Systemhärtung: Unterschied zwischen den Versionen
Keine Bearbeitungszusammenfassung |
Keine Bearbeitungszusammenfassung |
||
| (20 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt) | |||
| Zeile 1: | Zeile 1: | ||
''' | '''Systemhärtung''' - Kurzbeschreibung | ||
== Beschreibung == | == Beschreibung == | ||
Unter '''Härten''' (englisch Hardening) versteht man in der Computertechnik, die [[Computersicherheit|Sicherheit eines Systems]] zu erhöhen, indem nur [[dedizierte Software]] eingesetzt wird, die für den Betrieb des Systems notwendig ist und deren unter Sicherheitsaspekten korrekter Ablauf garantiert werden kann. Das System soll dadurch besser vor Angriffen geschützt sein. | Unter '''Härten''' (englisch Hardening) versteht man in der Computertechnik, die [[Computersicherheit|Sicherheit eines Systems]] zu erhöhen, indem nur [[dedizierte Software]] eingesetzt wird, die für den Betrieb des Systems notwendig ist und deren unter Sicherheitsaspekten korrekter Ablauf garantiert werden kann. Das System soll dadurch besser vor Angriffen geschützt sein. | ||
Das [[National Institute of Standards and Technology]] definiert Härten in der [[IT-Sicherheit]] wie folgt: „Ein Prozess, der dazu dient, eine Angriffsmöglichkeit zu eliminieren, indem Schwachstellen gepatcht und nicht benötigte Dienste abgeschaltet werden.“ | Das [[National Institute of Standards and Technology]] definiert Härten in der [[IT-Sicherheit]] wie folgt: „Ein Prozess, der dazu dient, eine Angriffsmöglichkeit zu eliminieren, indem Schwachstellen gepatcht und nicht benötigte Dienste abgeschaltet werden.“ | ||
Ziel ist es, ein System zu schaffen, das von vielen, auch weniger vertrauenswürdigen Personen benutzt werden kann. Beispielsweise gibt es für [[Gentoo Linux]] das ''hardened-Projekt'' | Ziel ist es, ein System zu schaffen, das von vielen, auch weniger vertrauenswürdigen Personen benutzt werden kann. Beispielsweise gibt es für [[Gentoo Linux]] das ''hardened-Projekt'', das eine [[Linux (Kernel)|Kernel]]-Version sowie weitere Systemdienste zusammenstellt, mit denen ein sicheres [[Linux|Linux-System]] auch für fremde Nutzer bereitgestellt werden kann. | ||
== Ziele == | == Ziele == | ||
{| class="wikitable options" | |||
|- | |||
| Reduktion der Möglichkeiten zur Ausnutzung von Verwundbarkeiten || | |||
|- | |||
| Minimierung der möglichen Angriffsmethoden || | |||
|- | |||
| Beschränkung der einem [[Hacker|Angreifer]] nach einem erfolgreichen Angriff zur Verfügung stehenden Werkzeuge || | |||
|- | |||
| Minimierung der einem Angreifer nach einem erfolgreichen Angriff zur Verfügung stehenden Privilegien || | |||
|- | |||
| Erhöhung der Wahrscheinlichkeit der Entdeckung eines erfolgreichen Angriffs || | |||
|} | |||
Als Nebenziel der Härtung kann auch eine ''mögliche'' Verringerung der Komplexität und des Wartungsaufwands des Systems gesehen werden, die zu einer höheren Beherrschbarkeit und damit einer Minimierung von Administrationsfehlern führen kann. | Als Nebenziel der Härtung kann auch eine ''mögliche'' Verringerung der Komplexität und des Wartungsaufwands des Systems gesehen werden, die zu einer höheren Beherrschbarkeit und damit einer Minimierung von Administrationsfehlern führen kann. | ||
== Methoden == | == Methoden == | ||
Übliche Methoden der Härtung sind beispielsweise | ; Übliche Methoden der Härtung sind beispielsweise | ||
{| class="wikitable options" | |||
|- | |||
! Option !! Beschreibung | |||
|- | |||
| Entfernung oder Deaktivierung von für den Betrieb nicht zwingend erforderlichen Softwarekomponenten || | |||
|- | |||
| Verwendung unprivilegierter Benutzerkonten zur Ausführung von Server-Prozessen || | |||
|- | |||
| Anpassung von Dateisystemrechten und ihrer Vererbung || | |||
|- | |||
| Verwendung von [[chroot]] oder anderen [[Jail]]s für die Ausführung von Software || | |||
|- | |||
| Verwendung von [[Mandatory Access Control]] || | |||
|- | |||
| Nutzung von [[Verschlüsselung]], z. B. für Datenübertragung | |||
|- | |||
| Verwendung möglichst fehlerfreier Software ohne bekannte Verwundbarkeiten | |||
|} | |||
Ein [[Betriebssystem]] ist als „gehärtetes System“ zu bezeichnen, | == Betriebssysteme == | ||
Ein [[Betriebssystem]] ist als „gehärtetes System“ zu bezeichnen, wenn | |||
{| class="wikitable options" | |||
|- | |||
! Option !! Beschreibung | |||
|- | |||
| ASLR || Adressbereiche für [[Programmbibliothek]]en ([[Address Space Layout Randomization|ASLR]]) und Programme (PIE) zufällig im virtuellen Speicher zugewiesen werden. ASLR kann nur vom Hersteller dieser Bibliotheken zum Erstellungszeitpunkt realisiert werden, nicht nachträglich im Betrieb | |||
