CIS benchmarks
Los CIS Benchmarks son líneas base de configuración por consenso, publicadas por el Center for Internet Security, para bastionar sistemas operativos, servicios cloud, contenedores y aplicaciones. Cada benchmark es una lista numerada de ajustes con su justificación, su procedimiento de comprobación y su paso de corrección, agrupados en perfiles según cuánta disrupción operativa provocan.
La división por perfiles es la parte que la gente se salta. Un perfil de nivel 1 está pensado para aplicarse de forma amplia con poco efecto sobre la función; un perfil de nivel 2 supone un requisito de seguridad más alto y da por hecho que algo se va a romper. Aplicar una recomendación de nivel 2 a un parque de propósito general porque puntuaba mal es la forma habitual de provocar una caída en nombre del hardening.
Para una organización española hay una segunda referencia que muchas veces no es opcional. Las guías CCN-STIC que publica el Centro Criptológico Nacional son las líneas base desde las que trabaja una auditoría del ENS, y cuando las dos no coinciden es la guía nacional la que hay que cumplir. Pasar un escaneo de benchmark no es evidencia de cumplimiento del esquema nacional, y presentarlo como si lo fuera es un hallazgo en sí mismo.
Para lo que sí sirve de verdad la puntuación de un benchmark es para triar antes de un encargo: te dice qué ajustes se han considerado, no cuáles están aplicados. Tratamos una puntuación alta como una hipótesis y verificamos directamente sobre el equipo los ajustes que tienen valor de ataque, porque los escáneres leen por rutina una política que está definida y no aplicada. Esa verificación forma parte del trabajo de hardening de Microsoft 365 donde estas líneas base son el punto de partida.