Security Center:FAQ about system baseline risks

Qual edição do Security Center devo comprar para usar o recurso de riscos de linha de base do sistema?

• Adquira a edição Advanced, Enterprise ou Ultimate do Security Center (compre a assinatura da edição Advanced, Enterprise ou Ultimate, ou ative a segurança de hosts e contêineres no modelo de pagamento conforme o uso e vincule a edição à Advanced, Enterprise ou Ultimate) para obter o recurso de verificação de riscos de linha de base sem custo adicional.

  As edições Advanced, Enterprise e Ultimate suportam diferentes itens de verificação de linha de base:

  • Edição Advanced: permite o uso apenas da política padrão e suporta somente itens de verificação de senhas fracas.

  • Edição Enterprise e edição Ultimate: permitem o uso de todas as políticas de verificação. A edição Enterprise não suporta itens de verificação de segurança de contêineres, enquanto a edição Ultimate suporta todos os itens de verificação de linha de base. A correção com um clique está disponível para itens de verificação relacionados aos padrões de linha de base da Alibaba Cloud e do Multi-Level Protection Scheme (MLPS) em sistemas Linux.

• Se você usa a edição Anti-virus ou comprou apenas service de valor agregado, adquira a versão paga do Cloud Security Posture Management (CSPM). Após a compra, você obterá o recurso de verificação de riscos de linha de base e acesso a todos os itens de verificação.

Para mais informações, consulte Ative the baseline risk check feature.

O que fazer se a verificação da linha de base falhar?

Se o recurso de riscos de linha de base do sistema do Security Center falhar ao verificar itens de risco corrigidos, o agente do Security Center no seu servidor pode estar offline.

Se o agente do Security Center no seu servidor estiver offline, a verificação de riscos de linha de base do sistema do Security Center não será executada. Solucione o problema do agente offline para garantir que o agente do Security Center no seu servidor esteja online. Para mais informações sobre como solucionar problemas de agentes offline, consulte Troubleshoot offline agents.

Quais são as diferenças entre linhas de base e vulnerabilidades?

• Uma linha de base é a descrição detalhada de como configurar e gerenciar um sistema, ou seja, seus requisitos mínimos de segurança. As linhas de base incluem configurações de service e aplicativos, configurações de componentes do sistema operacional, atribuições de permissões e regras de gerenciamento. O recurso de riscos de linha de base do sistema do Security Center detecta configurações inseguras em sistemas operacionais e service (como bancos de dados, softwares de servidor e contêineres). Isso inclui senhas fracas, permissões de conta, autenticação de identidade, políticas de senha, controle de acesso, auditoria de segurança e prevenção de intrusões. Além disso, fornece sugestões de hardening para os riscos detectados. Para mais informações sobre os itens de verificação específicos, consulte Baseline check content.

• Uma vulnerabilidade é uma falha na implementação de um sistema operacional ou em políticas de segurança, como um defeito de design lógico ou um erro de codificação no sistema operacional ou no software de aplicativo. Atacantes podem explorar essas falhas ou erros para acessar e roubar dados do sistema ou danificar sistemas sem autorização. Os administradores de sistema devem tratar e corrigir as vulnerabilidades do sistema rapidamente. Caso contrário, podem ocorrer riscos graves de segurança. Para mais informações, consulte Vulnerability management.

Por que o item de verificação "Perform identity identification and authentication for users who log on to the system. Identity identification must be unique, and identity authentication information must meet complexity requirements and be changed on a regular basis | Identity authentication" ainda falha após a correção e a verificação com um clique?

Causa: Ao executar a correção com um clique nos ativos de destino, dois subitens que correspondem a cenários reais de aplicação não são selecionados como itens de correção. Após a entrega da tarefa de correção com um clique, esses dois subitens não são corrigidos e o item de verificação continua falhando.

Os dois subitens não selecionados são Set password expiration to 30 to 90 days (valor: 90) e Set root password expiration to 30 to 90 days (valor: 60). Confirme se os subitens não estão selecionados no painel Fix Method à direita.

Solução: Se os ativos utilizam apenas métodos de logon sem senha, não há suporte para o recurso de correção com um clique do Security Center. Após garantir a correção dos outros itens de configuração, corrija este item de verificação configurando uma política de lista de permissões para o item nos ativos.

Na área Risk Handling na parte inferior da página de detalhes do item de verificação, localize o ativo de destino cujo status é Not Passed e clique em Add to Allowlist na coluna Actions.

