APP.3.2 Webserver: Unterschied zwischen den Versionen
Keine Bearbeitungszusammenfassung |
Keine Bearbeitungszusammenfassung |
||
| Zeile 1: | Zeile 1: | ||
= Beschreibung = | == Beschreibung == | ||
== Einleitung == | === Einleitung === | ||
Ein Webserver ist die Kernkomponente jedes Webangebotes, er nimmt Anfragen der Clients entgegen und liefert die entsprechenden Inhalte zurück. | Ein Webserver ist die Kernkomponente jedes Webangebotes, er nimmt Anfragen der Clients entgegen und liefert die entsprechenden Inhalte zurück. | ||
* Die Daten werden in der Regel über das Hypertext Transfer Protocol (HTTP) oder dessen mit Transport Layer Security (TLS) verschlüsselte Variante HTTP Secure (HTTPS) transportiert. | * Die Daten werden in der Regel über das Hypertext Transfer Protocol (HTTP) oder dessen mit Transport Layer Security (TLS) verschlüsselte Variante HTTP Secure (HTTPS) transportiert. | ||
* Da Webserver eine einfache Schnittstelle zwischen Serveranwendungen und Clients bieten, werden sie auch häufig für interne Informationen und Anwendungen in Institutionsnetzen, wie dem Intranet, eingesetzt. | * Da Webserver eine einfache Schnittstelle zwischen Serveranwendungen und Clients bieten, werden sie auch häufig für interne Informationen und Anwendungen in Institutionsnetzen, wie dem Intranet, eingesetzt. | ||
Webserver sind in der Regel direkt im Internet verfügbar und bieten somit eine exponierte Angriffsfläche. | Webserver sind in der Regel direkt im Internet verfügbar und bieten somit eine exponierte Angriffsfläche. | ||
* Deswegen müssen sie durch geeignete Schutzmaßnahmen abgesichert werden. | * Deswegen müssen sie durch geeignete Schutzmaßnahmen abgesichert werden. | ||
== Zielsetzung == | === Zielsetzung === | ||
Ziel dieses Bausteins ist der Schutz des Webservers und der Informationen, die durch den Webserver bereitgestellt oder damit verarbeitet werden. | Ziel dieses Bausteins ist der Schutz des Webservers und der Informationen, die durch den Webserver bereitgestellt oder damit verarbeitet werden. | ||
== Abgrenzung und Modellierung == | === Abgrenzung und Modellierung === | ||
Der Baustein muss auf alle Webserver des Informationsverbunds angewendet werden. | Der Baustein muss auf alle Webserver des Informationsverbunds angewendet werden. | ||
Die Bezeichnung Webserver wird sowohl für die Software verwendet, welche die HTTP-Anfragen beantwortet, als auch für die IT-Systeme, auf denen diese Software ausgeführt wird. | Die Bezeichnung Webserver wird sowohl für die Software verwendet, welche die HTTP-Anfragen beantwortet, als auch für die IT-Systeme, auf denen diese Software ausgeführt wird. | ||
* In diesem Baustein wird vorrangig die Webserver-Software betrachtet. | * In diesem Baustein wird vorrangig die Webserver-Software betrachtet. | ||
* Sicherheitsaspekte des IT-Systems, auf dem die Webserver-Software installiert ist, werden im Baustein SYS.1.1 Allgemeiner Server sowie den jeweiligen betriebssystemspezifischen Bausteinen betrachtet. | * Sicherheitsaspekte des IT-Systems, auf dem die Webserver-Software installiert ist, werden im Baustein SYS.1.1 Allgemeiner Server sowie den jeweiligen betriebssystemspezifischen Bausteinen betrachtet. | ||
Empfehlungen, wie Webserver in die Netzarchitektur zu integrieren und mit Firewalls abzusichern sind, finden sich in den Bausteinen NET.1.1 Netzarchitektur und -design bzw. NET.3.2 Firewall. | Empfehlungen, wie Webserver in die Netzarchitektur zu integrieren und mit Firewalls abzusichern sind, finden sich in den Bausteinen NET.1.1 Netzarchitektur und -design bzw. NET.3.2 Firewall. | ||
