Avaliação de configuração da infraestrutura
Como o Infrastructure Defense verifica a configuração de segurança de cada host contra controles alinhados aos benchmarks CIS, e como ajustar perfis, limites e exceções.
O Infrastructure Defense avalia a configuração de segurança que cada Sentinel Host reporta contra um catálogo de mais de 60 controles alinhados às seções dos benchmarks CIS. Cada host recebe um percentual de conformidade, cada controle é mapeado ao requisito do PCI DSS que ele apoia, e as configurações incorretas abertas, críticas e altas, alimentam o Viking Exposure Score. Esta página mostra o que é verificado e como ajustar.
O que é verificado
| Plataforma | Controles |
|---|---|
| Windows | Proteção de credenciais e movimento lateral: SMBv1, Network Level Authentication do Remote Desktop, proteção da LSA, WDigest, LAPS, LLMNR, assinatura SMB, nível de NTLM, UAC, WinRM, a política de auditoria avançada e o Microsoft Defender |
| Linux | Hardening de kernel e de acesso: SELinux ou AppArmor, ASLR, parâmetros de rede do kernel, auditd, logs persistentes, sincronização de horário, a configuração efetiva do sshd, sudo, contas locais, permissões de arquivos do sistema e assinaturas de repositórios |
| macOS | O login, a conta root, o modo furtivo (stealth mode) e as atualizações de dados de segurança |
| Postura da plataforma | Criptografia de disco, estado do Secure Boot e do TPM no Windows; System Integrity Protection, Gatekeeper e registro em MDM no macOS |
Cada controle registra o valor esperado ao lado do que o host reportou, de modo que uma falha se explica sozinha. O agente reporta apenas fatos: um fato que um agente mais antigo não reporta conta como não aplicável, e não como falha.
Perfis e limites
Cada política de host seleciona o perfil ao qual os seus hosts são submetidos: a baseline WASViking, ou o CIS Level 1 com limites mais rígidos e os controles adicionais do Level 1. Limites como tamanho de senha, bloqueio por inatividade e bloqueio de conta podem ser ajustados por política, e verificações individuais podem ser desligadas.
Dois limites seguem as unidades da plataforma com que são comparados. O bloqueio por inatividade é definido em segundos, a unidade da política de máquina do Windows (900 são 15 minutos). O controle de bloqueio de conta também pede que a conta bloqueada fique assim por 15 minutos ou mais; um bloqueio que só termina quando um administrador desbloqueia a conta é aprovado.
Exceções
Um aprovador pode aceitar o risco de um controle em falha por um motivo declarado até uma data. O controle então conta como aprovado com exceção, permanece visível como risco aceito e volta à lista de abertos quando a exceção expira. Riscos aceitos não somam ao Viking Exposure Score.
Ações de hardening
Alguns achados trazem uma ação de hardening que uma pessoa com a permissão Remediate pode enviar ao host: desativar o SMBv1, exigir Network Level Authentication, desligar o LLMNR e aplicar o hardening de rede do kernel. O agente aplica a mudança documentada e reporta um inventário novo, e o achado fecha com base nessa evidência. Para outras mudanças, como um valor de registro, o estado de um serviço ou um script aprovado, veja Mitigar um achado sem patch.
Onde ver os resultados
A tela Avaliação de configuração é o lugar para tratar os achados da detecção até a correção comprovada. Um fluxo de remediação no topo conta o que foi identificado, o que está na fila do agente, o que foi aplicado e aguarda validação e o que foi corrigido nos últimos 30 dias; cada número, e cada cartão abaixo dele (severidades, hosts afetados, riscos aceitos, correções com falha, hosts com inventário atrasado), é um filtro. A lista pode ser refinada por busca, severidade, host, sistema operacional, categoria, etapa da correção, tipo de correção, controle CIS, requisito PCI e período de detecção, em páginas, e exportada em CSV com os mesmos filtros. Abrir um achado mostra um painel com a configuração esperada e a informada lado a lado, a evidência, a recomendação, a etapa da correção e o histórico, e as ações: aplicar a correção do agente (com confirmação antes), agendar uma mitigação ou aceitar o risco com motivo e data de término. Uma correção que o agente aplicou não fecha o achado; só um inventário posterior que comprove o controle fecha. Uma visão por host compara a exposição de cada máquina e leva aos achados dela.
A tela Infrastructure Compliance, aberta a partir do percentual de conformidade na Overview ou em um ativo, lista todo host avaliado contra todo controle. Cada host tem a sua própria visão com o valor esperado e o que o host reportou em cada controle, e a exportação CSV traz a matriz completa de hosts por controle. O relatório em PDF do Infrastructure Defense inclui a conformidade por host.
Como afeta a pontuação
Configurações incorretas abertas, críticas e altas, adicionam um fator limitado ao Viking Exposure Score, para que a postura não supere um backlog real de vulnerabilidades. Os demais fatores estão em Viking Exposure Score.