Fare hardening a mano su una macchina è fattibile; farlo su cento, in modo coerente e ripetibile, richiede automazione basata su baseline – standard di configurazione sicura scritti da esperti:
- CIS Benchmark – i riferimenti più usati: liste dettagliate di impostazioni sicure per OS, browser, cloud, database, con livelli (L1 pratico, L2 restrittivo)
- STIG (versione governativa/militare USA), Microsoft Security Baseline (per Windows/AD)
L'automazione li applica come codice:
- Ansible con i ruoli dev-sec (
ansible-lockdown, hardening OS/SSH/nginx): descrivi lo stato sicuro desiderato, Ansible lo impone e riporta su tutte le macchine - OpenSCAP – scansiona e verifica la conformità a una baseline (misura quanto sei allineato, in percentuale)
I vantaggi: coerenza (nessuna macchina "speciale" configurata a mano e dimenticata), ripetibilità (una macchina nuova nasce già hardened), e auditabilità – la baseline è la prova documentata per ISO 27001/NIS2 di come configuri i sistemi. È l'Infrastructure as Code applicato alla sicurezza: la configurazione vive in git, versionata e revisionabile. La cautela pratica: le baseline vanno testate prima (una regola L2 può rompere un'applicazione legittima) e adattate al contesto – applicare CIS alla cieca in produzione è un modo creativo di crearsi un incidente.