Por que o item de verificação "Assign accounts and permissions to users who log on to the system" falha?

• Descrição do problema: O Status do item de verificação "Assign accounts and permissions to users who log on to the system" é Not Passed.

  As Fixing Suggestions para este item de verificação contêm os três itens a seguir:

  1. Atribua três usuários: um usuário comum, um auditor e um oficial de segurança.

  2. Verifique se o valor umask em /etc/bashrc e /etc/profile é 027 e execute source /etc/profile para aplicar a configuração.

  3. Certifique-se de que as permissões no diretório home de cada usuário estejam definidas como 750 ou mais restritivas.

  Verifique as configurações do host (permissões do diretório home, número de usuários e valor umask) mostradas a seguir. As configurações do servidor parecem atender às sugestões de correção do item de verificação "Assign accounts and permissions to users who log on to the system".

  $ ll /home
  total 24
  drwxr-xr-x  6 root       root           4096 Jan 12  2024 ./
  drwxr-xr-x 20 root       root           4096 Apr 26 12:53 ../
  drwxr-x--- 11 xxx        xxx            4096 Sep 11 12:25 xxx/
  drwxr-x---  2       1002        1002 4096 Oct 25  2023 xxx2/
  drwxr-x---  2       1002        1002 4096 Jan 12  2024 xxx
  drwxr-x---  4 xxx xxx 4096 Mar 26  2024 xxx/

  # /etc/profile: system-wide .profile file for the Bourne shell (sh(1))
  # and Bourne compatible shells (bash(1), ksh(1), ash(1), ...).
  
  if [ "${PS1-}" ]; then
    if [ "${BASH-}" ] && [ "$BASH" != "/bin/sh" ]; then
      # The file bash.bashrc already sets the default PS1.
      # PS1='\h:\w\$ '
      if [ -f /etc/bash.bashrc ]; then
        . /etc/bash.bashrc
      fi
    else
      if [ "$(id -u)" -eq 0 ]; then
        PS1='# '
      else
        PS1='$ '
      fi
    fi
  fi
  
  if [ -d /etc/profile.d ]; then
    for i in /etc/profile.d/*.sh; do
      if [ -r $i ]; then
        . $i
      fi
    done
    unset i
  fi
  
  umask 027
  TMOUT=900

• Solução: Execute os comandos a seguir para confirmar o valor umask e o número de contas, além da conta de administrador do sistema, detectadas pela verificação de riscos de linha de base.

  grep umask /etc/bashrc |grep -v '#'|awk -F ' ' '{print $2}'|sort -r|head -1
  grep umask /etc/profile |grep -v '#'|awk -F ' ' '{print $2}'|sort -r|head -1
  
  cat /etc/passwd | egrep -v '(root|halt|sync|shutdown)' | awk -F: '($7!="/bin/false"&&$7!="/sbin/nologin"&&$7!="/usr/sbin/nologin"&&$6!="/var/lib/libuuid"&&$6!="") { print $6 }' |wc -l

  A saída a seguir mostra que a verificação de riscos de linha de base detecta duas contas além da conta de administrador do sistema, o que não atende às sugestões de correção do item de verificação.

  xxx:~$ umask
  0027
  xxx:~$ grep umask /etc/bashrc |grep -v '#'|awk -F ' ' '{print $2}'|sort -r|head -1
  grep: /etc/bashrc: No such file or directory
  xxx:~$ grep umask /etc/profile |grep -v '#'|awk -F ' ' '{print $2}'|sort -r|head -1
  0027
  xxx:~$ cat /etc/passwd | egrep -v '(root|halt|sync|shutdown)' | awk -F: '($7!="/bin/false"&&$7!="/sbin/nologin"&&$7!="/usr/sbin/nologin"&&$6!="/var/lib/libuuid"&&$6!="") { print $6 }' |wc -l
  2

  Intervalos de conformidade da verificação de linha de base:

  • Intervalo de conformidade para umask: 27 a 67 (Execute o comando grep umask /etc/bashrc ou grep umask /etc/profile anterior para obter o valor atual.)

  • Intervalo de conformidade para quantidade de contas: 3 a 100 (excluindo a conta de administrador do sistema. Execute o comando cat /etc/passwd anterior para obter o valor atual.)

