mientras que el Instituto Nacional de estándares y Tecnología (NIST) proporciona orientación de referencia en todo el gobierno federal, y la Ley Federal de gestión de la seguridad de la información (FISMA) proporciona orientación a las agencias civiles, los sistemas del Departamento de Defensa (DoD) tienen otro nivel de requisitos promulgados por la Agencia de Sistemas de información de Defensa (DISA).,
Los profesionales federales de seguridad de TI dentro del Departamento de defensa deben cumplir con los marcos de pruebas técnicas y endurecimiento conocidos por el acrónimo STIG, o guía de implementación técnica de seguridad. Según DISA, los Stig «son los estándares de configuración para dispositivos/sistemas habilitados para DOD e IA The Los Stig contienen orientación técnica para’ bloquear ‘ sistemas/software de información que de otra manera podrían ser vulnerables a un ataque informático malicioso.
hasta la fecha, DoD ha lanzado 461 STIGs, y continúa lanzando más sobre una base semi-regular.,
Si bien cumplir con tantos requisitos puede parecer desalentador, DISA proporciona tanto requisitos como herramientas para validar e implementar los requisitos de seguridad. Hay varias herramientas de prueba comunes que implementan STIGs. Algunos, como Assured Compliance Assessment Solution (ACAS), fueron desarrollados por la industria específicamente para DISA. Otros, como el Security Content Automation Protocol (SCAP) Compliance Checker (SCC) fueron desarrollados por la Marina de los Estados Unidos para su uso por las agencias de Defensa., Algunas herramientas incluso se han desarrollado para abarcar una categoría particular de componentes del sistema, como los componentes de red, o un proceso funcional particular, como la agregación y el análisis de Registros.
herramientas de prueba
Si bien el Departamento de Defensa ha facilitado la gestión del riesgo al proporcionar líneas de base reforzadas para sistemas operativos, componentes del sistema y dispositivos de red a través de STIGs, los requisitos de cumplimiento adicionales requerirán un mayor esfuerzo.
dicho esto, el esfuerzo adicional es altamente manejable, especialmente con la automatización.,
SolarWinds ® Network Configuration Manager (Ncm) está diseñado específicamente para automatizar la tarea de administrar la configuración y el cumplimiento de la red. NCM puede ayudar a los profesionales de ti federales a implementar configuraciones estandarizadas, detectar cambios fuera de proceso, auditar configuraciones y corregir violaciones de cumplimiento. NCM can integrate with the National Vulnerability Database to help more easily identify and eliminate known vulnerabilities., Ncm también está diseñado para:
- inventariar configuraciones de dispositivos de red, evaluar configuraciones para el cumplimiento y automatizar la administración de cambios y configuraciones
- implementar la configuración de controles de seguridad y ayudar a asegurar la efectividad
- producir informes FISMA y DISA STIGs desde plantillas de configuración
- producir documentación e informes de auditoría
Los profesionales de ti federales pueden obtener más información sobre NCM aquí.,
SolarWinds Server Configuration Manager (SCM)
en los entornos de TI modernos, hacer cambios de configuración es fácil, pero rastrearlos y su impacto es difícil. Incluso con los mejores procesos de control de cambios, a menudo es imposible controlar todos los cambios de configuración que ocurren en su infraestructura. Y cuando las configuraciones comienzan a derivar, comienzan los problemas: interrupciones, ralentizaciones, brechas de seguridad e infracciones de cumplimiento., SolarWinds Server Configuration Monitor está diseñado para revelar rápidamente cuándo cambian las configuraciones del servidor, la aplicación o la base de datos, quién las Cambia, qué cambia y muestra el impacto en el rendimiento, lo que le ayuda a tener la visibilidad necesaria para solucionar problemas más rápido, mejorar la seguridad y demostrar el cumplimiento. Supervisar las configuraciones de su servidor en relación con las políticas de cumplimiento puede ser engorroso. Con la adición de un motor de políticas, políticas listas para usar para Disa STIG, nuevas alertas e informes para políticas de cumplimiento, SCM está ayudando a poner en práctica el monitoreo de cumplimiento.,ect, alerta e informe sobre cambios con inventario de hardware, entradas de registro, archivos binarios y de texto, inventario de software, Archivos de configuración de IIS y salidas de script
La mayoría de los componentes del sistema cubiertos por STIG pueden generar registros. Los registros del sistema, los registros de Eventos, Los registros de errores, los mensajes y similares pueden crecer rápidamente a un tamaño tremendo y, tomados en conjunto, pueden presentar un esfuerzo igualmente tremendo para revisar los registros en busca de un comportamiento anómalo que pueda indicar un compromiso de la confidencialidad, integridad y disponibilidad del sistema. Muchos equipos federales de TI abordan este desafío implementando una solución de gestión de Información y eventos de seguridad (Siem).,
Una herramienta SIEM puede configurarse para consumir registros en todo el entorno, analizarlos e identificar posibles vulnerabilidades o comportamientos anómalos. Una herramienta SIEM puede clasificar estos hallazgos de manera priorizada para que el equipo federal de seguridad de TI actúe. Una herramienta Siem correctamente configurada y afinada puede automatizar todo el proceso, lo que ayuda a aliviar la carga de un equipo de seguridad federal que ya tiene muchas tareas.
SolarWinds Siem tool Security Event Manager (SEM) puede simplificar los requisitos de STIG automatizando el cumplimiento y, lo que es igual de importante, informando sobre dicho cumplimiento.,
Los profesionales federales de TI pueden obtener más información sobre SEM aquí.
conclusión
para los profesionales federales de TI del Departamento de Defensa, el cumplimiento de STIG es un requisito. Hay cientos de posibles Stig, cada uno de los cuales puede contener de docenas a cientos de controles técnicos que deben ser probados para su cumplimiento. La mayoría de los equipos federales de TI ya tienen la matrícula completa. Aquí es donde las herramientas como NCM y SEM brillan, ayudando a todo el equipo Federal de TI a lograr el cumplimiento y los informes de cumplimiento con el soporte de herramientas automatizadas que pueden aligerar la carga de todo el equipo.los Stig se aplican a las agencias del Departamento de Defensa., Sin embargo, el cumplimiento de FISMA y el marco de gestión de Riesgos del NIST (RMF) guían a todas las agencias.
para obtener más información sobre el marco de gestión de Riesgos de NIST, una gama de información adicional de cumplimiento de seguridad federal y aprovechar la administración de configuración, descargue el documento técnico de cumplimiento Federal diario y monitoreo continuo de ciberseguridad.