tetapkan dan Pelihara Proses Konfigurasi Aman
Deskripsi
Tetapkan dan pelihara proses konfigurasi aman untuk aset perusahaan (perangkat pengguna akhir, termasuk portabel dan seluler; perangkat jaringan; perangkat non-komputasi/IoT; dan server) dan perangkat lunak (sistem operasi dan aplikasi). Tinjau dan perbarui dokumentasi setiap tahun, atau ketika terjadi perubahan signifikan pada perusahaan yang dapat memengaruhi Pengamanan ini.
Daftar Periksa Implementasi
Rekomendasi Alat
Alat penilaian CIS Benchmark otomatis untuk pemindaian kepatuhan konfigurasi di seluruh OS, aplikasi, dan cloud
Center for Internet Security · Keanggotaan CIS SecureSuite
Platform penilaian konfigurasi dan kepatuhan berbasis cloud dengan dukungan CIS Benchmark dan pemantauan berkelanjutan
Qualys · Langganan per aset
Platform manajemen konfigurasi keamanan dan pemantauan integritas file dengan kepatuhan kebijakan dan deteksi penyimpangan
Fortra (Tripwire) · Langganan per node
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Eksploitasi Konfigurasi Sistem Default atau Lemah
IntegrityPenyerang mengeksploitasi konfigurasi default bawaan termasuk port terbuka, layanan yang tidak diperlukan, dan pengaturan keamanan yang lemah yang tidak pernah diperkuat sesuai baseline aman.
Penyimpangan Konfigurasi yang Membuka Vektor Serangan
ConfidentialitySeiring waktu, sistem menyimpang dari konfigurasi aman melalui perubahan ad-hoc, memperkenalkan kembali kerentanan yang sebelumnya dimitigasi dan menciptakan postur keamanan yang tidak konsisten.
Ransomware yang Mengeksploitasi Sistem yang Tidak Diperkuat
AvailabilityRansomware menyebar dengan cepat melalui sistem yang tidak memiliki konfigurasi yang diperkuat, mengeksploitasi protokol yang diaktifkan secara default seperti SMBv1 dan layanan akses jarak jauh yang tidak diperlukan.
Kerentanan (Saat Pengamanan Tidak Ada)
Tidak Ada Baseline Konfigurasi Aman yang Ditetapkan
Tanpa proses konfigurasi aman yang terdokumentasi, sistem di-deploy dengan default vendor yang memprioritaskan kemudahan penggunaan di atas keamanan, meninggalkan permukaan serangan yang diketahui terekspos.
Tidak Ada Tinjauan atau Jadwal Pembaruan Konfigurasi
Tanpa tinjauan tahunan standar konfigurasi aman, baseline menjadi usang seiring munculnya teknik serangan baru dan perubahan rekomendasi vendor.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |