Wykrywanie podatności odpowiada na pytanie o znane luki w oprogramowaniu. Security Configuration Assessment (SCA) bada ustawienia urządzenia według wybranej polityki. Może sprawdzić określone pliki, wartości rejestru czy działające procesy. Wazuh dostarcza gotowe polityki, w dużej części oparte na benchmarkach CIS, i pozwala tworzyć własne. Wynik skanowania warto traktować jako listę ustaleń do oceny przez administratora.
Zacznij od zakresu
Wybierz jeden typ urządzenia: stację roboczą, serwer plików albo serwer aplikacyjny. Zanotuj jego rolę, wersję systemu, zainstalowane usługi i właściciela technicznego. Dopiero wtedy wybierz odpowiadającą mu politykę SCA z listy dostępnej dla danej wersji Wazuh. Kontrola, która ma sens dla jednej roli, może wymagać wyjątku dla innej.
Przed porównywaniem wyników z kilku urządzeń sprawdź, czy używają tej samej polityki i wersji konfiguracji. Sam procent zaliczonych kontroli nie wyjaśnia, które ustawienie ma znaczenie dla konkretnej usługi.
Od ustalenia do działania
Przejdź przez pięć pytań dla jednej niezaliczonej kontroli:
- Co dokładnie sprawdza polityka? Otwórz opis kontroli i określ sprawdzane ustawienie.
- Jaki jest stan urządzenia? Potwierdź go lokalnie, zwłaszcza jeśli konfiguracja mogła się zmienić od ostatniego skanowania.
- Czy zalecana zmiana pasuje do roli hosta? Oceń zależności usługi i wpływ na użytkowników.
- Kto i kiedy wdroży zmianę? Przypisz właściciela, termin oraz sposób wycofania.
- Jak potwierdzimy wynik? Zapisz oczekiwany stan, uruchom ponowną ocenę i porównaj wynik z ustawieniem systemu.
Jeżeli kontrola pozostaje niezaliczona z uzasadnionej przyczyny, opisz wyjątek: urządzenie, kontrola, powód, decyzja właściciela ryzyka i termin ponownego przeglądu. To rekomendacja praktyczna dotycząca prowadzenia zmian.
Mały przykład roboczy
Załóżmy, że polityka wskazuje usługę niepotrzebną na części stacji roboczych. Nie wyłączaj jej jednocześnie na całej grupie. Wybierz host pilotażowy, sprawdź zależności, zmień ustawienie w uzgodnionym oknie, zweryfikuj działanie urządzenia i dopiero porównaj wynik SCA przed zmianą i po zmianie. Zapisz zarówno skuteczność techniczną, jak i wpływ na użytkownika.
SCA dostarcza materiału do pracy nad konfiguracją, ale jego wynik nie stanowi samodzielnego potwierdzenia zgodności organizacji z KSC czy NIS2. Powiązany tekst o innym rodzaju problemów to Wazuh Vulnerability Detection — od listy CVE do planu aktualizacji.