Conducting risk assessments is a vital part of securing information systems. The task of conducting risk assessments is a time-consuming and costly task for organizations. Thus different security control frameworks have been created to assist in the process. These security control frameworks consists of information about what the organization is supposed to implement to achieve a level of security in their information system. To understand what network hardening solution to use and in what part of the system, an analyst needs to manually use the implementation details gathered from the framework. A security control can be split into different security tiers depending on the amount of security the implementation achieves. The security tiers are defined by the authors of the security control framework. An organization can reduce their cost and time spent on implementing the security by having a tool that parses the information system and creates guidelines based on security controls and parsed data.

In this research, we will compare different security controls and based on the findings, investigate hardware, software and configurations that are being used when conducting network hardening. We will evaluate to which extent it is possible to generate guidelines that meet the given security tier, whether it is feasible to apply them and present a prototype that is able to generate guidelines.

The different security controls will be compared by analyzing the contents of each control in the frameworks. A comprehensive mapping will be created and based on the information gathered in the mapping, network-hardening implementations will be investigated based on the devices in our experiment environment. With implementations at hand, a tool will be proposed that parses information systems and outputs guidelines that integrate the implementations in a readable format. Experts within the field of system hardening then evaluate the created guidelines in terms of achieving defined security levels.

For the comparison, a total of 148 different controls were identified to be related in some way. With 148 controls at hand, the prototype can output 111 different guidelines with different security tier associations. According to the comments from the experts, the proposed guidelines were able to satisfy each security tier.

Our prototype displayed that we were able to create guidelines that can meet a given security tier. Although the implementation of each guideline is not automated, identifying what network-hardening implementation should be used is done in an automated fashion and thus allowing organizations to put their spending and time into other organizational interests. \newline

Att utföra riskbedömningar är en nödvändig process när ett informations-system ska säkras. Uppgiften med att utföra riskbedömningar är för organisationer en tidskrävande och dyr process. Därför har olika ramverk för säkerhetskontroller tagits fram för att underlätta denna uppgift. Dessa ramverk innehåller information över vad en organisation behöver implementera för att erhålla en specifik nivå av säkerhet i deras informations-system. Den här säkerhetsnivån varierar beroende på hur mycket säkerhet en implementation tillför. De olika nivåerna definieras av ramverksförfattarna. För att förstå vilka nätverkshärdningar organisationen ska använda samt för vilken del i systemet dessa härdningar ska appliceras, behöver en analytiker manuellt gå igenom implementerings-lösningar i ramverken tillsammans med systemet och på så vis ta fram korrekt härdningsåtgärd för en specifik del i systemet.

Syftet med arbetet är att jämföra olika säkerhetskontroller och baserat på resultatet undersöka hur hårdvara, mjukvara och konfigurationer kan användas för att härda nätverket. Vi kommer att utvärdera i vilken utsträckning det är möjligt att generera riktlinjer, huruvida det är möjligt att applicera riktlinjerna och ta fram en prototyp som kan generera riktlinjer.

De olika ramverken kommer att jämföras genom att innehållet i deras säkerhetskontroller analyseras. En omfattande mappning kommer att tas fram baserat på analysen och utifrån mappningen kommer ytterliggare implementationer rörande nätverkshädrning analyseras. Med hjälp av implementationerna kommer ett verktyg att föreslås vilket analyserar ett informations-system och som producerar riktlinjer som integrerar implementationerna till ett läsbart format. Dessa riktlinjer undersöks sedan av experter gällande hur väl riktlinjerna uppnår definerade säkerhetsnivåer.

Under arbetet identifierades totalt 148 olika säkerhets-kontroller som påvisade likhet med varandra. Med dessa 148 kontroller tillgodo klarade vår prototyp av att producera 111 olika riktlinjer tillhörande olika säkerhetsnivåer beroende på systemet som matades in. Enligt kommentarerna ur granskningen som experterna utförde gick följande att konstatera: riktlinjerna som tas fram genom prototypen kunde upprätthålla varje säkerhetsnivå.

Vår prototyp påvisade att det var möjligt att skapa riktlinjer som uppnår en efterfrågad säkerhetsnivå. Även om implementering för varje producerad riktlinje inte är automatiserad så kunde vår prototyp automatisera processen av att avgöra vilken nätverks-härdnings implementation som skulle användas för var riktlinje. Detta tillåter organisationer att lägga mer tid och investeringar i andra organisatoriska intressen.