Der Baustein behandelt grundsätzliche Aspekte, die für die Bereitstellung von Webinhalten wichtig sind. | Der Baustein behandelt grundsätzliche Aspekte, die für die Bereitstellung von Webinhalten wichtig sind. | ||
* Dynamische Inhalte, die durch Webanwendungen bereitgestellt werden, sind nicht Gegenstand des vorliegenden Bausteins. | * Dynamische Inhalte, die durch Webanwendungen bereitgestellt werden, sind nicht Gegenstand des vorliegenden Bausteins. | ||
* Diese werden im Baustein APP.3.1 Webanwendungen und Webservices behandelt. | * Diese werden im Baustein APP.3.1 Webanwendungen und Webservices behandelt. | ||
* Ebenso werden hier keine Webservices betrachtet. | * Ebenso werden hier keine Webservices betrachtet. | ||
Webbrowser werden in diesem Baustein nicht betrachtet. | Webbrowser werden in diesem Baustein nicht betrachtet. | ||
* Anforderungen dazu sind im Baustein APP.1.2 Webbrowser zu finden. | * Anforderungen dazu sind im Baustein APP.1.2 Webbrowser zu finden. | ||
In der Regel werden die Verbindungen zu Webservern verschlüsselt. | In der Regel werden die Verbindungen zu Webservern verschlüsselt. | ||
* Der Baustein CON.1 Kryptokonzept beschreibt, wie die dazu notwendigen kryptografischen Schlüssel sicher verwaltet werden können. | * Der Baustein CON.1 Kryptokonzept beschreibt, wie die dazu notwendigen kryptografischen Schlüssel sicher verwaltet werden können. | ||
Werden Webserver nicht selbst betrieben, sondern über einen Hosting-Anbieter bereitgestellt, ist der Baustein OPS.2.3 Nutzung von Outsourcing zu beachten. | Werden Webserver nicht selbst betrieben, sondern über einen Hosting-Anbieter bereitgestellt, ist der Baustein OPS.2.3 Nutzung von Outsourcing zu beachten. | ||
Oft werden Authentisierungsmechanismen für Webserver verwendet. | Oft werden Authentisierungsmechanismen für Webserver verwendet. | ||
* Ergänzende Anforderungen dazu finden sich im Baustein ORP.4 Identitäts- und Berechtigungsmanagement. | * Ergänzende Anforderungen dazu finden sich im Baustein ORP.4 Identitäts- und Berechtigungsmanagement. | ||
= Gefährdungslage = | == Gefährdungslage == | ||
Da IT-Grundschutz-Bausteine nicht auf individuelle Informationsverbünde eingehen können, werden zur Darstellung der Gefährdungslage typische Szenarien zugrunde gelegt. | Da IT-Grundschutz-Bausteine nicht auf individuelle Informationsverbünde eingehen können, werden zur Darstellung der Gefährdungslage typische Szenarien zugrunde gelegt. | ||
* Die folgenden spezifischen Bedrohungen und Schwachstellen sind für den Baustein APP.3.2 Webserver von besonderer Bedeutung. | * Die folgenden spezifischen Bedrohungen und Schwachstellen sind für den Baustein APP.3.2 Webserver von besonderer Bedeutung. | ||
== Reputationsverlust == | === Reputationsverlust === | ||
Gelingt es bei einem Angriff mit administrativen Rechten auf einen Webserver zuzugreifen, kann darüber eine manipulierte Webseite ausgeliefert werden (Defacement). | Gelingt es bei einem Angriff mit administrativen Rechten auf einen Webserver zuzugreifen, kann darüber eine manipulierte Webseite ausgeliefert werden (Defacement). | ||
* So kann die Reputation der Institution geschädigt werden. | * So kann die Reputation der Institution geschädigt werden. | ||
