Mit tartalmaz a szerverüzemeltetés? Ellenőrzőlista cégeknek

A szerverüzemeltetés folyamatos munka, nem egyszeri beállítás. Hét területet érdemes számon kérni: a frissítéseket és a biztonsági javításokat, a mentést és a visszaállítási próbát, a felügyeletet, a hibaelhárítást, a hozzáférés-kezelést, a naplózást és a dokumentációt.

A lista az ENISA kkv-útmutatójára, uniós jogszabályokra és nemzetközi biztonsági keretrendszerekre épül. A végén kérdéseket is találsz, amelyeket az üzemeltetődnek érdemes feltenni.

Frissítés és biztonsági javítás

A NIST SP 800-40 Rev. 4 útmutató a javításkezelést a megelőző karbantartás kritikus elemének és az üzletvitel szükséges költségének tekinti. Öt lépésből áll: a javítások azonosítása, rangsorolása, beszerzése, telepítése és a telepítés ellenőrzése.

Az ENISA kkv-útmutatója rendszeres frissítést kér minden szoftverre, és ahol lehet, automatikus frissítést. Azokat a szoftvereket és hardvereket is be kell azonosítani, amelyek kézi frissítést igényelnek.

Ellenőrizd: van-e lista a szerveren futó szoftverekről, ki dönti el, melyik javítás mikor kerül fel, és ellenőrzi-e valaki utólag, hogy a telepítés sikerült.

Mentés és visszaállítási próba

Az ENISA négy szabályt ad a mentésre. Legyen rendszeres és lehetőleg automatizált, a termelési környezettől elkülönítve tárolva, titkosítva, főleg ha helyszínek között mozog. A visszaállítás képességét rendszeresen tesztelni kell, ideális esetben a teljes visszaállítást az elejétől a végéig.

A brit NCSC ugyanezt kéri: tudd, hogyan állítod vissza a mentést, és ellenőrizd, hogy minden fontos adat benne van.

Ha a szerver személyes adatot kezel, a GDPR 32. cikke a megfelelő intézkedések között említi, hogy incidens után az adatok kellő időben visszaállíthatók legyenek. Ugyanitt említi az intézkedések hatékonyságának rendszeres tesztelésére szolgáló eljárást.

Felügyelet

Az ENISA azt javasolja, hogy mérlegeld az olyan eszközöket, amelyek a rendszert nyomon követik, és gyanús tevékenység vagy a biztonság megsértése esetén riasztanak. A távoli hozzáférésnél külön kéri a felügyelet és a riasztás bekapcsolását.

Ellenőrizd: mit figyel pontosan a felügyelet, ki kapja a riasztást, és mi történik munkaidőn kívül vagy hétvégén.

Hibaelhárítás és incidenskezelés

Az ENISA hivatalos, dokumentált incidenskezelési tervet ajánl, világos útmutatással, feladatokkal és felelősségi körökkel, hogy minden biztonsági incidensre időben és szakszerűen reagáljanak.

A CIS Controls 17. kontrollja ugyanezt programként írja le: szabályzatok, tervek, eljárások, kijelölt szerepek, képzés és kommunikáció a gyors reagáláshoz.

Ellenőrizd: le van-e írva, ki mit csinál leállásnál, kit kell értesíteni, és mikor kell a mentésből visszaállítani.

Hozzáférés-kezelés

A CIS Controls 6. kontrollja szerint a hozzáféréseket létre kell hozni, ki kell osztani, kezelni kell és vissza kell vonni, a felhasználói, a rendszergazdai és a szolgáltatásfiókoknál egyaránt.

Az ENISA egyedi, meg nem osztott jelszót, jelszókezelőt és többlépcsős hitelesítést kér. A távoli hozzáférést csak a munkához szükséges rendszerekre engedné, és korlátozná a gyanús földrajzi helyekről vagy bizonyos IP-címekről érkező belépést.

Ellenőrizd: van-e közösen használt rendszergazdai fiók, és mennyi idő alatt szűnik meg egy kilépő munkatárs vagy volt beszállító hozzáférése.

