Hardening/Linux: Unterschied zwischen den Versionen

Aktuelle Version vom 23. Juni 2026, 22:42 Uhr

Hardening/Linux - Linux gegen Angriffe härten

Beschreibung

Parameter	Beschreibung
Kernel	Hardening/Linux/Kernel
Mount
SSH
Firewall
Mandatory Access Control (MAC)
Audit und Logging
Rechtemanagement
Dienste
Physischer Zugriff
Anwendungen und Container

Mount-Optionen

Härtung auf Dateisystemebene reduziert die Auswirkungen lokaler Angriffe und Fehlkonfigurationen

Separate Partitionen für Daten- und Systembereiche (z. .B. /home, /var, /tmp) vorsehen, sofern möglich

Mount-Optionen für geeignete Dateisysteme verwenden, um die Ausführung oder Nutzung bestimmter Objekttypen zu unterbinden

Kritische Systempfade möglichst restriktiv einhängen

nur lesbar
sofern möglich

SSH-Hardening

SSH ist typischer Einstiegspunkt für Angriffe und sollte besonders restriktiv konfiguriert werden

Schlüsselbasierte Authentifizierung bevorzugen und Passwörter, wo möglich, deaktivieren
Root-Login einschränken oder deaktivieren und administrative Zugriffe über dedizierte Benutzerkonten mit sudo abbilden
Protokollversion, Kryptosuiten und erlaubte Authentifizierungsverfahren anhand aktueller Sicherheitsrichtlinien auswählen

Hardening/Linux/SSH

Firewall

Eine hostbasierte Firewall begrenzt eingehenden und ausgehenden Verkehr auf das notwendige Minimum

Default-Deny-Policy für eingehenden Verkehr, explizite Freigabe nur benötigter Ports und Protokolle
Trennung von Verwaltungs-, Anwendungs- und Datenverkehr durch Zonen oder separate Regeln
Regelwerk regelmäßig prüfen und an Änderungen der Dienste oder Topologie anpassen

Firewall/Regelwerk

Mandatory Access Control

Mandatory Access Control (MAC)

MAC-Systeme ergänzen klassische Berechtigungen um kontextabhängige Richtlinien

Einsatz von AppArmor, SELinux oder vergleichbaren Mechanismen zur Einschränkung von Prozessen auf das notwendige Minimum
Profile für kritische Dienste definieren, testen und kontinuierlich pflegen
Alarmierung und Logging von Policy-Verletzungen zur Erkennung fehlerhafter Konfigurationen nutzen

AppArmor

Audit und Logging

Strukturiertes Logging unterstützt Erkennung, Analyse und Nachweis sicherheitsrelevanter Ereignisse

Zentrale Sammlung von System- und Anwendungslogs (z. .B. journald, klassische Logfiles, Audit-Subsystem)
Klare Aufbewahrungs- und Rotationsrichtlinien für Logs definieren
Regelmäßige Auswertung und Korrelation von Meldungen (z. .B. Anmeldefehler, Policy-Verstöße, Dienstabstürze)

Rechtemanagement

Sauberes Identitäts- und Rechtemanagement reduziert das Risiko von Fehlbedienung und Missbrauch

Minimalprinzip für Berechtigungen umsetzen (Least Privilege)
Trennung von administrativen und nichtadministrativen Konten
Gruppenstrukturen und sudo-Regeln so gestalten, dass nachvollziehbare Verantwortlichkeiten entstehen

Hardening/Linux/Rechtemanagement

Dienste

Jeder aktive Dienst erweitert die Angriffsfläche des Systems

Nicht benötigte Pakete, Dienste und Timer entfernen oder deaktivieren
Nur notwendige Netzwerk-Listener bereitstellen; interne Dienste möglichst auf lokale Schnittstellen binden
Standardkonfigurationen von Diensten prüfen und sicherheitsrelevante Parameter (z. .B. TLS, Authentifizierung, Zugriffskontrolle) anpassen

Hardening/Linux/Dienste

Physischer Zugriff

Physischer Zugriff ermöglicht oft das Umgehen logischer Schutzmechanismen

Einsatz von Datenträgerverschlüsselung für sensible Systeme und Datenbestände prüfen
Bootloader-Konfiguration und Start von alternativen Medien kontrollieren
Firmware-/UEFI-Einstellungen absichern und, wo sinnvoll, mit Passwörtern schützen