|- | |||
| Minimalität || nur Komponenten und Dienste, die zwingend zum eigentlichen Betrieb benötigt werden | |||
|- | |||
| Zugänge || Nicht benötigten [[Benutzerkonto|Benutzerkonten]] sperren/löschen | |||
|- | |||
| Erreichbarkeit || Nicht benötigten [[Port (Protokoll)|Ports]] schließen/sperren | |||
|- | |||
| Zugriffsrechte || Restriktive Rechte gesetzt sind | |||
|- | |||
| Systemrichtlinien || straffe Systemrichtlinien vergeben sind | |||
|} | |||
Härtungsmaßnahmen sind getrennt von anderen Sicherungsmaßnahmen wie Patchzyklen, der Einführung von [[Antivirus]]-Lösungen, [[Firewall]]s oder [[Intrusion Detection System|IDS]]/[[Intrusion Prevention System|IPS]] zu betrachten, die komplementäre Methoden der Prävention darstellen. | Härtungsmaßnahmen sind getrennt von anderen Sicherungsmaßnahmen wie Patchzyklen, der Einführung von [[Antivirus]]-Lösungen, [[Firewall]]s oder [[Intrusion Detection System|IDS]]/[[Intrusion Prevention System|IPS]] zu betrachten, die komplementäre Methoden der Prävention darstellen. | ||
<noinclude> | <noinclude> | ||
== Anhang == | == Anhang == | ||
=== Siehe auch === | === Siehe auch === | ||
| Zeile 45: | Zeile 75: | ||
# https://de.wikipedia.org/wiki/H%C3%A4rten_(Computer) | # https://de.wikipedia.org/wiki/H%C3%A4rten_(Computer) | ||
[[Kategorie: | [[Kategorie:Härtung]] | ||
</noinclude> | </noinclude> | ||
Aktuelle Version vom 3. Oktober 2024, 09:57 Uhr
Systemhärtung - Kurzbeschreibung
Beschreibung
Unter Härten (englisch Hardening) versteht man in der Computertechnik, die Sicherheit eines Systems zu erhöhen, indem nur dedizierte Software eingesetzt wird, die für den Betrieb des Systems notwendig ist und deren unter Sicherheitsaspekten korrekter Ablauf garantiert werden kann. Das System soll dadurch besser vor Angriffen geschützt sein.
Das National Institute of Standards and Technology definiert Härten in der IT-Sicherheit wie folgt: „Ein Prozess, der dazu dient, eine Angriffsmöglichkeit zu eliminieren, indem Schwachstellen gepatcht und nicht benötigte Dienste abgeschaltet werden.“
Ziel ist es, ein System zu schaffen, das von vielen, auch weniger vertrauenswürdigen Personen benutzt werden kann. Beispielsweise gibt es für Gentoo Linux das hardened-Projekt, das eine Kernel-Version sowie weitere Systemdienste zusammenstellt, mit denen ein sicheres Linux-System auch für fremde Nutzer bereitgestellt werden kann.
Ziele
| Reduktion der Möglichkeiten zur Ausnutzung von Verwundbarkeiten | |
| Minimierung der möglichen Angriffsmethoden | |
| Beschränkung der einem Angreifer nach einem erfolgreichen Angriff zur Verfügung stehenden Werkzeuge | |
| Minimierung der einem Angreifer nach einem erfolgreichen Angriff zur Verfügung stehenden Privilegien | |
| Erhöhung der Wahrscheinlichkeit der Entdeckung eines erfolgreichen Angriffs |
Als Nebenziel der Härtung kann auch eine mögliche Verringerung der Komplexität und des Wartungsaufwands des Systems gesehen werden, die zu einer höheren Beherrschbarkeit und damit einer Minimierung von Administrationsfehlern führen kann.
Methoden
- Übliche Methoden der Härtung sind beispielsweise
| Option | Beschreibung |
|---|---|
| Entfernung oder Deaktivierung von für den Betrieb nicht zwingend erforderlichen Softwarekomponenten | |
| Verwendung unprivilegierter Benutzerkonten zur Ausführung von Server-Prozessen | |
| Anpassung von Dateisystemrechten und ihrer Vererbung | |
| Verwendung von chroot oder anderen Jails für die Ausführung von Software | |
| Verwendung von Mandatory Access Control | |
| Nutzung von Verschlüsselung, z. B. für Datenübertragung | |
| Verwendung möglichst fehlerfreier Software ohne bekannte Verwundbarkeiten |
Betriebssysteme
Ein Betriebssystem ist als „gehärtetes System“ zu bezeichnen, wenn
| Option | Beschreibung |
|---|---|
| ASLR | Adressbereiche für Programmbibliotheken (ASLR) und Programme (PIE) zufällig im virtuellen Speicher zugewiesen werden. ASLR kann nur vom Hersteller dieser Bibliotheken zum Erstellungszeitpunkt realisiert werden, nicht nachträglich im Betrieb |
| Minimalität | nur Komponenten und Dienste, die zwingend zum eigentlichen Betrieb benötigt werden |
| Zugänge | Nicht benötigten Benutzerkonten sperren/löschen |
| Erreichbarkeit | Nicht benötigten Ports schließen/sperren |
| Zugriffsrechte | Restriktive Rechte gesetzt sind |
| Systemrichtlinien | straffe Systemrichtlinien vergeben sind |
Härtungsmaßnahmen sind getrennt von anderen Sicherungsmaßnahmen wie Patchzyklen, der Einführung von Antivirus-Lösungen, Firewalls oder IDS/IPS zu betrachten, die komplementäre Methoden der Prävention darstellen.
Anhang
Siehe auch
Links
Weblinks