Naplózás

A CIS Controls 8. kontrollja azt kéri, hogy gyűjtsd, figyeld riasztással, nézd át és őrizd meg azokat a naplókat, amelyek segíthetnek egy támadás felismerésében, megértésében vagy az utána következő helyreállításban.

A NIST SP 800-92 Rev. 1 tervezete szerint a naplókezelés a naplóadat létrehozása, továbbítása, tárolása, elérése és megsemmisítése. Ez az incidensek kivizsgálását, a hibaelhárítást és a megőrzési kötelezettségek teljesítését is szolgálja.

Ellenőrizd: mely naplók készülnek, meddig őrzik őket, és nézi-e valaki rendszeresen.

Dokumentáció

A CIS Controls 1. kontrollja nyilvántartást kér minden eszközről, a felhőben futókról is, hogy pontosan tudd, mit kell felügyelni és védeni.

A jó dokumentáció attól hasznos, hogy más is el tud indulni belőle. Ha az üzemeltető holnap kiesik, valakinek a leírásból kell tudnia folytatni.

Ellenőrizd: megvan-e az eszközlista, a hozzáférések listája, a mentési rend és a visszaállítás lépései, és mikor frissültek utoljára.

Kinek kötelező mindez?

A NIS2 irányelv 21. cikke szerint a tagállamoknak kell biztosítaniuk, hogy az alapvető és fontos szervezetek kockázatkezelési intézkedéseket hozzanak, a cégekre tehát a nemzeti átültető jogszabály vonatkozik. Ezek között szerepel az eseménykezelés, a tartalékrendszerek kezelése és a katasztrófa utáni helyreállítás, a sérülékenységek kezelése, a hozzáférés-ellenőrzés és adott esetben a többtényezős hitelesítés.

Ha a céged nem tartozik ezek közé, a lista akkor is jó mérce.

Ha az üzemeltető adatfeldolgozóként kezel személyes adatot a céged nevében, a GDPR 28. cikke szerint szerződésnek kell rögzítenie, hogy meghozza a 32. cikkben előírt biztonsági intézkedéseket.

Kérdések az üzemeltetődnek

1. Hogyan és milyen ütemben kerülnek fel a biztonsági javítások, és ki ellenőrzi a telepítést?
2. Hol van a mentés, elkülönítve és titkosítva? Mikor volt az utolsó visszaállítási próba, és mi lett az eredménye?
3. Mit figyel a felügyelet, és ki kapja a riasztást munkaidőn kívül?
4. Van dokumentált incidenskezelési terv, kijelölt felelősökkel?
5. Ki fér hozzá a szerverhez, van-e többlépcsős hitelesítés, és hogyan vontok vissza egy hozzáférést?
6. Mely naplókat őrzitek, meddig, és ki nézi át őket?
7. Megkapjuk-e a dokumentációt, és átadható-e belőle a rendszer másik üzemeltetőnek?
8. Személyes adatnál: van-e a GDPR 28. cikke szerinti adatfeldolgozói szerződés?

Hogyan tovább

Ha még az a kérdés, hogy saját szerveren vagy felhőben fusson a rendszer, erről az on-premise és felhő összevetéséről szóló cikkünkben írtunk.

Ha üzemeltetőt keresel, nézd meg a szerverüzemeltetés oldalunkat.

Források

• ENISA: Kiberbiztonsági útmutató kkv-k számára, 12 lépés a vállalkozás biztonságossá tételéhez (PDF)
• NIST SP 800-40 Rev. 4: Guide to Enterprise Patch Management Planning (2022. április)
• NCSC: Small organisations guide to cyber security, Backing up your data
• (EU) 2016/679 rendelet (GDPR), 28. és 32. cikk
• (EU) 2022/2555 irányelv (NIS2), 21. cikk
• CIS Critical Security Controls: a 18 kontroll listája (1., 6., 8., 17. kontroll)
• CIS Control 8: Audit Log Management
• NIST SP 800-92 Rev. 1: Cybersecurity Log Management Planning Guide (nyilvános tervezet, 2023. október)