  A verificação da quantidade de contas exclui contas do sistema, como root, halt, sync e shutdown, bem como contas sem logon cujo shell é /bin/false ou /sbin/nologin. Se o número de contas obtido após a exclusão das contas anteriores estiver dentro do intervalo de conformidade, o item de verificação atenderá aos requisitos.

  Adicione um usuário que não tenha permissões de administrador do sistema no servidor com base nas sugestões de correção e, em seguida, verifique o item de verificação no Security Center novamente.

Por que o erro "illegal auth" aparece ao criar uma política de verificação de linha de base?

A tabela a seguir descreve as possíveis causas e soluções.

[Conformidade com MLPS] A mensagem "Unneeded system services, default sharing, and high-risk ports must be disabled" aparece na verificação de linha de base de conformidade do Windows para MLPS Nível 2

• Descrição do problema: Após alguns usuários bloquearem portas específicas configurando firewalls ou grupos de segurança, a mensagem "Unneeded system services, default sharing, and high-risk ports must be disabled" aparece na verificação de linha de base de conformidade do Windows para MLPS Nível 2.

• Causa: Os service correspondentes às portas especificadas não foram interrompidos. Como resultado, a tarefa de verificação de riscos de linha de base ainda detecta essas portas e os service.

• Solução: Faça logon na sua instância de servidor e interrompa os service nas portas a seguir. As etapas a seguir usam o Windows 10 (64 bits) como exemplo.

  Desativar a porta 135

  1. Pressione Windows+R, insira dcomcnfg e clique em OK para abrir a caixa de diálogo Component Services.

  2. No painel de navegação à esquerda, clique em Component Services > Computers > My Computer, clique com o botão direito e, em seguida, clique em Properties.

  3. Na caixa de diálogo exibida, clique na guia Default Properties e desmarque a caixa de seleção Ative Distributed COM on this computer (E).

  4. Clique na guia Default Protocols, selecione Connection-oriented TCP/IP e clique em Remove.

  5. Clique em OK.

  Desativar as portas 136, 137 e 138

  1. Pressione Windows+S, insira Control Panel na caixa de pesquisa e clique em Control Panel.

  2. Na caixa de diálogo Control Panel, clique em Network and Internet.

  3. Clique em Network and Sharing Center e, em seguida, clique na rede conectada.

  4. Na caixa de diálogo exibida, clique em Properties.

  5. Na caixa de diálogo exibida, desmarque as caixas de seleção File and Printer Sharing for Microsoft Networks e Client for Microsoft Networks.

  6. Clique em OK e feche as caixas de diálogo abertas uma a uma.

  Desativar a porta 139

  1. Pressione Windows+S, insira Control Panel na caixa de pesquisa e clique em Control Panel.

  2. Na caixa de diálogo Control Panel, clique em Network and Internet.

  3. Clique em Network and Sharing Center e, em seguida, clique em Change adapter settings à esquerda.

  4. Na caixa de diálogo exibida, clique com o botão direito na rede em uso (por exemplo, Ethernet) e, em seguida, clique em Properties.

  5. Na caixa de diálogo exibida, clique duas vezes em Internet Protocol Version 4 (TCP/IPv4).

  6. Na caixa de diálogo exibida, clique em Advanced e acesse a guia WINS.

  7. Selecione Disable NetBIOS over TCP/IP e clique em OK.

  8. Clique em OK novamente em cada etapa e feche todas as caixas de diálogo.

  Desativar a porta 445

  1. Pressione Windows+R, insira regedit e clique em OK para abrir a caixa de diálogo Registry Editor.

  2. No painel de navegação à esquerda, clique em Computer > HKEY_LOCAL_MACHINE > SYSTEM > CurrentControlSet > Services > NetBT > Parameters e, em seguida, clique com o botão direito em Parameters.

  3. Clique em New > String Value, insira SMBDeviceEnabled no campo Value name e clique duas vezes no novo nome do valor.

  4. Na caixa de diálogo exibida, insira 0 no campo Value data, clique em OK e feche o Registry Editor.

  5. Pressione Windows+R, insira services.msc e acesse a caixa de diálogo Services.

  6. Localize e clique duas vezes no service server. Na caixa de diálogo exibida, defina Startup type como Disabled, defina Service status como Stopped, clique em Apply e feche a caixa de diálogo Services.

O que fazer se o item de risco de linha de base "Make sure that the Devices: Allowed to format and eject removable media policy is set to Administrators" falhar?