Notities uit de praktijk
CIS hardening met Ansible: werkbaar houden
Een passende benchmark, testen en vastgelegde uitzonderingen kunnen helpen om systemen te hardenen en de impact op applicaties te beheersen.
Een CIS Benchmark biedt aanbevelingen voor veilige configuratie. Welke aanbevelingen van toepassing zijn, hangt af van de benchmarkversie, het gekozen profiel en de omgeving. Een aanbeveling kan invloed hebben op applicaties of beheerprocessen.
Kies de benchmark en toets de impact
Leg eerst besturingssysteem, benchmarkversie en profiel vast. Een vast aantal controls zegt zonder die context weinig. CIS adviseert om aanbevelingen eerst in een testomgeving toe te passen, ongeacht het profiel.
Controleer bijvoorbeeld aanmelding, service-start, netwerkverkeer, bestandstoegang en logging. Ook wijzigingen aan SSH, auditinstellingen en standaardrechten vragen om een impactbeoordeling.
Maak uitzonderingen controleerbaar
Leg bij een afwijking vast welke aanbeveling het betreft, waarom deze niet volledig kan worden toegepast, wie het risico beoordeelt en wanneer de uitzondering opnieuw wordt bekeken. Onderbouw eventuele aanvullende maatregelen met tests.
Een aanwezige beveiligingsfunctie zoals SELinux bewijst op zichzelf niet dat een andere maatregel veilig kan vervallen. Gebruik control-ID’s uit de daadwerkelijk gekozen benchmark.
Controleer herhaalbaarheid én functionaliteit
Voer de automatisering opnieuw uit onder dezelfde omstandigheden en onderzoek onverwachte changed-meldingen. Een wijzigingsmelding is aanleiding voor onderzoek, niet automatisch bewijs van een fout. Sommige taken hebben bewust een tijdelijk of steeds veranderend resultaat.
Controleer daarnaast de beveiligingsinstellingen en applicatiefuncties. Idempotentie alleen bewijst niet dat het systeem veilig is of dat de applicatie correct werkt.
Wat dit kan opleveren
Een geteste hardeningaanpak kan configuratierisico’s verminderen en de inrichting consistenter maken. Vastgelegde uitzonderingen kunnen beheer en controle ondersteunen. Gefaseerd testen en uitrollen kan de kans op verstoringen verkleinen.
Een concrete risicoreductie of beschikbaarheidsverbetering moet worden aangetoond met een passende nulmeting en vervolgmetingen. Een benchmarkscore is niet hetzelfde als het aantal softwarekwetsbaarheden. Deze aanpak biedt geen garantie op uitrol zonder downtime.