鐵人賽的文章期間我們探討了 Linux、容器、K8S 的幾個設定錯誤造成使用者有機會獲得 root 權限，不過資安的範圍非常廣不可能只涵蓋這幾天的內容。駭客也不會知道所有資安的知識，既然範圍這麼廣那駭客要怎麼建立自己的攻擊路徑呢？

前面我們有提到任何駭客在做攻擊之前必須先做「情資蒐集」，否則駭客也打不進去， 光是 APP 本身要枚舉的資訊,有時候就已經很多了，更何況是 APP 所在的環境？今天我們來聊聊企業用來強化系統的合規基準(Compliance),是怎麼反過來變成駭客的枚舉地圖。

什麼是 CIS Benchmark

CIS Benchmarks 是由 Center for Internet Security（CIS）與專家社群共同制定，針對特定技術提供的安全設定指南。 它們協助管理員決定系統應如何設定，以降低因設定不當而產生的安全風險。其中包含了 OS 系統、容器、K8S、 Web、甚至是瀏覽器...都有一套建議的安全設定，提供管理員加強內部安全。
官方連結：CIS Benchmarks

怎麼拿 CIS 做成枚舉的參考？

舉例來說，CIS Red Hat Enterprise Linux 9 Benchmark v3.0.0 的第 7.1.13 節「Ensure SUID and SGID files are reviewed（Manual）」，就提到我們在 Day 07 討論過的 SUID／SGID，提醒管理員審查這些檔案的用途與完整性。

換成攻擊者的視角，在滲透測試時，如果發現具有 SUID／SGID 權限的可執行檔，就可以特別留意：這個程式的擁有者是誰？我的帳號能不能執行它？它的功能是否可能被濫用，讓我取得原本沒有的權限？

不過，找到 SUID／SGID 程式不代表一定能提權，還是需要確認程式行為與環境條件。即使成功提權，也不代表能直接橫向移動到其他主機，還需要其他存取條件與證據。有興趣的人可以到 CIS 官網下載相關文件閱讀。

對管理員來說，同一條建議也提醒我們：系統中有哪些程式具有特殊權限？這些權限是否有必要？檔案是否遭到異常替換？從這些問題出發，才能進一步判斷哪些設定需要調整，以及它們可能帶來什麼風險。

隨著大家與企業的資安意識逐漸提升，企業在建置系統時，也可以參照 CIS Benchmarks 的建議來強化安全設定。臺灣也有政府組態基準（GCB，相關文件編號以 TWGCB 開頭），提供一致性安全設定的參考。這些措施無法保證完全阻止駭客入侵，但可以減少設定不當留下的攻擊機會，提高攻擊難度。畢竟沒有任何單一防禦措施能保證百分之百安全，組織仍需要依照適用的法規要求與實際需求，持續檢查設定、強化防禦，才能降低風險。

感謝大家的閱讀，今天想簡短地分享 CIS Benchmarks 的重要性，以及我們如何從攻擊者的角度，把防禦建議轉成枚舉問題。
我們明天見！