DISA STIG jsou veřejně publikované bezpečnostní příručky pro zpevnění (hardening) operačních systémů, aplikací a síťových prvků. Používají se jako referenční standard i mimo své původní prostředí, protože jsou volně dostupné a poměrně podrobné.
Co je DISA STIG
STIG (Security Technical Implementation Guide) je dokument, který publikuje DISA (Defense Information Systems Agency) – agentura amerického ministerstva obrany. Pro každou podporovanou platformu (konkrétní operační systém, databázi, webový server, síťové zařízení…) existuje samostatný STIG se sadou konkrétních pravidel, jak má být systém nakonfigurovaný. STIG jsou volně dostupné na public.cyber.mil.
Nejde jen o textový dokument – STIG se distribuuje i jako strojově čitelný benchmark (formát SCAP/XCCDF), který lze načíst do nástrojů jako STIG Viewer nebo do automatizovaných skenerů shody.
Struktura jednoho pravidla
Každé pravidlo STIG má typicky:
- Vulnerability ID (
V-XXXXXX) – identifikátor konkrétního nálezu; - Rule ID a STIG ID – identifikátory pravidla v rámci dokumentu;
- Severity – kategorii závažnosti (CAT I, II nebo III);
- Check text – jak ověřit, zda systém pravidlo splňuje;
- Fix text – jak nesoulad opravit.
Kategorie závažnosti (CAT I/II/III)
- CAT I – nejvyšší závažnost. Nesoulad může vést k přímé kompromitaci systému, ztrátě dat nebo úplnému obejití bezpečnostních mechanismů (například vzdálené spuštění kódu nebo neomezená eskalace oprávnění).
- CAT II – střední závažnost. Nesoulad zvyšuje riziko, ale sám o sobě obvykle nevede k okamžité kompromitaci – jde o slabší, ale pořád významné oslabení zabezpečení.
- CAT III – nejnižší závažnost. Nesoulad odpovídá spíš doporučené praxi než akutnímu riziku; dopad jednotlivého pravidla je omezený.
Kategorie určuje prioritu opravy, ne to, jestli se pravidlo aplikuje vůbec.
Jak se pravidla vyhodnocují a proč ne vždy plošně
Nález STIG kontroly se obvykle zapisuje do checklistu (.ckl) s jedním ze stavů:
- Open – systém pravidlo nesplňuje;
- NotAFinding – systém pravidlo splňuje;
- Not Applicable – pravidlo se na daný systém nevztahuje;
- Not Reviewed – zatím nevyhodnoceno.
Ne každé pravidlo dává smysl aplikovat plošně. STIG je psaný pro obecnou platformu, ne pro konkrétní nasazení – typický příklad je pravidlo o vypnutí bezdrátového rozhraní na stroji, který žádný bezdrátový hardware nemá, nebo pravidlo pro službu, která na systému vůbec neběží. V takových případech se pravidlo označí jako Not Applicable, ale vždy s odůvodněním, ne mlčky.
Tam, kde pravidlo relevantní je, ale jeho striktní naplnění není z provozních důvodů možné, existuje formální cesta výjimky – typicky přes dokumentovaný plán nápravy (POA&M, Plan of Action and Milestones) nebo schválenou výjimku (waiver). Vyhodnocení „nejde to splnit“ samo o sobě odůvodněním není; musí ho doprovázet zdůvodnění a případně kompenzační opatření.
Proč se STIG používá i mimo vojenské prostředí
Protože jsou STIG veřejné, podrobné a pravidelně aktualizované, používají se jako referenční baseline pro hardening i v komerčním provozu – jako zdroj konkrétních, ověřitelných kontrol, na které se dá navázat automatizovaný scan shody, aniž by bylo nutné vymýšlet vlastní sadu pravidel od nuly.