CIS Control 10 - Malware Defense

I dette afsnit gennemgår vi CIS Control 10: Malware Defense.

Formålet med denne kontrol er at forhindre eller kontrollere installation, spredning og eksekvering af ondsindede applikationer, kode eller scripts på enterprise assets.

Malware er en af de mest almindelige trusler mod en virksomhed. Den kan bruges til at stjæle data, opsamle credentials, identificere yderligere mål i netværket samt kryptere eller ødelægge data. Derfor kræver denne kontrol en dokumenteret og struktureret tilgang til konfiguration, opdatering, detektion, rapportering og afhjælpning.

Hvad omfatter Malware Defense?

Malware kan forekomme i mange former, herunder

• Virus • Trojan • Ransomware • Spyware

Malware kan komme ind via blandt andet e mail vedhæftninger, web sider, cloud services, mobile enheder og removable media som USB.

Derfor skal virksomheden have en helhedsorienteret tilgang til malware forsvar, hvor passende anti malware løsninger implementeres på relevante enterprise assets.

Denne kontrol omfatter anti malware software på

• Laptops • Workstations • Mobile enheder • Servere

Netværksbaserede IDS og IPS løsninger er ikke omfattet af denne policy.

Malware Defense Lifecycle

Malware defense er en løbende proces og består af følgende trin

• Configuration • Update • Detection • Reporting • Remediation

Configuration – Installation og opsætning

IT skal installere anti malware software på alle relevante enterprise assets.

Anti malware software skal være korrekt konfigureret og køre med passende frekvens. Real time scanning er mest effektiv.

Softwaren skal konfigureres til at håndtere identificeret malware, eksempelvis ved:

• At forsøge at fjerne malware • At sætte malware i karantæne • At logge hændelsen • At alarmerere en IT administrator

Brugere må ikke deaktivere anti malware software eller ændre den fastsatte opdateringsfrekvens.

Update – Løbende opdatering

Anti malware software skal konfigureres til automatisk opdatering.

Signaturfiler skal opdateres automatisk, så snart nye versioner er tilgængelige.

Selve anti malware softwaren skal også opdateres løbende for at understøtte ændringer i operativsystemer, tilføje nye funktioner og rette sikkerhedsfejl.

Operativsystemer skal konfigureres til automatisk opdatering, medmindre en alternativ godkendt patchproces anvendes.

Manglende opdateringer reducerer effektiviteten af malware forsvaret markant over tid.

Detection – Identifikation af malware

IT skal sikre, at anti malware software fungerer korrekt på alle enterprise assets.

Systemerne skal kunne advare brugere, hvis en trussel identificeres.

Logs skal genereres, så IT kan analysere hændelsesforløb.

I visse tilfælde kan en inficeret enhed blive afbrudt fra netværket, mens malware er aktiv.

Det anbefales ikke at slukke eller genstarte en inficeret computer, da dette kan ødelægge volatil hukommelse, som kan være nødvendig for analyse.

Brugere skal trænes i at genkende tegn på malware og vide, hvem de skal kontakte ved en hændelse.

Reporting – Central indsamling og eskalation

Bekræftede high severity alerts skal rapporteres til virksomhedens ejer.

Tilstedeværelsen af uautoriseret software skal undersøges korrekt.

Logs skal indsamles centralt for at understøtte alarmering, identifikation og incident response.

Der skal være en dokumenteret proces for, hvordan medarbejdere rapporterer sikkerhedshændelser, herunder:

• Tidsramme for rapportering • Hvem der skal rapporteres til • Mekanisme for rapportering • Minimum information der skal indgå

Remediation – Afhjælpning

Identificeret malware skal fjernes fra enterprise assets.

Uautoriseret software skal enten fjernes eller have en dokumenteret undtagelse.

Undtagelser skal registreres i

• Software inventory • Exception register

I nogle tilfælde kan malware blive analyseret af IT, før der træffes beslutning om afhjælpning.

Ansvar

IT business unit har det primære ansvar for malware defense.

Administrators er ansvarlige for korrekt konfiguration og log håndtering.

Brugere er ansvarlige for at forbinde deres enheder til netværket, sikre opdateringer og genstarte enheder efter behov.

Alle enterprise assets skal overholde malware defense policy og procedurer.

Afslutning

CIS Control 10 kræver en dokumenteret og løbende proces for konfiguration, opdatering, detektion, rapportering og afhjælpning af malware på enterprise assets.

Malware defense er ikke en engangsopgave, men en kontinuerlig aktivitet, som skal vedligeholdes og overvåges for at beskytte virksomheden effektivt.

Tak fordi du lyttede med.