1. Определить, задокументировать требования к безопасности конфигурации.
2. Применить безопасную конфигурацию на существующих хостах.
3. Применять безопасную конфигурацию на новых хостах в рамках процесса их ввода в эксплуатацию.
4. Регулярно проверять конфигурацию хостов на соответствие установленным требованиям.

• Руководства по настройке безопасности от производителя (например, Red Hat Enterprise Linux Security guide);
• Руководства по настройке безопасности (например, CIS CentOS Linux Benchmarks, CIS Debian Linux Benchmarks, CIS Red Hat Enterprise Linux Benchmarks, CIS Ubuntu Linux Benchmarks, SCAP Security Guide Project, FIPS for Ubuntu);
• Рекомендации регулирующих органов и отрасли;
• Собственные наработки и решения.

• Изменить пароли по умолчанию.
• Настроить SSH 
• Настроить сложность паролей
• Настроить смену (жизненный цикл) паролей 
• Настроить политику аутентификации
• Отключить или удалить ненужные учетные записи пользователей
• Отключить или ограничить ненужные службы, порты и протоколы
• Удалить ненужное программное обеспечение
• При необходимости ограничить физические порты
• Настроить баннеры при входе

• Подключение хоста к корпоративной системе мониторинга
• Настройка передачи логов на централизованный сервер (nxlog, SEM / SIEM) 
• Конфигурация NTP и часового пояса

• Каждый из этапов процесса (определение требований, первичная настройка, ввод в эксплуатацию новых хостов, контроль соответствия) может быть описан отдельной защитной мерой.
• Описать принятый в компании перечень требований к безопасности конфигурации.
• Если для приведения в соответствие и/или контроля конфигураций используется ПО - зарегистрировать его в реестре активов и привязать к мере как инструмент
• Если ведется учет (реестр) скриптов - привязать использующиеся скрипты как инструмент 
• Добавить шаблон регулярной задачи по проверке конфигураций.
• Добавить шаблон регулярной задачи на пересмотр/актуализацию набора требований безопасности

• Создать шаблон регулярной задачи на проведение киберучений.
• В результатах выполненных задач или в заметках к мере вести учет принятых корректирущих действий по результатам киберучений.

1. Оценивание / Risk Assessment
   1. Идентификация / Risk Identification
      Результат: Реестр рисков
   2. Анализ / Risk Analysis
      Результат: оценка параметров рисков (ущерб, вероятность)
   3. Оценка / Risk Evaluation
      Результат: рассчет величины для каждого риска, соотнесение рисков с допустимым уровнем
2. Обработка / Risk Treatment
   Результат: План обработки рисков

• На бумаге;
• В таблицах (Excel);
• В SECURITM
  Подробнее в Документации

• область оценки рисков (активы или типы активов, для которых оцениваются риски);
• ценность (приоритет) активов (типов активов), для которых проводится оценка рисков;
• периодичность оценивания (ежегодно, ежеквартально, непрерывно/динамически); 
• методика оценки, включая:
  • формулы расчета величины риска;
  • критерии для оценки рисков;
  • критерии принятия рисков ( = критерии приемлемости риска);
  • риск-аппетит ( = уровень допустимого риска, допустимый остаточный риск);
• ответственные и роли в процессе;
• владельцы рисков;

• Реестр рисков, в т.ч.: 
  • реестр недопустимых рисков;
  • реестр принятых рисков;
• План обработки рисков
  • включает перечень влияющих на риски защитных мер ( = средств управления, контролей).

• Создать шаблон регулярной задачи по актуализации реестра рисков, переоценке рисков, проверке полноты и исполнения плана обработки рисков.

• Очные или дистанционные курсы;
• Разовые встречи или вебинары;
• Непрерывное (регулярное) обучение;
• Платформы для обучения (например, Kaspersky Automated Security Awareness Platform).

• Только технический персонал, пользователей с привилегированными правами в информационных системах;
• Работников допущенных к конфиденциальной информации и в ключевые системы компании;
• Всех работников.

• Описать в карточке кого из работников обучают, с какой периодичностью, каким образом;
• Если разработаны отдельные документы (программа, план обучения) - привести на них ссылки;
• Добавить шаблон регулярной задачи по проведению обучения.

• Описать политику установки обновлений (объем устанавливаемых обновлений, режим/процедуру установки) 
• Добавить WSUS сервер(ы) в реестр активов (тип - WSUS) и связать с карточкой как инструменты.
• Описать политики (GPO) обновлений. Если GPO ведутся в реестре активов - связать с карточкой меры как инструменты.
• Добавить шаблон регулярной задачи на контроль работоспособности WSUS

• Технологические, производственные сети
• Банковские системы
• Инфраструктуру SWIFT
• ПК руководства
• Ключевые бизнес-системы
• Системы персональных данных

• Логический, с помощью технологий VLAN на сетевом оборудовании
• Логический, на уровне управления виртуальной инфраструктурой
• Физический, путем создания отдельных ЛВС для ключевых сегментов

• Указать перечень сегментов и их назначение 
• Пояснить способы/технологии сегментации
• Описать как настроено ограничение доступа (ACL)
• Если сети учитываются в реестре активов - привязать их к карточке в качестве инструментов (тип актива Локальная сеть).

