Cybersecurity Best Practices
CIS Controls and CIS Benchmarks are global industry best practices endorsed by leading IT security vendors and governing bodies.
CIS Controls : Secure Your Organization
IT security leaders use CIS Controls to quickly establish the protections providing the highest payoff in their organizations. They guide you through a series of 20 foundational and advanced cybersecurity actions, where the most common attacks can be eliminated.
CIS Benchmarks : Secure Your Systems & Platforms
Proven guidelines will enable you to safeguard operating systems, software and networks that are most vulnerable to cyber attacks. They are continuously verified by a volunteer IT community to combat evolving cybersecurity challenges.
Basic CIS Controls
1 Inventory and Control of Hardware Assets (บันทึกรายการและควบคุมทรัพย์สินที่เป็นฮาร์ดแวร์)
2 Inventory and Control of Software Assets (บันทึกรายการและควบคุมทรัพย์สินที่เป็นซอฟต์แวร์)
3 Continuous Vulnerability Management (จัดการกับช่องโหว่อย่างต่อเนื่อง)
4 Controlled Use of Administrative Privileges (ควบคุมการใช้สิทธิพิเศษในการบริหารระบบ)
5 Secure Configuration for Hardware and Software on Mobile Devices, Laptops, Workstations and Servers
(กำหนดค่าที่ปลอดภัยให้กับฮาร์ดแวร์และซอฟท์แวร์ บนอุปกรณ์พกพา แลปทอป เวิร์กสเตชั่น และเซิร์ฟเวอร์)
6 Maintenance, Monitoring and Analysis of Audit Logs (บำรุงรักษา เฝ้าสังเกต และวิเคราะห์ ข้อมูลล๊อกการใช้งานต่างๆ)
Foundational CIS Controls
7 Email and Web Browser Protections (ป้องกันอีเมล และเว็บเบราว์เซอร์)
8 Malware Defenses (ป้องกันมัลแวร์)
9 Limitation and Control of Network Ports, Protocols, and Services (จำกัดและควบคุม พอร์ต โปรโตคอล และบริการต่างๆ บนเครือข่าย)
10 Data Recovery Capabilities (ต้องกู้คืนข้อมูลกลับมาได้)
11 Secure Configuration for Network Devices, such as Firewalls, Routers, and Switches
(กำหนดค่าที่ปลอดภัยให้กับอุปกรณ์เครือข่ายต่างๆ เช่นไฟร์วอลล์ เราเตอร์ และสวิตช์)
12 Boundary Defense (ป้องกันเขตเครือข่าย)
13 Data Protection (ปกป้องข้อมูล)
14 Controlled Access Based on the Need to Know (ควบคุมให้เข้าถึงได้เฉพาะสิ่งจำเป็น)
15 Wireless Access Control (ควบคุมการเข้าถึงผ่านทางระบบไร้สาย)
16 Account Monitoring and Control (เฝ้าสังเกตและควบคุม บัญชีผู้ใช้)
Organizational CIS Controls
17 Implement a Security Awareness and Training Program (ดำเนินการฝึกอบรมสร้างความตระหนักรู้ด้านความปลอดภัย)
18 Application Software Security (จัดการความปลอดภัยของซอฟท์แวร์โปรแกรมประยุกต์)
19 Incident Response and Management (จัดการและตอบสนองต่อเหตุการณ์ที่ไม่ปลอดภัย)
20 Penetration Tests and Red Team Exercises (ทดสอบเจาะส่วนต่างๆ และฝึกซ้อมบุกรุกทั้งระบบ)
อยากรู้ว่า Windows 10 Firewall Inbound Rules เปิดหรือปิด SMBv1, SMBv2 หรือไม่
ทดสอบจากเครื่อง Linux ที่ตั้งอยู่ใน network เดียวกัน ทำ nmap ค้นหา SMB (TCP Port 445) ไปที่เครื่อง Windows IP 192.168.x.yy
ครั้งที่ 1
รายการ File and Printer Sharing (SMB-In) ใน Firewall Inbound Rules เมื่อตั้งค่า Enabled = No
ผลลัพธ์
$ nmap -A -T4 -Pn -p445 192.168.x.yy
Starting Nmap 7.01 ( https://nmap.org ) at 2017-05-15 13:52 ICT
Nmap scan report for 192.168.x.yy
Host is up.
PORT STATE SERVICE VERSION
445/tcp filtered microsoft-ds
Nmap done: 1 IP address (1 host up) scanned in 2.39 seconds
ครั้งที่ 2
รายการ File and Printer Sharing (SMB-In) ใน Firewall Inbound Rules เมื่อตั้งค่า Enabled = Yes
ผลลัพธ์
$ nmap -A -T4 -Pn -p445 192.168.x.yy
Starting Nmap 7.01 ( https://nmap.org ) at 2017-05-15 13:55 ICT
Nmap scan report for 192.168.x.yy
Host is up (0.00048s latency).
PORT STATE SERVICE VERSION
445/tcp open microsoft-ds Microsoft Windows 10 microsoft-ds
Service Info: OS: Windows 10; CPE: cpe:/o:microsoft:windows_10
Host script results:
| smb-security-mode:
| account_used: guest
| authentication_level: user
| challenge_response: supported
|_ message_signing: disabled (dangerous, but default)
|_smbv2-enabled: Server supports SMBv2 protocol
Nmap done: 1 IP address (1 host up) scanned in 47.82 seconds
ครั้งที่ 3
รายการ File and Printer Sharing (SMB-In) ใน Firewall Inbound Rules เมื่อตั้งค่า Enabled = Yes
และ
ได้ปิด SMBv1 ตามคำแนะนำ เรื่อง “วิธีปิด SMBv1 เพื่อป้องกันตัวเองจากมัลแวร์เรียกค่าไถ่ WannaCry (ทำเถอะ ไม่ถึง 5 นาที)” https://www.blognone.com/node/92410
ผลลัพธ์
$ nmap -A -T4 -Pn -p445 192.168.x.yy
Starting Nmap 7.01 ( https://nmap.org ) at 2017-05-15 13:55 ICT
Nmap scan report for 192.168.x.yy
Host is up (0.00051s latency).
PORT STATE SERVICE VERSION
445/tcp open microsoft-ds?
Host script results:
|_smbv2-enabled: Server supports SMBv2 protocol
Nmap done: 1 IP address (1 host up) scanned in 47.87 seconds
จากผลลัพธ์ในครั้งที่ 3 จะมีเพียง SMBv2
สรุปว่า รายการ File and Printer Sharing (SMB-In) ใน Windows 10 Firewall Inbound Rules นั้นหากตรวจดูพบว่าคอลัมน์ Enabled มีค่า No ก็คือ ไม่ได้อนุญาตการเข้าถึง
