awesome-security-hardening

Una raccolta di fantastiche guide per l'hardening della sicurezza, best practice, checklist, benchmark, strumenti e altre risorse. Questo è un lavoro in corso: contribuisci inviando i tuoi suggerimenti. Puoi farlo creando segnalazioni oppure facendo il fork, modificando e inviando pull request. Puoi anche inviare suggerimenti su Twitter a @decalage2, oppure utilizzare https://www.decalage.info/contact

---

Sommario

• Guide e buone pratiche per l'hardening della sicurezza
  • Raccolte di guide per l'hardening
  • GNU/Linux
    • Red Hat Enterprise Linux - RHEL
    • CentOS
    • SUSE
    • Ubuntu
  • Windows
  • macOS
  • Dispositivi di rete
    • Switch
    • Router
    • IPv6
    • Firewall
  • Virtualizzazione - VMware
  • Contenitori - Docker - Kubernetes
  • Servizi
    • SSH
    • TLS/SSL
    • Server Web
      • Apache HTTP Server
      • Apache Tomcat
      • Eclipse Jetty
      • Microsoft IIS
    • Server di posta
    • Server FTP
    • Server di database
    • Active Directory
    • ADFS
    • Kerberos
    • LDAP
    • DNS
    • NTP
    • NFS
    • CUPS
  • Autenticazione - Password
  • Hardware - CPU - BIOS - UEFI
  • Cloud
• Strumenti
  • Strumenti per verificare l'hardening della sicurezza
    • GNU/Linux
    • Windows
    • Dispositivi di rete
    • TLS/SSL
    • SSH
    • Hardware - CPU - BIOS - UEFI
    • Docker
    • Cloud
    • DNS
  • Strumenti per applicare l'hardening della sicurezza
    • GNU/Linux
    • Windows
    • TLS/SSL
    • Cloud
  • Generatori di password
• Libri
• Altre liste Awesome
  • Altre liste Awesome sulla sicurezza

---

Guide e buone pratiche per l'hardening della sicurezza

Raccolte di guide per l'hardening

• CIS Benchmarks (registrazione richiesta)
• Guide ANSSI
• Avvisi e indicazioni sulla cybersecurity della NSA
• Risorse NSA di cybersecurity per i professionisti della sicurezza e pubblicazioni NSA sulla cybersecurity
• Guide tecniche di implementazione della sicurezza (STIG) e guide dei requisiti di sicurezza (SRG) del DoD DISA statunitense
• Politiche di sicurezza OpenSCAP
• Pubblicazioni dell'Australian Cyber Security Centre
• Biblioteca di guide sulle buone pratiche FIRST (BPGL)
• Harden the World - una raccolta di linee guida per l'hardening di dispositivi, applicazioni e sistemi operativi (per lo più Apple per ora).

GNU/Linux

• ANSSI - Raccomandazioni di configurazione per un sistema GNU/Linux - versione 2.0, 2022
• CIS Benchmark per Linux indipendente dalla distribuzione - 2019, archiviato
• trimstray - La guida pratica all'hardening di Linux - istruzioni pratiche passo-passo per costruire i propri sistemi e servizi hardened. Testato su CentOS 7 e RHEL 7.
• trimstray - Checklist per l'hardening di Linux - le regole di hardening più importanti per i sistemi GNU/Linux (versione sintetica di The Practical Linux Hardening Guide)
• Come proteggere un server Linux - per un singolo server Linux domestico
• nixCraft - 40 suggerimenti di sicurezza per l'hardening di server Linux (edizione 2019)
• nixCraft - Suggerimenti per proteggere l'accesso fisico alla console dei server Linux
• TecMint - 4 modi per disabilitare l'account root in Linux
• ERNW - Guida all'hardening IPv6 per server Linux
• trimstray - Iptables Essentials: Regole e comandi firewall comuni
• Neo23x0/auditd - Configurazione Best Practice per Auditd
• CIRCL TR-83 - HOWTO per l'hardening del boot di Linux - Come proteggere la sequenza di avvio della tua distribuzione basata su Linux (2024)

