Suporte Técnico
Documentação
Entrar
Entre em contato conosco
Vá direto para um resumo gerado por IA desta postagem do blog 
FIPS 140-3
Uma notícia empolgante: a TuxCare recebeu recentemente um certificado CMVP validado pelo CMVP pelo kernel do AlmaLinux 9.2 e agora está na lista ativa do NIST Lista Ativa (à frente da Red Hat e da Oracle!), e esperamos receber nosso certificado do OpenSSL em breve também.
Os módulos do espaço do usuário (libgcrypt, nss, gnutls) estão na lista do MIP , mas podem levar mais alguns meses devido ao acúmulo de pedidos no CMVP, o que, graças à nova Validação Provisória , deve avançar muito mais rapidamente – na verdade, não esperávamos receber nosso certificado do kernel antes de mais alguns meses.
Nossos pacotes FIPS 140-3 fazem parte de nosso Atualizações de Segurança Estendidas – que inclui atualizações para os pacotes FIPS (recentemente, realizamos uma revalidação da versão 2 do kernel para incluir uma correção para várias vulnerabilidades, incluindo a CVE-2024-1086, que foi incluída no Catálogo de Vulnerabilidades Exploradas da CISA), bem como a possibilidade de permanecer em uma versão secundária do AlmaLinux por um período prolongado e ainda assim receber atualizações de segurança – chega de ciclo de vida de 6 meses ou de ter que escolher entre segurança e conformidade para seus produtos ou infraestrutura!
A validação FIPS, além da criptografia, também demonstra que o fornecedor realiza testes rigorosos de software, investiu em um modelo de desenvolvimento maduro e está comprometido com a manutenção da segurança dos módulos.
Você não precisa trabalhar com o governo dos EUA para se beneficiar de produtos validados pela FIPS 140-3 — qualquer pessoa que queira proteger seus dados e a privacidade de seus clientes deve considerar ativar o “modo FIPS” em seus servidores, para que você possa ter a certeza de que a criptografia utilizada pelo seu servidor web, servidor de e-mail, acesso remoto e assim por diante foi exaustivamente testada. O processo de validação também garante que a implementação dessa criptografia no software tenha sido verificada e inclua medidas para impedir modificações ou a execução com configurações não autorizadas.
DISA STIG
(Atualizado em 4 de dezembro de 2024)
Nossa próxima notícia – há pouco mais de um ano, a TuxCare vem trabalhando com a DISA na elaboração de um STIG para o sistema operacional AlmaLinux 9.
Pois é, agora você pode ler o anúncio de publicação da DISA e baixar o STIG !
A automação com Ansible/Chef/SCAP será disponibilizada em breve pela DISA, mas para quem não quiser esperar, minha própria automação pode ser encontrada aqui; ela já foi utilizada por alguns de nossos clientes em um projeto piloto.
Então, o que é um STIG, você pode perguntar? STIG significa Security Technical Implementation Guide (Guia Técnico de Implementação de Segurança); trata-se de um conjunto de padrões de configuração segura para o uso de um produto (sistema operacional, hardware, software...) no Departamento de Defesa dos Estados Unidos e nas redes associadas (DoDIN).
Uma estrutura de segurança cibernética como a ISO 27001 descreveria os STIGs nos seguintes termos: “um conjunto de requisitos de conformidade em segurança de TI e controles técnicos para alcançá-los”.
Os requisitos baseiam-se, em grande parte, na onipresente NIST SP800-53. Eles apresentam três categorias de gravidade: a categoria I pode resultar em perda de vidas, a categoria II pode resultar em ferimentos ou perda de confidencialidade, integridade ou disponibilidade (conhecida no mundo da segurança da informação como a Tríade CIA) e, finalmente, a categoria III pode resultar em atrasos na recuperação de desastres ou na perda da capacidade de proteção contra as categorias de risco mais elevadas.
O uso de módulos criptográficos FIPS é obrigatório em um STIG, assim como algumas políticas bastante rigorosas, como a autenticação por cartão inteligente, a proteção da CPU e da RAM, a criptografia completa do disco com LUKS e o uso do USBGuard — chega de conectar seu celular ao laptop do trabalho!
Mais uma vez, você não precisa fazer parte do governo dos EUA para reconhecer o valor de um STIG e utilizá-lo — trata-se provavelmente do mais alto nível de orientação em reforço de segurança que existe, abrangendo práticas como AAA, DLP, controle de acesso físico/lógico e princípio do privilégio mínimo; ele está disponível gratuitamente e, com várias ferramentas capazes de testar a conformidade com o STIG, pode ser a resposta para todas as suas necessidades de conformidade em cibersegurança.
Índices de referência da CIS
Por fim, tenho orgulho de anunciar que o Center for Internet Security lançou a versão 2.0.0 do sistema operacional AlmaLinux 9 de benchmark , que foi testado na versão 9.4 e é compatível com a versão mais recente do CIS-CAT Pro e estará disponível como um Kit de Compilação ainda este mês.
Atualizei meu Ansible/libvirt de automação , que agora também inclui suporte para o benchmark do AlmaLinux OS 8 v3.0.0 benchmark.
As principais atualizações se baseiam nas alterações incorporadas a partir dos benchmarks mais recentes do AlmaLinux OS 8 e do Debian 12, com o objetivo de simplificar as orientações sobre políticas de criptografia em todo o sistema, descarregamento de módulos do kernel e remoção de pacotes versus mascaramento de serviços. Alterações semelhantes serão incluídas no próximo benchmark do Ubuntu 24.04.
A equipe da TuxCare dedica seu tempo e conhecimento ao desenvolvimento e aos testes dos padrões de referência do CIS, e trabalhamos com diversos fornecedores de produtos de segurança para garantir que as verificações de conformidade das distribuições Linux que oferecemos suporte sejam mantidas atualizadas. Muitos de nossos clientes utilizam os padrões de referência do CIS como bases de segurança internas ou para produtos que não exigem conformidade com a legislação do governo dos EUA.
Entre em contato conosco hoje mesmo para conversarmos sobre suas necessidades de segurança cibernética!
