ระบบรักษาความปลอดภัยบนโฮสต์ (Host Based Security SystemหรือHBSS ) เป็นชื่ออย่างเป็นทางการของ ชุดซอฟต์แวร์สำเร็จรูปเชิงพาณิชย์ (Commercial Off-the-Shelf หรือ COTS) ที่ กระทรวงกลาโหม สหรัฐฯ (DOD) ใช้ในการตรวจสอบ ตรวจจับ และป้องกันเครือข่ายและระบบคอมพิวเตอร์ของ DOD กลุ่มคณะกรรมการกำกับดูแลโซลูชันการประกันความปลอดภัยของข้อมูลและการป้องกันเครือข่ายคอมพิวเตอร์ระดับองค์กร (Enterprise-wide Information Assurance and Computer Network Defense Solutions Steering Groupหรือ ESSG) ได้ให้การสนับสนุนการจัดซื้อระบบ HBSS เพื่อใช้ภายในเครือข่ายองค์กรของ DOD HBSS ถูกติดตั้งใช้งานทั้งบนเครือข่าย Non-Classified Internet Protocol Routed Network (NIPRNet) และ เครือข่าย Secret Internet Protocol Routed Network (SIPRNet) โดยให้ความสำคัญกับการติดตั้งบน NIPRNet ก่อน HBSS พัฒนาขึ้นจากePolicy Orchestrator (ePO) ของMcAfee, Inc.และแอปพลิเคชันรักษาความปลอดภัยเฉพาะจุดอื่นๆ ของ McAfee เช่นHost Intrusion Prevention System (HIPS)

เนื่องจากเห็นความจำเป็นในการจัดหาชุดเครื่องมือรักษาความปลอดภัยที่ครอบคลุมทั่วทั้งแผนกสำหรับผู้ดูแลระบบของกระทรวงกลาโหม ESSG จึงเริ่มรวบรวมข้อกำหนดสำหรับการจัดตั้งระบบรักษาความปลอดภัยบนโฮสต์ในช่วงฤดูร้อนปี 2548 ในเดือนมีนาคม 2549 BAE Systemsและ McAfee ได้รับสัญญาในการจัดหาระบบรักษาความปลอดภัยบนโฮสต์แบบอัตโนมัติให้กับกระทรวง หลังจากได้รับสัญญาแล้ว ได้มีการระบุไซต์นำร่อง 22 แห่งเพื่อรับการใช้งาน HBSS ครั้งแรก^{[ 1 ]} ในระหว่างการเปิดตัวนำร่อง ผู้ดูแลระบบของกระทรวงกลาโหมทั่วโลกได้รับการระบุและฝึกอบรมเกี่ยวกับการใช้ซอฟต์แวร์ HBSS เพื่อเตรียมพร้อมสำหรับการใช้งานซอฟต์แวร์ทั่วทั้งกระทรวงกลาโหม

เมื่อวันที่ 9 ตุลาคม พ.ศ. 2550 กองกำลังเฉพาะกิจร่วมเพื่อการปฏิบัติการเครือข่ายทั่วโลก (JTF-GNO) ได้ออกคำสั่งภารกิจการสื่อสาร (CTO) 07-12 ( การติดตั้งระบบรักษาความปลอดภัยบนโฮสต์ (HBSS) ) ซึ่งกำหนดให้มีการติดตั้ง HBSS บนเครือข่ายกองบัญชาการรบ กองทัพ และหน่วยงาน (CC/S/A) ทั้งหมดภายในกระทรวงกลาโหม โดยมีกำหนดแล้วเสร็จภายในไตรมาสที่ 3 ของปี พ.ศ. 2551 ^{[ 2 ]}การออก CTO นี้ทำให้ HBSS ได้รับความสนใจจากหัวหน้าแผนกหลักและ CC/S/A ทั้งหมด ซึ่งทำให้ ESSG มีอำนาจที่จำเป็นในการบังคับใช้การติดตั้ง หน่วยงานที่ไม่เต็มใจปฏิบัติตาม CTO อาจเสี่ยงต่อการถูกตัดการเชื่อมต่อจากโครงข่ายข้อมูลทั่วโลก ของกระทรวงกลาโหม (GIG) เนื่องจากการไม่ปฏิบัติตามใดๆ