* Ebenso kann die Veröffentlichung falscher Informationen, wie zum Beispiel fehlerhafter Produktbeschreibungen, dazu führen, dass die Reputation der Institution in der Öffentlichkeit leidet. | * Ebenso kann die Veröffentlichung falscher Informationen, wie zum Beispiel fehlerhafter Produktbeschreibungen, dazu führen, dass die Reputation der Institution in der Öffentlichkeit leidet. | ||
* Auch kann die Institution abgemahnt werden, wenn auf ihrer Webseite Inhalte veröffentlicht werden, die gegen gesetzliche Vorschriften verstoßen. | * Auch kann die Institution abgemahnt werden, wenn auf ihrer Webseite Inhalte veröffentlicht werden, die gegen gesetzliche Vorschriften verstoßen. | ||
* Ein Schaden kann auch entstehen, wenn die Webseite nicht verfügbar ist und potenzielle Kunden und Kundinnen deshalb zu Mitbewerbern wechseln. | * Ein Schaden kann auch entstehen, wenn die Webseite nicht verfügbar ist und potenzielle Kunden und Kundinnen deshalb zu Mitbewerbern wechseln. | ||
== Manipulation des Webservers == | === Manipulation des Webservers === | ||
Bei einem Angriff könnten sich unberechtigte Personen Zugriff auf einen Webserver verschaffen und dessen Dateien manipulieren. | Bei einem Angriff könnten sich unberechtigte Personen Zugriff auf einen Webserver verschaffen und dessen Dateien manipulieren. | ||
* Es könnte beispielsweise die Konfiguration der Webserver-Software geändert werden, Schadsoftware verbreitet oder Webinhalte modifiziert werden. | * Es könnte beispielsweise die Konfiguration der Webserver-Software geändert werden, Schadsoftware verbreitet oder Webinhalte modifiziert werden. | ||
== Denial of Service (DoS) == | === Denial of Service (DoS) === | ||
Durch DoS-Angriffe lässt sich die Verfügbarkeit eines Webangebotes gezielt beeinträchtigen, indem beispielsweise einzelne Accounts durch fehlerhafte Anmeldungen gesperrt werden. | Durch DoS-Angriffe lässt sich die Verfügbarkeit eines Webangebotes gezielt beeinträchtigen, indem beispielsweise einzelne Accounts durch fehlerhafte Anmeldungen gesperrt werden. | ||
Durch DDoS (Distributed Denial of Service)-Angriffe kann ein Webserver teilweise oder auch ganz ausfallen. | Durch DDoS (Distributed Denial of Service)-Angriffe kann ein Webserver teilweise oder auch ganz ausfallen. | ||
* Für Clients ist das Webangebot dann nur noch sehr langsam oder gar nicht mehr verfügbar. | * Für Clients ist das Webangebot dann nur noch sehr langsam oder gar nicht mehr verfügbar. | ||
* Für viele Institutionen kann ein solcher Ausfall schnell geschäftskritisch werden, z. B. für Online-Shops. | * Für viele Institutionen kann ein solcher Ausfall schnell geschäftskritisch werden, z. B. für Online-Shops. | ||
== Verlust vertraulicher Daten == | === Verlust vertraulicher Daten === | ||
Viele Webserver verwenden noch veraltete kryptografische Verfahren wie RC4 oder SSL. | Viele Webserver verwenden noch veraltete kryptografische Verfahren wie RC4 oder SSL. | ||
* Eine unzureichende Authentisierung bzw. eine ungeeignete Verschlüsselung kann dazu führen, dass die Kommunikation zwischen den Clients und den Webservern mitgelesen oder manipuliert werden kann. | * Eine unzureichende Authentisierung bzw. eine ungeeignete Verschlüsselung kann dazu führen, dass die Kommunikation zwischen den Clients und den Webservern mitgelesen oder manipuliert werden kann. | ||
* Das gleiche gilt für die Kommunikation zwischen dem Webserver und anderen Servern, wie z. B. Load Balancern. | * Das gleiche gilt für die Kommunikation zwischen dem Webserver und anderen Servern, wie z. B. Load Balancern. | ||
