8.18 Używanie uprzywilejowanych programów narzędziowych
W skrócie: narzędzia, które mogą obejść zabezpieczenia systemu, są dostępne tylko dla nielicznych, na określony czas i pod nadzorem.
Cel: zapewnienie, że użycie programów narzędziowych nie podważa zabezpieczeń systemów i aplikacji.
Atrybuty
| Typ atrybutu | Wartości |
|---|---|
| Typ zabezpieczenia | #Preventive (prewencyjne) |
| Właściwości bezpieczeństwa informacji | #Confidentiality (poufność), #Integrity (integralność), #Availability (dostępność) |
| Koncepcje cyberbezpieczeństwa | #Protect (ochrona) |
| Zdolności operacyjne | #System_and_network_security (bezpieczeństwo systemów i sieci), #Application_security (bezpieczeństwo aplikacji), #Secure_configuration (bezpieczna konfiguracja) |
| Domeny bezpieczeństwa | #Protection (ochrona) |
Znaczenie atrybutów opisuje 4.2 Tematy i atrybuty.
Wytyczne
- Użycie programów narzędziowych zdolnych obejść zabezpieczenia ogranicza się do minimalnej liczby zaufanych, upoważnionych użytkowników.
- Stosuje się procedury identyfikacji, uwierzytelniania i autoryzacji dla takich narzędzi, w tym unikalną identyfikację osoby, która ich używa.
- Narzędzia oddziela się od oprogramowania aplikacyjnego. Gdy narzędzie jest potrzebne, udostępnia się je na czas zadania.
- Ogranicza się dostępność narzędzi, np. na czas autoryzowanej zmiany.
- Rejestruje się każde użycie programów narzędziowych.
- Określa się i dokumentuje poziomy autoryzacji. Usuwa się lub wyłącza zbędne narzędzia.
- Nie udostępnia się narzędzi użytkownikom, którzy mają dostęp do aplikacji w systemach wymagających rozdzielenia obowiązków.
W praktyce
Przykłady i narzędzia poniżej to praktyka branżowa, nie treść normy.
- Lista narzędzi o podwyższonym ryzyku (np. edytory rejestru, debuggery, narzędzia do zrzutu pamięci, PsExec) blokowana dla zwykłych użytkowników przez kontrolę aplikacji.
- Narzędzia administracyjne tylko na stanowiskach uprzywilejowanych (PAW), nie na zwykłych stacjach.
- Detekcja w EDR technik „living off the land” — napastnicy używają właśnie wbudowanych narzędzi systemowych.
Powiązania
- ISO/IEC 27001:2022: Załącznik A, A.8.18 — wykaz zabezpieczeń technologicznych.
- Pokrewne zabezpieczenia: 8.2 Uprawnienia uprzywilejowane, 8.15 Rejestrowanie zdarzeń, 8.19 Instalowanie oprogramowania w systemach eksploatowanych, 5.3 Rozdzielenie obowiązków.
- ISO/IEC 27002:2013: 9.4.4.