บทเรียนที่ได้จากโครงการนำร่องให้ข้อมูลเชิงลึกที่มีค่าแก่โครงการ HBSS ซึ่งในที่สุดนำไปสู่การที่หน่วยงานระบบสารสนเทศด้านการป้องกันประเทศ (DISA) จัดหาทั้งฮาร์ดแวร์ HBSS ที่ติดตั้งซอฟต์แวร์ไว้ล่วงหน้าและอิมเมจซอฟต์แวร์ HBSS ที่สามารถติดตั้งบนแพลตฟอร์มฮาร์ดแวร์ที่เข้ากันได้ สิ่งนี้พิสูจน์แล้วว่ามีคุณค่าอย่างยิ่งในการช่วยลดภาระงานการติดตั้งสำหรับผู้ดูแลระบบ HBSS ที่ได้รับการฝึกอบรมใหม่ และสร้างพื้นฐานซอฟต์แวร์ที่สอดคล้องกันทั่วทั้งหน่วยงาน นอกจากนี้ DISA ยังได้จัดทำเอกสารขั้นตอนการสร้างพื้นฐาน HBSS จากระบบปฏิบัติการที่ติดตั้งใหม่ บทเรียนที่ได้จากการติดตั้ง NIPRNet ช่วยลดความซับซ้อนของกระบวนการติดตั้ง HBSS บน SIPRNet

• ฤดูร้อนปี 2548: ESSG รวบรวมข้อมูลเกี่ยวกับการจัดตั้งระบบ HBSS แบบอัตโนมัติ
• มีนาคม 2549: BAE Systems และ McAfee ได้รับสัญญาในการจัดตั้งและใช้งาน HBSS
• 27 มีนาคม 2550: ESSG อนุมัติให้ใช้งาน HBSS อย่างเต็มรูปแบบทั่วทั้งองค์กรของกระทรวงกลาโหม
• 9 ตุลาคม 2550: JTF-GNOเผยแพร่ CTO 07–12
• พฤศจิกายน พ.ศ. 2552: กองทัพอากาศมอบหมายให้Northrop Grummanดำเนินการติดตั้ง HBSS บน SIPRNet ^{[ 3 ]}

ตลอดอายุการใช้งาน HBSS ได้รับการอัปเดตเวอร์ชันพื้นฐานครั้งใหญ่หลายครั้ง รวมถึงการออกเวอร์ชันบำรุงรักษาเล็กน้อยด้วย เวอร์ชันหลักแรกของ HBSS เรียกว่า Baseline 1.0 ซึ่งประกอบด้วยเครื่องมือจัดการนโยบาย McAfee ePolicy, HIPS, เครื่องมือตรวจสอบความสอดคล้องของซอฟต์แวร์ (SCP), การตรวจจับระบบที่ไม่ได้รับอนุญาต (RSD), ตัวจัดการฐานข้อมูลสินทรัพย์ (ABM) และซอฟต์แวร์สินทรัพย์ เมื่อมีการเปิดตัวเวอร์ชันใหม่ ผลิตภัณฑ์ซอฟต์แวร์เหล่านี้ได้รับการพัฒนา มีการเพิ่มผลิตภัณฑ์ใหม่ และในบางกรณีก็ถูกแทนที่ด้วยผลิตภัณฑ์อื่นโดยสิ้นเชิง

ณ เดือนมกราคม พ.ศ. 2554 HBSS อยู่ในเวอร์ชัน Baseline 4.5, Maintenance Release 2.0 (MR2) MR2 ประกอบด้วยซอฟต์แวร์ดังต่อไปนี้:

หัวใจหลักของ HBSS คือเครื่องมือจัดการ McAfee ePolicy orchestrator (ePO) เครื่องมือของ McAfee มีหน้าที่ดังต่อไปนี้:

• การนำเสนอส่วนหน้าที่มีความสม่ำเสมอให้กับผลิตภัณฑ์ที่ตรงประเด็น
• รวบรวมข้อมูลผลิตภัณฑ์ ณ จุดขายเพื่อการวิเคราะห์
• นำเสนอรายงานผลิตภัณฑ์เฉพาะจุด
• การจัดการการอัปเดตและการสื่อสารเกี่ยวกับผลิตภัณฑ์
• ตรวจสอบให้แน่ใจว่าการติดตั้งแพทช์เป็นไปตามข้อกำหนด

McAfee ถือว่าผลิตภัณฑ์เฉพาะจุด (Point Product) คือแอปพลิเคชันซอฟต์แวร์แต่ละตัวที่ควบคุมโดยเซิร์ฟเวอร์ ePO ผลิตภัณฑ์เฉพาะจุด HBSS ประกอบด้วยสิ่งต่อไปนี้:

• ระบบป้องกันการบุกรุกโฮสต์ (HIPS)
• ผู้ตรวจสอบนโยบาย (PA)
• โมดูลฐานข้อมูลสินทรัพย์ (ABM)
• การตรวจจับระบบที่ไม่ได้รับอนุญาต (RSD)
• โมดูลควบคุมอุปกรณ์ (DCM)
• บริการเผยแพร่สินทรัพย์ (APS)

ระบบป้องกันการบุกรุกโฮสต์ (HIPS) ประกอบด้วยไฟร์วอลล์บนโฮสต์และการบล็อกระดับแอปพลิเคชันที่รวมอยู่ในผลิตภัณฑ์เดียว ส่วนประกอบ HIPS เป็นหนึ่งในส่วนประกอบที่สำคัญที่สุดของ HBSS เนื่องจากมีความสามารถในการบล็อกรูปแบบการบุกรุกที่รู้จักและจำกัดบริการและแอปพลิเคชันที่ไม่ได้รับอนุญาตที่ทำงานบนเครื่องโฮสต์

ผู้ตรวจสอบนโยบาย (PA) ได้รับการแนะนำใน HBSS Baseline 2.0 ผู้ตรวจสอบนโยบายมีหน้าที่รับผิดชอบในการตรวจสอบให้แน่ใจว่ามีการปฏิบัติตามข้อกำหนดต่างๆ เช่นมาตรฐานความปลอดภัยข้อมูลอุตสาหกรรมบัตรชำระเงิน (PCI DSS), พระราชบัญญัติ Sarbanes–Oxley ปี 2002 (SOX), พระราชบัญญัติ Gramm–Leach–Blileyปี 1999 (GLBA), พระราชบัญญัติการพกพาและการรับผิดชอบด้านการประกันสุขภาพปี 1996 (HIPAA), พระราชบัญญัติการจัดการความปลอดภัยข้อมูลของรัฐบาลกลางปี ​​2002 (FISMA) รวมถึงกรอบแนวทางปฏิบัติที่ดีที่สุดISO 27001:2005และวัตถุประสงค์การควบคุมสำหรับข้อมูลและเทคโนโลยีที่เกี่ยวข้อง ( COBIT ) PA จะแมปการควบคุม IT กับเนื้อหานโยบายที่กำหนดไว้ล่วงหน้า McAfee Policy Auditor ช่วยให้รายงานได้อย่างสม่ำเสมอและแม่นยำตามข้อกำหนดอุตสาหกรรมที่สำคัญและนโยบายภายในทั่วทั้งโครงสร้างพื้นฐานของคุณหรือบนระบบเป้าหมายเฉพาะ Policy Auditor เป็นโซลูชันการตรวจสอบ IT แบบเอเจนต์ที่ใช้Security Content Automation Protocol (SCAP) เพื่อทำให้กระบวนการที่จำเป็นสำหรับการตรวจสอบ IT ภายในและภายนอกเป็นไปโดยอัตโนมัติ^{[ 4 ]}