== Verstoß gegen Gesetze oder Regelungen == | === Verstoß gegen Gesetze oder Regelungen === | ||
Für die Veröffentlichung von Webinhalten gibt es verschiedene regulatorische Anforderungen. | Für die Veröffentlichung von Webinhalten gibt es verschiedene regulatorische Anforderungen. | ||
* Neben den Regelungen der Telemedien- und Datenschutzgesetze, sind auch die Regeln des Urheberrechts zu beachten. | * Neben den Regelungen der Telemedien- und Datenschutzgesetze, sind auch die Regeln des Urheberrechts zu beachten. | ||
* Verstöße gegen diese Gesetze können rechtliche Konsequenzen nach sich ziehen. | * Verstöße gegen diese Gesetze können rechtliche Konsequenzen nach sich ziehen. | ||
== Fehlende oder mangelhafte Fehlerbehebung == | === Fehlende oder mangelhafte Fehlerbehebung === | ||
Treten während des Betriebs eines Webservers Fehler auf, kann sich das z. B. auf dessen Verfügbarkeit auswirken. | Treten während des Betriebs eines Webservers Fehler auf, kann sich das z. B. auf dessen Verfügbarkeit auswirken. | ||
* Auch werden eventuell Inhalte unvollständig dargestellt oder Sicherheitsmechanismen fallen aus. | * Auch werden eventuell Inhalte unvollständig dargestellt oder Sicherheitsmechanismen fallen aus. | ||
* Werden Fehler nicht korrekt behandelt, sind sowohl der Betrieb als auch der Schutz der Funktionen und Daten eines Webservers nicht mehr gewährleistet. | * Werden Fehler nicht korrekt behandelt, sind sowohl der Betrieb als auch der Schutz der Funktionen und Daten eines Webservers nicht mehr gewährleistet. | ||
= Anforderungen = | == Anforderungen == | ||
Im Folgenden sind die spezifischen Anforderungen des Bausteins APP.3.2 Webserver aufgeführt. | Im Folgenden sind die spezifischen Anforderungen des Bausteins APP.3.2 Webserver aufgeführt. | ||
* Der oder die Informationssicherheitsbeauftragte (ISB) ist dafür zuständig, dass alle Anforderungen gemäß dem festgelegten Sicherheitskonzept erfüllt und überprüft werden. | * Der oder die Informationssicherheitsbeauftragte (ISB) ist dafür zuständig, dass alle Anforderungen gemäß dem festgelegten Sicherheitskonzept erfüllt und überprüft werden. | ||
* Bei strategischen Entscheidungen ist der oder die ISB stets einzubeziehen. | * Bei strategischen Entscheidungen ist der oder die ISB stets einzubeziehen. | ||
Im IT-Grundschutz-Kompendium sind darüber hinaus weitere Rollen definiert. | Im IT-Grundschutz-Kompendium sind darüber hinaus weitere Rollen definiert. | ||
* Sie sollten besetzt werden, insofern dies sinnvoll und angemessen ist. | * Sie sollten besetzt werden, insofern dies sinnvoll und angemessen ist. | ||
| Zeile 94: | Zeile 94: | ||
|} | |} | ||
Genau eine Rolle sollte Grundsätzlich zuständig sein. | Genau eine Rolle sollte Grundsätzlich zuständig sein. | ||
* Darüber hinaus kann es noch Weitere Zuständigkeiten geben. | * Darüber hinaus kann es noch Weitere Zuständigkeiten geben. | ||
* Falls eine dieser weiteren Rollen für die Erfüllung einer Anforderung vorrangig zuständig ist, dann wird diese Rolle hinter der Überschrift der Anforderung in eckigen Klammern aufgeführt. | * Falls eine dieser weiteren Rollen für die Erfüllung einer Anforderung vorrangig zuständig ist, dann wird diese Rolle hinter der Überschrift der Anforderung in eckigen Klammern aufgeführt. | ||
* Die Verwendung des Singulars oder Plurals sagt nichts darüber aus, wie viele Personen diese Rollen ausfüllen sollen. | * Die Verwendung des Singulars oder Plurals sagt nichts darüber aus, wie viele Personen diese Rollen ausfüllen sollen. | ||
