Ich habe ja vor einigen Tagen den Startartikel für meine neue Artikelserie „Server härten“ veröffentlicht. Heute geht es weiter mit den allgemeinen Grundlagen zum Server härten. Auf Wikipedia stehen einige Ziele, die durch das Server härten erreicht werden sollen. Diese will ich euch natürlich nicht vorenthalten=)die Reduktion der Möglichkeiten zur Ausnutzung von Verwundbarkeiten
- die Minimierung der möglichen Angriffsmethoden
- die Beschränkung der einem Angreifer nach einem erfolgreichen Angriff zur Verfügung stehenden Werkzeuge
- die Minimierung der einem Angreifer nach einem erfolgreichen Angriff zur Verfügung stehenden Privilegien
- die Erhöhung der Wahrscheinlichkeit der Entdeckung eines erfolgreichen Angriffs
Um diese Ziele zu erreichen, müssen einige Arbeitsschritte umgesetzt werden (ein paar habe ich ja im Startartikel schon genannt).
Ein wichtiger Punkt, für die Härtung eines Systems ist es, eine automatische Installation des Betriebssystems und der einzelnen Dienste zu vermeiden. Durch eine manuelle Installation kann direkt dafür gesorgt werden, dass nur die benötigten Bibliotheken und Dienste installiert werden.
Ein weiterer wichtiger Punkt ist, dass Server härten im speziellen und IT-Sicherheit im allgemeinen immer ein Kreislauf ist. Diesen Kreislauf möchte ich hier einmal grafisch darstellen.
Die Vorlage zu diesem Kreislauf stammt aus dem Artikel Pinguin Patrol von Lukas Grunwald, der bereits 2003 in der iX veröffentlicht wurde. Vor jeder Implementierung eines Systems muss dies gründlich geplant werden. Diese Planung sollte dann in der Dokumentation niedergeschrieben werden, um so eine lückenlose Dokumentation gewährzuleisten. Nach jedem Schritt der Installation und Konfiguration sollte überprüft werden, ob dieser richtig umgesetzt wurde. Die Ergebnisse dieser Analyse fließen wieder in die Dokumentation ein. Für die Überarbeitung des Systems wird dann wieder auf diese Daten zurückgegriffen, womit sich der Kreislauf schließt.
Wichtig für alle Schritte ist, dass diese sorgfältig ausgeführt werden. Wer mal eben schnell ein sicheres System aufsetzten will macht Fehler. Dadurch wird das System unter Umständen noch unsicherer. Also immer genug Zeit einplanen und lieber ein paar Stunden länger investieren.
Gleiches gilt auch für Updates. Hier darf man auch nicht mal eben schnell ein Update installieren, wenn man nicht genau weiß, welche Auswirkungen dies auf das System hat. Lieber einmal eine Woche warten und beobachten, ob in Foren oder auf News Seiten Berichte zu dem Update auftauchen. Sollte es nämlich mal Probleme mit einem Update geben, erfährt man dies bevor der eigene Server davon betroffen ist. Die einzige Ausnahme sind kritische Sicherheitsupdates. Diese sollten ja bekanntlich so schnell wie möglich installiert werden.
Am Ende ist noch zu erwähnen, dass zum Server härten auch die Ortsbindung des Servers zählt. Es hat keinen großen Sinn mehrere Tage darauf zu investieren einen Server Softwareseitig zu härten, wenn der Server dann in einem Raum steht, der für jeden zugänglich ist. Nur ausgewähltes Fachpersonal sollte Zugang zu den Server bekommen.
[…] Server härten – Grundlagen […]