Security configuration baselines / hardening

Документирани secure defaults за OS, cloud, SaaS, network devices и applications.

Намалява exposed services, weak defaults и unnecessary features.

Всеки ненужен service, default credential, open port и weak protocol е още един вариант attacker-ът да бъде креативен.

Server няма operational нужда от SMBv1, local guest account и interactive browser. Ако са enabled „по подразбиране“, attack surface е по-голяма без бизнес полза.

Baseline е публикуван веднъж, но никой не следи drift. След година production системите приличат на baseline-а само по hostname.

Measure configuration compliance continuously и изисквайте owner + expiry за exceptions.

• CIS Benchmarks/approved baselines.
• Configuration-as-code.
• Drift detection.
• Exception process.

Hardening drift-ва с времето и трябва да се измерва.