Red Hat Enterprise Linux - RHEL

• Red Hat - Guida alla protezione di Red Hat Enterprise Linux 7
• DISA STIGs - Red Hat Enterprise Linux 7 (2019)
• CIS Benchmark per Red Hat Linux
• nixCraft - Come configurare un firewall usando FirewallD su RHEL 8

CentOS

• Lisenet - Guida all'hardening del server CentOS 7 (2017)
• HighOn.Coffee - Hardening della sicurezza di CentOS 7 (2015)

SUSE

• Guida alla sicurezza di SUSE Linux Enterprise Server 12 SP4
• Guida alla sicurezza e all'hardening di SUSE Linux Enterprise Server 12

Ubuntu

• Documentazione di Ubuntu - Sicurezza
• Wiki di Ubuntu - Funzionalità di hardening della sicurezza

Windows

• Microsoft - Baseline di sicurezza di Windows
• Microsoft - Sicurezza di Windows Server | Assurance
• Microsoft - Sicurezza di Windows 10 Enterprise
• BSI/ERNW - Raccomandazioni di configurazione per l'hardening di Windows 10 utilizzando funzionalità integrate (2021) - focalizzata su Windows 10 LTSC 2019
• ACSC - Hardening delle workstation Microsoft Windows 10, versione 21H1
• ACSC - Proteggere PowerShell in azienda
• Awesome Windows Domain Hardening
• Microsoft - Come rilevare, abilitare e disabilitare SMBv1, SMBv2 e SMBv3 in Windows e Windows Server
• Regole di blocco consigliate da Microsoft - Elenco di applicazioni o file che un aggressore può utilizzare per aggirare le policy di whitelisting delle applicazioni
• ERNW - Guida all'hardening IPv6 per server Windows
• NSA - Guida per AppLocker - Guida alla configurazione per implementare il whitelisting delle applicazioni con AppLocker
• NSA - Guida Pass the Hash - Guida alla configurazione per implementare le mitigazioni Pass-the-Hash (Archiviato)
• NSA - Guida BitLocker - Guida alla configurazione per implementare la crittografia del disco con BitLocker
• - Guida alla configurazione per implementare la raccolta di eventi del registro eventi di Windows rilevanti per la sicurezza utilizzando l'inoltro degli eventi di Windows

Vedi anche Active Directory e ADFS di seguito.

macOS

• ERNW - Guida all'hardening IPv6 per OS-X

Dispositivi di rete

• NSA - Hardening dei dispositivi di rete (PDF) - molto breve ma buon riepilogo

Switch

• DISA - SRG per switch di livello 2 v2r1

Router

• NSA - Una guida alle buone pratiche del Border Gateway Protocol (BGP)

IPv6

• NSA - Linee guida per la sicurezza IPv6 (gen 2023)
• ERNW - Sviluppare una strategia di sicurezza IPv6 aziendale Parte 1, Parte 2, Parte 3, Parte 4 - Isolamento della rete sul livello di routing, filtro del traffico nelle reti IPv6
• vedi anche i collegamenti IPv6 nelle sezioni GNU/Linux, Windows e macOS

Firewall

• NIST SP 800-41 Rev 1 - Linee guida su firewall e policy dei firewall (2009)
• trimstray - Iptables Essentials: Regole e comandi firewall comuni

Virtualizzazione - VMware

• Guide all'hardening della sicurezza VMware - copre la maggior parte dei prodotti e delle versioni VMware
• CIS VMware ESXi 6.5 Benchmark (2018)
• DISA STIGs - Virtualizzazione - VMware vSphere 6.0 e 5
• ENISA - Aspetti di sicurezza della virtualizzazione - best practice generiche di alto livello per virtualizzazione e contenitori (feb 2017)
• NIST SP 800-125 - Guida alla sicurezza per le tecnologie di virtualizzazione completa - (2011)
• NIST SP 800-125A Revisione 1 - Raccomandazioni di sicurezza per piattaforme hypervisor basate su server (2018)
• NIST SP 800-125B Configurazione sicura della rete virtuale per la protezione delle macchine virtuali (VM) (2016)
• ANSSI - Raccomandazioni di sicurezza per le architetture basate su VMware vSphere ESXi - per VMware 5.5 (2016), in francese
• ANSSI - Proteggere un'infrastruttura VMware (2026)
• VMware - Proteggere vSphere da malware specializzato (2022) - vedi anche Mandiant - Bad VIB(E)s Part Two: Detection and Hardening within ESXi Hypervisors

