Sjekkliste

Sjekk dette selv først

Dette er listen vi skulle ønske flere gikk gjennom før de bestiller test. Ingenting her krever verktøy dere ikke har, og det meste tar en ettermiddag. Rydder dere unna halvparten, kommer testen dere kjøper etterpå lenger.

dig +short TXT _dmarc.eksempel.noEtt av punktene

v=DMARC1; p=none; rua=mailto:[email protected] # p=none betyr at ingenting stoppes. # Det er et greit sted å starte og et dårlig sted å bli staaende.

Punktene som lar seg gjøre konkrete, er gjort konkrete. En kommando kan etterprøves, et råd kan ikke.

Listen

22 punkter

Alt sammen står her. PDF-en er den samme listen med avkryssingsbokser, og med kommandoene satt opp for ditt eget domene.

Se dere selv utenfra

Begynn med å finne ut hva som faktisk peker på dere. Nesten alle finner noe de hadde glemt.

Slå opp domenet deres i sertifikatloggene
Hvert sertifikat som noen gang er utstedt for et subdomene ligger offentlig. Dette er den raskeste måten å finne testmiljøer og gamle sider ingen husker.
```
curl -s 'https://crt.sh/?q=%25.example.no&output=json' | head
```
Se hvilke navn som peker hvor
Peker et navn på en IP dere ikke lenger eier, kan hvem som helst ta over navnet ved å ta den IP-en. Det samme gjelder CNAME til skytjenester dere har sluttet å bruke.
```
dig +short example.no A AAAA MX NS TXT
```
Finn ut hvem som eier hver eneste adresse på listen
Er svaret at ingen vet, er det funnet. Alt som ikke har en eier har heller ingen som oppdaterer det.

E-post

E-post er der de fleste angrep begynner, og de tre oppslagene under sier på sekunder om noen kan sende post i deres navn.

Sjekk at dere har SPF, og at den slutter med -all
SPF sier hvem som får sende på vegne av domenet. Slutter den med ~all eller ?all, blir forfalsket post levert likevel, bare litt mer motvillig.
```
dig +short TXT example.no | grep spf
```
Sjekk at dere har DMARC, og at policy ikke står på none
p=none betyr at dere får rapporter og at ingenting stoppes. Det er et greit sted å starte og et dårlig sted å bli stående.
```
dig +short TXT _dmarc.example.no
```
Bekreft at utgående post faktisk signeres med DKIM
Send en e-post til en adresse utenfor huset og se på headerne. Står det ikke dkim=pass, er signeringen enten av eller feil satt opp.
Se etter videresendingsregler ingen har laget med vilje
En regel som stille sender kopi av all post ut av huset er blant de første tingene som settes opp etter en overtatt konto, og blant de siste noen oppdager.

Steng det som ikke skal stå åpent

Alt som lytter mot internett kan prøves av hvem som helst, når som helst.

Se hva serveren tilbyr av protokoller og sertifikat
Utløpsdato er det minste. Se også om TLS 1.0 og 1.1 fortsatt er slått på, og om kjeden er komplett.
```
openssl s_client -connect example.no:443 -servername example.no </dev/null
```
Se på svarhodene fra nettsiden
Manglende HSTS, ingen CSP og en Server-header som røper nøyaktig versjon er tre ting dere kan rette selv i dag.
```
curl -sI https://example.no
```
Prøv de åpenbare adressene selv
/wp-admin, /admin, /phpmyadmin, /.git og /.env. Svarer noe av det med annet enn 404, er det verdt et kvarter til.
Sjekk at innloggingscookies har Secure, HttpOnly og SameSite
Uten HttpOnly kan et skript lese økten. Uten Secure kan den følge med en HTTP-forespørsel ut av huset.

Kontoer

De fleste innbrudd vi ser starter med en gyldig innlogging, ikke med en sårbarhet.

Slå på totrinnsbekreftelse, og gjør det obligatorisk
Valgfri totrinnsbekreftelse er i praksis av. Sjekk samtidig at ledelsen og de med lengst fartstid faktisk har den på.
Tell hvor mange som har administratorrettigheter
Er svaret høyere enn dere trodde, er det vanlig. Ta bort rettighetene til dem som ikke bruker dem, og gi dem tilbake ved behov.
Finn kontoer som ikke har vært brukt på 90 dager
En konto ingen bruker er en konto ingen savner. Steng dem, ikke bare merk dem.
Sjekk om firmaadresser finnes i kjente lekkasjer
Er en adresse med i en lekkasje, er passordet gjenbrukt et sted. Det er nesten alltid gjenbrukt et sted.
Gi folk et sted å ha passordene
Uten passordbehandler havner passordene i et regneark, i en chat eller i hodet, og da blir de gjenbrukt. Dette er et verktøyproblem, ikke et holdningsproblem.

Oppdatering

Kjente sårbarheter er kjent for begge parter.

Skriv ned hva som kjører hvor
Et regneark holder. Uten listen går det ikke an å svare på om en ny sårbarhet gjelder dere, og det spørsmålet kommer.
Slå på automatiske sikkerhetsoppdateringer der det er trygt
For operativsystem og nettleser er det trygt nesten uten unntak. For applikasjonsservere krever det testing, men da vet dere i det minste at det er et valg.
```
sudo unattended-upgrade --dry-run -d
```
Finn det som ikke lenger får oppdateringer
Utdatert programvare blir ikke rettet uansett hvor lenge dere venter. Sett en dato for utfasing, eller skill det fra resten av nettverket.

Når det går galt

De to punktene her er de eneste som betyr noe den dagen alt annet har sviktet.

Gjenopprett noe fra sikkerhetskopien, i dag
Ikke se på at jobben er grønn. Hent faktisk tilbake en fil til et testmiljø. Dette er punktet flest tror de er ferdige med.
Sørg for at én kopi ikke kan slettes fra nettverket
Løsepengevirus leter etter sikkerhetskopiene først. En kopi som ligger på et delt område med skrivetilgang er ikke en sikkerhetskopi.
Skriv én side om hva som skjer de første timene
Hvem ringes, hvem bestemmer, hva kobles fra. Skriv ned telefonnumrene på papir også, for e-posten kan være det som er nede.

PDF

Ta den med

Med avkryssingsbokser, og kommandoene skrevet om til ditt eget domene.

Har du gått gjennom listen og vil vite hvor dere står, tar sikkerhetssjekken tre minutter og gir deg funnene skriftlig.