โมดูลฐานข้อมูลสินทรัพย์ (Assets Baseline Module หรือ ABM) ซึ่งเปิดตัวใน Baseline 1.0 ในฐานะ ผลิตภัณฑ์สำเร็จรูป ของรัฐบาล (Government Off-the-Shelfหรือ GOTS) ใช้สำหรับจัดการการกำหนดค่าพื้นฐานของระบบและการเปลี่ยนแปลงต่างๆ เพื่อตอบสนองต่อ การเปลี่ยนแปลง เงื่อนไขการปฏิบัติการด้านข้อมูล (Information Operations Conditionหรือ INFOCON) ที่จำเป็นในช่วงเวลาที่มีภัยคุกคามด้านความปลอดภัยต่อระบบเพิ่มสูงขึ้น ในช่วงเริ่มต้นของการใช้งาน HBSS โมดูลสินทรัพย์ยังไม่สมบูรณ์และขาดความสามารถตามที่ตั้งใจไว้หลายประการ อย่างไรก็ตาม แอปพลิเคชันได้พัฒนาอย่างเต็มที่จนกลายเป็นเวอร์ชันที่แข็งแกร่งและมีคุณสมบัติครบครัน สามารถรองรับเป้าหมายการออกแบบของซอฟต์แวร์ดั้งเดิมได้ ABM เดิมชื่อ Assets 1.0 ต่อมาได้รับการอัปเกรดเป็น Assets 2.0 ใน HBSS Baseline 2.0 และต่อมาเรียกว่า Assets 3000 ใน HBSS Baseline 3.0

ส่วนประกอบตรวจจับระบบที่ไม่พึงประสงค์ (RSD) ของ HBSS ใช้สำหรับตรวจจับโฮสต์ใหม่ที่เชื่อมต่อกับเครือข่ายแบบเรียลไทม์ RSD จะตรวจสอบส่วนต่างๆ ของเครือข่ายและรายงานโฮสต์ทั้งหมดที่พบในเครือข่ายไปยังเซิร์ฟเวอร์ ePO จากนั้นเซิร์ฟเวอร์ ePO จะพิจารณาว่าระบบนั้นเชื่อมต่อกับเซิร์ฟเวอร์ ePO หรือไม่ มีการติดตั้งเอเจนต์ McAfee หรือไม่ ถูกระบุว่าเป็นข้อยกเว้นหรือไม่ หรือถือว่าเป็นระบบที่ไม่พึงประสงค์ จากนั้นเซิร์ฟเวอร์ ePO จะดำเนินการที่เหมาะสมกับโฮสต์ที่ไม่พึงประสงค์ตามที่ระบุไว้ในนโยบาย RSD HBSS Baseline 1.0 ได้แนะนำ RSD 1.0 และได้รับการอัปเดตเป็นเวอร์ชัน 2.0 ใน HBSS Baseline 2.0

ส่วนประกอบ DCM ของ HBSS ถูกนำมาใช้ใน HBSS Baseline 2.0 โดยเฉพาะเพื่อแก้ไขปัญหาการใช้อุปกรณ์ USB บนเครือข่าย DOD JTF-GNO CTO 09-xxx การใช้งานอุปกรณ์สื่อแฟลชแบบถอดได้ภายในและระหว่างเครือข่ายกระทรวงกลาโหม (DOD)ได้รับการเผยแพร่ในเดือนมีนาคม พ.ศ. 2552 และอนุญาตให้ใช้สื่อแบบถอดได้ USB ได้ หากเป็นไปตามเงื่อนไขทั้งหมดที่ระบุไว้ใน CTO หนึ่งในเงื่อนไขเหล่านี้กำหนดให้ใช้ HBSS ร่วมกับโมดูล DCM ที่ติดตั้งและกำหนดค่าเพื่อจัดการอุปกรณ์ USB ที่เชื่อมต่อกับระบบ^{[ 5 ]} DCM ได้รับการเปลี่ยนชื่อเป็นการ ป้องกัน การสูญเสียข้อมูล (DLP) ใน HBSS Baseline 3.0 MR3

บริการเผยแพร่ข้อมูลสินทรัพย์ (APS) ของ HBSS ถูกนำมาใช้ใน HBSS Baseline 4.0 เพื่อให้หน่วยงานต่างๆ สามารถรายงานข้อมูลสินทรัพย์ไปยังหน่วยงานภายนอกของกระทรวงกลาโหมสหรัฐฯ ในรูปแบบที่สอดคล้องกับมาตรฐาน บริการนี้เพิ่มข้อมูลบริบทให้กับสินทรัพย์ของ HBSS และช่วยให้ระบบที่ใช้ข้อมูลจาก HBSS มีคุณสมบัติการรายงานที่ดีขึ้น