Contenitori - Docker - Kubernetes

• Come proteggere i tuoi container Docker
• CIS Docker Benchmarks - registrazione richiesta
• NIST SP 800-190 - Guida alla sicurezza dei container applicativi
• Un'introduzione pratica alla sicurezza dei container
• ANSSI - Raccomandazioni di sicurezza relative alla distribuzione di container Docker (2020), in francese
• Checklist di sicurezza di Kubernetes
• Buone pratiche per il controllo degli accessi basato sui ruoli in Kubernetes
• Multi-tenancy di Kubernetes
• Blog Kubernetes - Uno sguardo più approfondito alle linee guida di hardening Kubernetes di NSA/CISA
• ReynardSec - Sicurezza Docker – Hardening passo-passo (Docker Hardening) (2023)

Servizi

SSH

• NIST IR 7966 - Sicurezza della gestione dell'accesso interattivo e automatizzato tramite Secure Shell (SSH)
• ANSSI - Raccomandazioni per l'uso sicuro di (Open)SSH
• Linux Audit - Sicurezza e hardening di OpenSSH
• Guide all'hardening SSH di Positron Security (2017-2018) - focalizzate sugli algoritmi crittografici
• stribika - Secure Secure Shell (2015) - alcune raccomandazioni sugli algoritmi potrebbero essere leggermente obsolete
• Applied Crypto Hardening: bettercrypto.org - utile riferimento su come configurare le impostazioni crittografiche dei servizi più comuni (TLS/SSL, PGP, SSH e altri strumenti crittografici)
• IETF - Aggiornamenti e raccomandazioni sui metodi di scambio di chiavi (KEX) per Secure Shell (SSH) draft-ietf-curdle-ssh-kex-sha2-10 - aggiornamento del set raccomandato di metodi di scambio di chiavi per l'uso nel protocollo Secure Shell (SSH) per soddisfare le esigenze in evoluzione di una sicurezza più forte. Questo documento aggiorna la RFC 4250.
• Gravitational - Come usare SSH correttamente - come configurare SSH per utilizzare certificati e autenticazione a due fattori

TLS/SSL

• NIST SP800-52 Rev 2 (seconda bozza) - Linee guida per la selezione, la configurazione e l'uso delle implementazioni di Transport Layer Security (TLS) - 2018, raccomanda TLS 1.3
• NCSC dei Paesi Bassi - Linee guida di sicurezza IT per Transport Layer Security (TLS) - 2021
• ANSSI - Raccomandazioni di sicurezza per TLS - 2017, non copre TLS 1.3
• Qualys SSL Labs - Best practice per la distribuzione di SSL e TLS - 2017, non copre TLS 1.3
• RFC 7540 Appendice A - Lista nera delle suite di cifratura TLS 1.2
• Applied Crypto Hardening: bettercrypto.org - utile riferimento su come configurare le impostazioni crittografiche dei servizi più comuni (TLS/SSL, PGP, SSH e altri strumenti crittografici)

Server Web

• Cipherlist.eu - Cifratura forte per Apache, nginx e Lighttpd

Apache HTTP Server

• Documentazione di Apache HTTP Server - Suggerimenti per la sicurezza
• GeekFlare - Guida all'hardening e alla sicurezza del server web Apache
• Apache Config - Guida all'hardening della sicurezza di Apache

Apache Tomcat

• Considerazioni sulla sicurezza di Apache Tomcat 9 / v8 / v7
• OWASP - Proteggere Tomcat
• Come far funzionare Tomcat 9 con authbind per associarlo alla porta 80

Eclipse Jetty

• Eclipse Jetty - Configurazione della sicurezza
• Hardening di Jetty (2015)

Microsoft IIS

• CIS Microsoft IIS Benchmarks

Server di posta

• MDaemon - 15 best practice per proteggere la tua email - Raccomandazioni generiche ma basate su MDaemon Security Gateway per server di posta

Server FTP

• JSCAPE - Guida per proteggere FTP - Raccomandazioni generiche ma basate su JSCAPE MFT Server

Server di database

• Netwrix - Best practice per l'hardening di MS SQL Server

Active Directory- Microsoft - Procedure consigliate per la protezione di Active Directory