Anwendungen und Container

Applikationen und Container sollten nicht nur funktional, sondern auch sicher integriert werden

Standardkonfigurationen von Anwendungen prüfen und auf minimale benötigte Funktionen reduzieren
Container-Runtimes mit restriktiven Profilen (z. .B. Namespaces, seccomp, Capability-Reduktion) betreiben
Abhängigkeiten und Images regelmäßig aktualisieren und auf bekannte Schwachstellen prüfen
Zur Erhöhung der Sicherheit auf dem Docker-Host kann userns-remap eingesetzt werden

Anhang

Siehe auch

Links

Weblinks

@@ Zeile 7: / Zeile 7: @@
 |-
 |-
-| Kernel ||
+| Kernel || [[Hardening/Linux/Kernel]]
 |-
 | Mount ||
@@ Zeile 30: / Zeile 30: @@
 == Mount-Optionen ==
 Härtung auf Dateisystemebene reduziert die Auswirkungen lokaler Angriffe und Fehlkonfigurationen
-* Separate Partitionen für Daten- und Systembereiche (z.B. ''/home'', ''/var'', ''/tmp'') vorsehen, sofern möglich
+* Separate Partitionen für Daten- und Systembereiche (z.&nbsp;.B.&nbsp; ''/home'', ''/var'', ''/tmp'') vorsehen, sofern möglich
 Mount-Optionen für geeignete Dateisysteme verwenden, um die Ausführung oder Nutzung bestimmter Objekttypen zu unterbinden
@@ Zeile 57: / Zeile 57: @@
 [[Firewall/Regelwerk]]
-== Mandatory Access Control (MAC) ==
+== Mandatory Access Control ==
+; Mandatory Access Control (MAC)
 MAC-Systeme ergänzen klassische Berechtigungen um kontextabhängige Richtlinien
 * Einsatz von [[AppArmor]], SELinux oder vergleichbaren Mechanismen zur Einschränkung von Prozessen auf das notwendige Minimum
@@ Zeile 67: / Zeile 68: @@
 == Audit und Logging ==
 Strukturiertes Logging unterstützt Erkennung, Analyse und Nachweis sicherheitsrelevanter Ereignisse
-* Zentrale Sammlung von System- und Anwendungslogs (z.B. [[Systemd/Journald|journald]], klassische Logfiles, Audit-Subsystem)
+* Zentrale Sammlung von System- und Anwendungslogs (z.&nbsp;.B.&nbsp; [[Systemd/Journald|journald]], klassische Logfiles, Audit-Subsystem)
 * Klare Aufbewahrungs- und Rotationsrichtlinien für Logs definieren
-* Regelmäßige Auswertung und Korrelation von Meldungen (z.B. Anmeldefehler, Policy-Verstöße, Dienstabstürze)
+* Regelmäßige Auswertung und Korrelation von Meldungen (z.&nbsp;.B.&nbsp; Anmeldefehler, Policy-Verstöße, Dienstabstürze)
 == Rechtemanagement ==
@@ Zeile 84: / Zeile 85: @@
 * Nicht benötigte Pakete, Dienste und Timer entfernen oder deaktivieren
 * Nur notwendige Netzwerk-Listener bereitstellen; interne Dienste möglichst auf lokale Schnittstellen binden
-* Standardkonfigurationen von Diensten prüfen und sicherheitsrelevante Parameter (z.B. TLS, Authentifizierung, Zugriffskontrolle) anpassen
+* Standardkonfigurationen von Diensten prüfen und sicherheitsrelevante Parameter (z.&nbsp;.B.&nbsp; TLS, Authentifizierung, Zugriffskontrolle) anpassen
@@ Zeile 99: / Zeile 100: @@
 * Standardkonfigurationen von Anwendungen prüfen und auf minimale benötigte Funktionen reduzieren
-* Container-Runtimes mit restriktiven Profilen (z.B. Namespaces, ''seccomp'', Capability-Reduktion) betreiben
+* Container-Runtimes mit restriktiven Profilen (z.&nbsp;.B.&nbsp; Namespaces, ''seccomp'', Capability-Reduktion) betreiben
 * Abhängigkeiten und Images regelmäßig aktualisieren und auf bekannte Schwachstellen prüfen
 * Zur Erhöhung der Sicherheit auf dem [[Docker]]-Host kann [[userns-remap]] eingesetzt werden

Dirkwagner (Diskussion | Beiträge)