1. Через аккаунт юридического лица запросить отечественный TLS сертификат на портале государственных услуг https://gosuslugi.ru/tls  
2. Подготовить инструкцию замены в случае отзыва иностранного сертификата.
3. Организовать резервный http-редирект с инструкцией для пользователей.

1. Установить пользователям браузер Яндекс или Атом.
2. Вручную скачать и установить корневой сертификат удостоверяющего центра портала государственных услуг https://gosuslugi.ru/tls. В соответствии с инструкцией добавить сертификат в браузер (Chrome, Firefox).

• Указать перечень публичных сервисов для которых выпущены сертификаты
• Создать шаблон ежегодной задачи на перевыпуск сертификатов
• Если ведется учет электронных подписей (полученных сертификатов) -  вести его в разделе Электронная подпись

• Бумажные реестры
• Электронные таблицы (excel)
• CMDB/ITAM системы
• Сервис SECURITM (модуль Активы)

• Написать регламент учета активов и разместить его прямо в карточке или как ссылку на внешний документ 
• Указать перечень учитываемых типов активов

# ukraine
"~*cyber\-yuzh\.com" 1;
"~*ukraine\.is\-great\.org" 1;
"~*stop\-russia\.rf\.gd" 1;
"~*stop\-russia\.synergize\.co" 1;
"~*fuck\-desinformation\.netlify\.app" 1;
"~*stop\-\-russian\-\-desinformation\-near\-page\.translate\.goog" 1;
"~*stop\-russian\-desinformation\.near\.page" 1;
"~*stop\-russia\.great\-site\.net" 1;
"~*the\-list\.ams3\.cdn\.digitaloceanspaces\.com" 1;
"~*slavaukraini\.000webhostapp\.com" 1;
"~*the\-list\.ams3\.cdn\.digitaloceanspaces\.com" 1;
"~*stop\-russian\-desinformation\.near\.page" 1;
"~*fly\.freecluster\.eu" 1;
"~*ovh1\.vanagas\.tech" 1;
"~*freeanon\.xyz" 1;
"~*mwl\.vdl\.pl" 1;
"~*norussian\.tk" 1;
"~*dstat\.sorryy\.me" 1;
"~*jebacruskich\.page" 1;
"~*81g6bk\.csb\.app" 1;
"~*vug\.pl" 1;
"~*kaszaniok\.github\.io" 1;
"~*dildouslugi\.ga" 1;

http {
    include referral-spam.conf;
}

server {
    if ($bad_referer) {
        return 444;
    }
}

• Создать шаблон регулярной задачи на актуализацию черного списка рефереров 

 Vstack Director IP address: 0.0.0.0
 *** Following configurations will be effective only on director ***
Vstack default management vlan: 1
Vstack start-up management vlan: 1
Vstack management Vlans: none
Join Window Details:
Window: Open (default)
Operation Mode: auto (default)
Vstack Backup Details:
Mode: On (default)
Repository:

• Заходим в конфигурацию "conf t"
• Вводим команду "no vstack"
• Проверяем "show vstack config"

ip access-list extended SMI_HARDENING_LIST
deny tcp any any eq 4786
permit ip any any
exit

ip access-group SMI_HARDENING_LIST in
exit

#show license status

Registration:
Status: REGISTERED
Smart Account: XXXXX
Virtual Account: DEFAULT
Export-Controlled Functionality: NOT ALLOWED
Initial Registration: SUCCEEDED on Nov 13 09:12:34 NNNN MSK
Last Renewal Attempt: SUCCEEDED on Nov 02 09:15:07 NNNN MSK
Next Renewal Attempt: May 01 09:15:05 NNNN MSK
Registration Expires: Nov 02 09:10:04 NNNN MSK
License Authorization:
Status: OUT OF COMPLIANCE on Nov 13 09:12:45 NNNN MSK
Last Communication Attempt: PENDING on Mar 04 15:58:19 2022 MSK
Failure reason: Waiting for reply
Next Communication Attempt: Mar 04 16:14:04 2022 MSK
Communication Deadline: May 06 01:36:48 2022 MSK
 

#show call-home
Current call home settings:
call home feature : enable              <- включен call-home
call home message's from address: Not yet set up
call home message's reply-to address: Not yet set up
 
vrf for call-home messages: Not yet set up
contact person's email address: NNNN
contact person's phone number: Not yet set up
street address: Not yet set up
customer ID: Not yet set up
contract ID: Not yet set up
site ID: Not yet set up
 
source ip address: Not yet set up
source interface: Not yet set up
Mail-server: XXXXXXXXXXXXXXXXXXX
http proxy: XXXXXXXXXXXXXXXXXX
http secure:
server identity check: enabled
http resolve-hostname: default

Smart licensing messages: enabled
Profile: CiscoTAC-1 (status: ACTIVE)

#show run | beg ^call-home
call-home
contact-email-addr cisco_support@rt.ru
profile "CiscoTAC-1"
active
destination transport-method http
no destination transport-method email

conf t
call-home
http-proxy "127.0.0.10" port 8128
profile "CiscoTAC-1"
destination transport-method http
no destination transport-method email
end
wr mem