• ANSSI CERT-FR - Checklist di valutazione della sicurezza di Active Directory - altra versione con changelog - 2022 (versioni in inglese e francese)
• "Admin Free" Active Directory e Windows, Parte 1- Comprendere i gruppi con privilegi in AD
• "Admin Free" Active Directory e Windows, Parte 2- Account e gruppi protetti in Active Directory
• ASD - Rilevare e mitigare le compromissioni di Active Directory - 2024

ADFS

• adsecurity.org - Protezione di Microsoft Active Directory Federation Server (ADFS)
• Microsoft - Procedure consigliate per la protezione di Active Directory Federation Services

Kerberos

• CIS MIT Kerberos 1.10 Benchmark - 2012

LDAP

• OpenLDAP Software 2.4 Guida dell'amministratore - Considerazioni sulla sicurezza di OpenLDAP
• Procedure consigliate per la sicurezza di LDAP (2011)
• LDAP: Hardening della sicurezza del server (così gli amministratori possono dormire sonni tranquilli)
• Procedure consigliate per l'autenticazione LDAP - recuperato da web.archive.org
• Hardening di OpenLDAP su Linux con AppArmor e systemd - slide
• zytrax LDAP per Rocket Scientists - Sicurezza LDAP
• Come crittografare le connessioni OpenLDAP utilizzando STARTTLS

DNS

• CIS - Benchmark del server DNS BIND 9.9 (2017)
• DISA STIGs - BIND 9.x (2019)
• NIST SP 800-81-2 - Guida alla distribuzione sicura del Domain Name System (DNS) (2013)
• CMU SEI - Sei procedure consigliate per proteggere un'infrastruttura Domain Name System (DNS) robusta
• NSA Sicurezza DNS di BIND 9 (2011)

NTP

• IETF - Best Current Practices per il Network Time Protocol draft-ietf-ntp-bcp (ultima bozza #13 di marzo 2019)
• CMU SEI - Procedure consigliate per i servizi NTP
• Linux.com - Arrivare in orario con NTP -- Parte 2: Opzioni di sicurezza
• Linux.com - Arrivare in orario con NTP -- Parte 3: Configurazione sicura

NFS

• Linux NFS-HOWTO - Sicurezza e NFS - una buona panoramica dei problemi di sicurezza di NFS e di alcune mitigazioni
• Red Hat - Guida alla protezione di Red Hat Enterprise Linux 7 - Protezione di NFS
• Red Hat - Guida all'amministrazione dello storage di RHEL7 - Protezione di NFS
• NFSv4 senza Kerberos e permessi - perché NFSv4 senza Kerberos non fornisce sicurezza
• CertDepot - RHEL7: Usare Kerberos per controllare l'accesso alle condivisioni di rete NFS

CUPS

• Sicurezza del server CUPS

Autenticazione - Password

• UK NCSC - Amministrazione delle password per i proprietari di sistemi
• NIST SP 800-63 Linee guida per l'identità digitale
• OWASP Cheat Sheet sulla memorizzazione delle password
• ANSSI - Raccomandazioni sull'autenticazione multifattore e sulle password (2021, francese)

Hardware - CPU - BIOS - UEFI

• ANSSI - Requisiti di sicurezza hardware per piattaforme x86 - raccomandazioni per funzionalità di sicurezza e opzioni di configurazione applicabili ai dispositivi hardware (CPU, BIOS, UEFI, ecc.) (nov 2019)
• NSA - Guida alla sicurezza di hardware e firmware - Guida per le vulnerabilità Spectre, Meltdown, Speculative Store Bypass, Rogue System Register Read, Lazy FP State Restore, Bounds Check Bypass Store, TLBleed e L1TF/Foreshadow, oltre a indicazioni generali sulla sicurezza di hardware e firmware.
• NSA Scheda informativa: Guida rapida al lockdown UEFI (marzo 2018)
• NSA Rapporto tecnico: Guida alle pratiche difensive per UEFI (luglio 2017)

Cloud

• NSA Scheda informativa: Nozioni di base sulla sicurezza del cloud (agosto 2018)
• DISA DoD Sicurezza del cloud computing
• asecure.cloud - Costruisci un cloud sicuro - Un repository gratuito di configurazioni di sicurezza AWS personalizzabili e procedure consigliate

Strumenti

Strumenti per verificare l'hardening della sicurezza

• Chef InSpec - framework di test open-source di Chef che consente di specificare requisiti di conformità, sicurezza e altre policy. Può essere eseguito su Windows e su molte distribuzioni Linux.