== Basis-Anforderungen == | === Basis-Anforderungen === | ||
Die folgenden Anforderungen MÜSSEN für diesen Baustein vorrangig erfüllt werden. | Die folgenden Anforderungen MÜSSEN für diesen Baustein vorrangig erfüllt werden. | ||
=== APP.3.2.A1 Sichere Konfiguration eines Webservers === | ==== APP.3.2.A1 Sichere Konfiguration eines Webservers ==== | ||
Nachdem der IT-Betrieb einen Webserver installiert hat, MUSS er eine sichere Grundkonfiguration vornehmen. | Nachdem der IT-Betrieb einen Webserver installiert hat, MUSS er eine sichere Grundkonfiguration vornehmen. | ||
* Dazu MUSS er insbesondere den Webserver-Prozess einem Konto mit minimalen Rechten zuweisen. | * Dazu MUSS er insbesondere den Webserver-Prozess einem Konto mit minimalen Rechten zuweisen. | ||
* Der Webserver MUSS in einer gekapselten Umgebung ausgeführt werden, sofern dies vom Betriebssystem unterstützt wird. | * Der Webserver MUSS in einer gekapselten Umgebung ausgeführt werden, sofern dies vom Betriebssystem unterstützt wird. | ||
* Ist dies nicht möglich, SOLLTE jeder Webserver auf einem eigenen physischen oder virtuellen Server ausgeführt werden. | * Ist dies nicht möglich, SOLLTE jeder Webserver auf einem eigenen physischen oder virtuellen Server ausgeführt werden. | ||
Dem Webserver-Dienst MÜSSEN alle nicht notwendige Schreibberechtigungen entzogen werden. | Dem Webserver-Dienst MÜSSEN alle nicht notwendige Schreibberechtigungen entzogen werden. | ||
* Nicht benötigte Module und Funktionen des Webservers MÜSSEN deaktiviert werden. | * Nicht benötigte Module und Funktionen des Webservers MÜSSEN deaktiviert werden. | ||
=== APP.3.2.A2 Schutz der Webserver-Dateien === | ==== APP.3.2.A2 Schutz der Webserver-Dateien ==== | ||
Der IT-Betrieb MUSS alle Dateien auf dem Webserver, insbesondere Skripte und Konfigurationsdateien, so schützen, dass sie nicht unbefugt gelesen und geändert werden können. | Der IT-Betrieb MUSS alle Dateien auf dem Webserver, insbesondere Skripte und Konfigurationsdateien, so schützen, dass sie nicht unbefugt gelesen und geändert werden können. | ||
Es MUSS sichergestellt werden, dass Webanwendungen nur auf einen definierten Verzeichnisbaum zugreifen können (WWW-Wurzelverzeichnis). | Es MUSS sichergestellt werden, dass Webanwendungen nur auf einen definierten Verzeichnisbaum zugreifen können (WWW-Wurzelverzeichnis). | ||
* Der Webserver MUSS so konfiguriert sein, dass er nur Dateien ausliefert, die sich innerhalb des WWW-Wurzelverzeichnisses befinden. | * Der Webserver MUSS so konfiguriert sein, dass er nur Dateien ausliefert, die sich innerhalb des WWW-Wurzelverzeichnisses befinden. | ||
Der IT-Betrieb MUSS alle nicht benötigten Funktionen, die Verzeichnisse auflisten, deaktivieren. | Der IT-Betrieb MUSS alle nicht benötigten Funktionen, die Verzeichnisse auflisten, deaktivieren. | ||
* Vertrauliche Daten MÜSSEN vor unberechtigtem Zugriff geschützt werden. | * Vertrauliche Daten MÜSSEN vor unberechtigtem Zugriff geschützt werden. | ||
* Insbesondere MUSS der IT-Betrieb sicherstellen, dass vertrauliche Dateien nicht in öffentlichen Verzeichnissen des Webservers liegen. | * Insbesondere MUSS der IT-Betrieb sicherstellen, dass vertrauliche Dateien nicht in öffentlichen Verzeichnissen des Webservers liegen. | ||
* Der IT-Betrieb MUSS regelmäßig überprüfen, ob vertrauliche Dateien in öffentlichen Verzeichnissen gespeichert wurden. | * Der IT-Betrieb MUSS regelmäßig überprüfen, ob vertrauliche Dateien in öffentlichen Verzeichnissen gespeichert wurden. | ||