ตามข้อมูลจาก JTF-GNO CTO 07–12 หน่วยงาน DOD ทุกแห่งจำเป็นต้องติดตั้ง HBSS ในเครือข่ายของตน DISA ได้จัดทำซอฟต์แวร์ HBSS ให้ดาวน์โหลดได้จากเซิร์ฟเวอร์แพทช์ที่ได้รับการป้องกันด้วยPKIผู้ใช้ที่พยายามดาวน์โหลดซอฟต์แวร์จะต้องมีCommon Access Card (CAC) และอยู่ใน เครือข่าย . mil DISA ให้บริการซอฟต์แวร์และการอัปเดตฟรีแก่หน่วยงาน DOD

นอกจากนี้ ผู้ดูแลระบบ HBSS ต้องผ่านการฝึกอบรม HBSS อย่างน่าพอใจ และโดยทั่วไปจะได้รับการแต่งตั้งเป็นลายลักษณ์อักษรจากผู้บังคับหน่วยหรือกอง

เพื่อให้สามารถรับและบริหารจัดการระบบ HBSS ได้ ผู้ดูแลระบบจะต้องผ่านการฝึกอบรม HBSS ออนไลน์หรือในห้องเรียนจนเสร็จสิ้นอย่างน่าพอใจ และได้รับการรับรองว่าเป็นผู้ดูแลระบบ HBSS การฝึกอบรมออนไลน์ใช้เวลา 30 ชั่วโมง ในขณะที่การฝึกอบรมในห้องเรียนใช้เวลาสี่วัน ไม่รวมเวลาเดินทาง นอกจากนี้ยังมีหลักสูตร HBSS ขั้นสูงสำหรับผู้ดูแลระบบ HBSS ที่ต้องการความรู้เชิงลึกเกี่ยวกับระบบมากขึ้น การฝึกอบรม HBSS ออนไลน์และในห้องเรียนนั้นบริหารจัดการโดย DISA

สำนักงานบริหารความเสี่ยง DISA (RE) ซึ่งเดิมคือสำนักงานรักษาความปลอดภัยภาคสนาม (FSO) ให้การสนับสนุนทางเทคนิคฟรีสำหรับผู้ดูแลระบบ HBSS ทั้งหมดผ่านทางฝ่ายช่วยเหลือ DISA มีการสนับสนุนสามระดับ ตั้งแต่ระดับที่ 1 ถึงระดับที่ 3 การสนับสนุนระดับที่ 1 และระดับที่ 2 ให้บริการโดย DISA FSO ในขณะที่การสนับสนุนระดับที่ 3 ให้บริการโดย McAfee การสนับสนุน DISA FSO มีให้บริการโดยใช้วิธีใดวิธีหนึ่งต่อไปนี้: ^{[ 6 ]}

ปัจจุบัน HBSS ได้รับการอัปเดตหลายครั้งจากเวอร์ชัน Baseline 1.0 ดั้งเดิม จนถึงเวอร์ชัน Baseline 3.0 หรือ MR3 ในปัจจุบัน ภายในเวอร์ชัน Baseline 3.0 มีการออกเวอร์ชันปรับปรุงแก้ไขทุกๆ สองถึงสี่เดือน ซึ่งช่วยเพิ่มเสถียรภาพและความปลอดภัยให้ดียิ่งขึ้นในแต่ละเวอร์ชัน HBSS ติดตามการอัปเดตเวอร์ชันของ McAfee ePO อย่างใกล้ชิด และคาดว่าจะยังคงเป็นเช่นนั้นต่อไป เนื่องจาก ePO ได้รับการพัฒนาอย่างต่อเนื่อง

• ระบบรักษาความปลอดภัยปลายทางแพร่กระจายไปทั่วกองทัพ
• บริษัท Northrop Grumman ชนะสัญญาจัดหาอุปกรณ์ SIPRNET ให้กับกองทัพอากาศ
• สภาพแวดล้อมสนับสนุนการประกันความปลอดภัยของข้อมูล
• บริษัท แมคอาฟี อิงค์
• บีเออี ซิสเต็มส์