GNU/Linux

• Lynis - script per verificare la configurazione di host Linux
• OpenSCAP Base - strumento da riga di comando oscap
• SCAP Workbench - GUI per oscap
• Tiger - Lo strumento Unix di audit della sicurezza e rilevamento delle intrusioni (potrebbe essere obsoleto)
• otseca - strumento di auditing della sicurezza open source per cercare ed esportare la configurazione di sistema. Consente di generare report in formato HTML o RAW-HTML.
• SUDO_KILLER - Uno strumento per identificare configurazioni errate e vulnerabilità nelle regole sudo
• CIS Benchmarks Audit - script bash che esegue test sul tuo sistema CentOS per dare un'indicazione se il server in esecuzione può essere conforme ai Benchmark CIS v2.2.0 per CentOS (solo CentOS 7 per ora)
• CIS Debian Hardening - Script modulari di hardening della sicurezza per Debian 11/12/13 basati sulle raccomandazioni dei CIS Benchmarks.
• VPS Security Audit Script - Uno script Bash completo per l'audit della sicurezza e delle prestazioni del tuo VPS (Virtual Private Server)

Windows

• Microsoft Security Compliance Toolkit 1.0 - set di strumenti che consente agli amministratori della sicurezza aziendale di scaricare, analizzare, testare, modificare e archiviare le baseline di configurazione della sicurezza consigliate da Microsoft per Windows e altri prodotti Microsoft
• Microsoft DSC Environment Analyzer (DSCEA) - semplice implementazione di PowerShell Desired State Configuration che usa la natura dichiarativa di DSC per analizzare i sistemi basati su Windows OS in un ambiente rispetto a un file MOF di riferimento definito e generare report di conformità che indicano se i sistemi corrispondono alla configurazione desiderata
• HardeningAuditor - Script per confrontare la conformità di Microsoft Windows con le guide di hardening australiane ASD 1709 e Office 2016
• PingCastle - Strumento per verificare la sicurezza di Active Directory
• MDE-AuditCheck - Strumento per verificare che le impostazioni di audit di Windows siano configurate correttamente nei criteri di gruppo (GPO) per Microsoft Defender for Endpoint

Dispositivi di rete

• Nipper-ng - per verificare la configurazione dei dispositivi di rete (non sembra essere aggiornato)

TLS/SSL

• Qualys SSL Labs - Elenco di strumenti per valutare server e client TLS/SSL
• CryptoLyzer - Analizzatore veloce, flessibile e completo di protocolli crittografici del server (TLS, SSL, SSH, DNSSEC) e delle relative impostazioni (intestazioni HTTP, record DNS) e generatore di fingerprint (tag JA3, HASSH) con API Python e CLI.
• SSLyze - Libreria di scansione SSL/TLS veloce e potente.
• testssl.sh - Test della cifratura TLS/SSL ovunque, su qualsiasi porta

SSH

• CryptoLyzer - Analizzatore veloce, flessibile e completo di protocolli crittografici del server (TLS, SSL, SSH, DNSSEC) e delle relative impostazioni (intestazioni HTTP, record DNS) e generatore di fingerprint (tag JA3, HASSH) con API Python e CLI.
• ssh-audit - audit del server SSH (banner, scambio di chiavi, cifratura, MAC, compressione, compatibilità, sicurezza, ecc.)

Hardware - CPU - BIOS - UEFI

• CHIPSEC: Framework di valutazione della sicurezza della piattaforma - framework per analizzare la sicurezza delle piattaforme PC, inclusi hardware, firmware di sistema (BIOS/UEFI) e componenti della piattaforma
• chipsec-check - Strumenti per generare una distribuzione Debian Linux con chipsec per testare i requisiti hardware

Docker

• Docker Bench for Security - script che verifica decine di procedure consigliate comuni relative alla distribuzione di container Docker in produzione, ispirato al CIS Docker Community Edition Benchmark v1.1.0.

Cloud

• toniblyx/my-arsenal-of-aws-security-tools - Elenco di strumenti open source per la sicurezza AWS: difensivi, offensivi, di auditing, DFIR, ecc.

DNS

• IntoDNS.ai - Scanner gratuito per la sicurezza di DNS ed email. Verifica la configurazione di SPF, DKIM, DMARC, DNSSEC, BIMI e MTA-STS e fornisce suggerimenti di correzione basati sull'intelligenza artificiale.

Strumenti per applicare l'hardening della sicurezza

• DevSec Hardening Framework - un framework per automatizzare l'hardening di sistemi operativi e applicazioni, utilizzando Chef, Ansible e Puppet

GNU/Linux

• Linux Server Hardener - per Debian/Ubuntu (2019)
• Bastille Linux - obsoleto

Windows

• Microsoft Security Compliance Toolkit 1.0 - set di strumenti che consente agli amministratori della sicurezza aziendale di scaricare, analizzare, testare, modificare e archiviare le baseline di configurazione della sicurezza consigliate da Microsoft per Windows e altri prodotti Microsoft
• Hardentools - per utenti individuali Windows (non ambienti aziendali) a rischio, che potrebbero volere un livello extra di sicurezza al prezzo di un po' di usabilità.
• Windows 10 Hardening - Una risorsa collettiva di modifiche alle impostazioni (per lo più disattivazioni) che tentano di rendere Windows 10 il più privato e sicuro possibile.
• Disassembler0 Windows 10 Initial Setup Script - script PowerShell per l'automazione delle attività di routine eseguite dopo installazioni pulite di Windows 10 / Server 2016 / Server 2019
• Automated-AD-Setup - Uno script PowerShell che mira a creare un dominio completamente configurato in meno di 10 minuti, applicando anche configurazione di sicurezza e hardening
• mackwage/windows_hardening.cmd - Script per eseguire alcune operazioni di hardening di Windows 10
• Script di hardening per Windows 10/11 di ZephrFish - script PowerShell per l'hardening di Windows 10/11

TLS/SSL

• Generatore di configurazione SSL di Mozilla

Cloud

• toniblyx/my-arsenal-of-aws-security-tools - Elenco di strumenti open source per la sicurezza AWS: difensivi, offensivi, di auditing, DFIR, ecc.

Generatori di password

• How-To Geek - 10 modi per generare una password casuale dalla riga di comando di Linux
• Vitux - 8 modi per generare una password casuale nella shell Linux
• SS64 - Sicurezza delle password e confronto tra generatori di password

Libri

Altre liste Awesome

Altre liste Awesome sulla sicurezza

(tratte da Awesome Security)

• Awesome Security - Una raccolta di fantastici software, librerie, documenti, libri, risorse e cose interessanti sulla sicurezza.
• Android Security Awesome - Una raccolta di risorse relative alla sicurezza Android.
• Awesome CTF - Una lista curata di framework, librerie, risorse e software CTF.
• Awesome Cyber Skills - Una lista curata di ambienti di hacking in cui puoi allenare le tue competenze informatiche in modo legale e sicuro.
• Awesome Hacking - Una lista curata di fantastici tutorial, strumenti e risorse sull'hacking.
• Awesome Honeypots - Una lista fantastica di risorse sugli honeypot.
• Awesome Malware Analysis - Una lista curata di fantastici strumenti e risorse per l'analisi del malware.
• Awesome PCAP Tools - Una raccolta di strumenti sviluppati da altri ricercatori nell'area dell'informatica per elaborare tracce di rete.
• Awesome Pentest - Una raccolta di fantastiche risorse, strumenti e altre cose brillanti per il penetration testing.
• Awesome Linux Containers - Una lista curata di fantastici framework, librerie e software per Linux Containers.
• Awesome Incident Response - Una lista curata di risorse per l'incident response.
• Awesome Web Hacking - Questa lista è per chiunque voglia imparare la sicurezza delle applicazioni web ma non abbia un punto di partenza.
• Awesome Threat Intelligence - Una lista curata di risorse sulla threat intelligence.
• Awesome Pentest Cheat Sheets - Raccolta di cheat sheet utili per il pentesting