=== APP.3.2.A3 Absicherung von Datei-Uploads und -Downloads === | ==== APP.3.2.A3 Absicherung von Datei-Uploads und -Downloads ==== | ||
Alle mithilfe des Webservers veröffentlichten Dateien MÜSSEN vorher auf Schadprogramme geprüft werden. | Alle mithilfe des Webservers veröffentlichten Dateien MÜSSEN vorher auf Schadprogramme geprüft werden. | ||
* Es MUSS eine Maximalgröße für Datei-Uploads spezifiziert sein. | * Es MUSS eine Maximalgröße für Datei-Uploads spezifiziert sein. | ||
* Für Uploads MUSS genügend Speicherplatz reserviert werden. | * Für Uploads MUSS genügend Speicherplatz reserviert werden. | ||
=== APP.3.2.A4 Protokollierung von Ereignissen === | ==== APP.3.2.A4 Protokollierung von Ereignissen ==== | ||
Der Webserver MUSS mindestens folgende Ereignisse protokollieren: | Der Webserver MUSS mindestens folgende Ereignisse protokollieren: | ||
* erfolgreiche Zugriffe auf Ressourcen, | * erfolgreiche Zugriffe auf Ressourcen, | ||
| Zeile 135: | Zeile 135: | ||
Die Protokollierungsdaten SOLLTEN regelmäßig ausgewertet werden. | Die Protokollierungsdaten SOLLTEN regelmäßig ausgewertet werden. | ||
=== APP.3.2.A5 Authentisierung === | ==== APP.3.2.A5 Authentisierung ==== | ||
Wenn sich Clients mit Hilfe von Passwörtern am Webserver authentisieren, MÜSSEN diese kryptografisch gesichert und vor unbefugtem Zugriff geschützt gespeichert werden. | Wenn sich Clients mit Hilfe von Passwörtern am Webserver authentisieren, MÜSSEN diese kryptografisch gesichert und vor unbefugtem Zugriff geschützt gespeichert werden. | ||
=== APP.3.2.A6 ENTFALLEN === | ==== APP.3.2.A6 ENTFALLEN ==== | ||
Diese Anforderung ist entfallen. | Diese Anforderung ist entfallen. | ||
=== APP.3.2.A7 Rechtliche Rahmenbedingungen für Webangebote [Fachverantwortliche, Zentrale Verwaltung, Compliance-Beauftragte] | ==== APP.3.2.A7 Rechtliche Rahmenbedingungen für Webangebote [Fachverantwortliche, Zentrale Verwaltung, Compliance-Beauftragte] ==== | ||
Werden über den Webserver Inhalte für Dritte publiziert oder Dienste angeboten, MÜSSEN dabei die relevanten rechtlichen Rahmenbedingungen beachtet werden. | Werden über den Webserver Inhalte für Dritte publiziert oder Dienste angeboten, MÜSSEN dabei die relevanten rechtlichen Rahmenbedingungen beachtet werden. | ||
* Die Institution MUSS die jeweiligen Telemedien- und Datenschutzgesetze sowie das Urheberrecht einhalten. | * Die Institution MUSS die jeweiligen Telemedien- und Datenschutzgesetze sowie das Urheberrecht einhalten. | ||
=== APP.3.2.A11 Verschlüsselung über TLS === | ==== APP.3.2.A11 Verschlüsselung über TLS ==== | ||
Der Webserver MUSS für alle Verbindungen durch nicht vertrauenswürdige Netze eine sichere Verschlüsselung über TLS anbieten (HTTPS). | Der Webserver MUSS für alle Verbindungen durch nicht vertrauenswürdige Netze eine sichere Verschlüsselung über TLS anbieten (HTTPS). | ||
* Falls es aus Kompatibilitätsgründen erforderlich ist, veraltete Verfahren zu verwenden, SOLLTEN diese auf so wenige Fälle wie möglich beschränkt werden. | * Falls es aus Kompatibilitätsgründen erforderlich ist, veraltete Verfahren zu verwenden, SOLLTEN diese auf so wenige Fälle wie möglich beschränkt werden. | ||
Wenn eine HTTPS-Verbindung genutzt wird, MÜSSEN alle Inhalte über HTTPS ausgeliefert werden. | Wenn eine HTTPS-Verbindung genutzt wird, MÜSSEN alle Inhalte über HTTPS ausgeliefert werden. | ||
* Sogenannter Mixed Content DARF NICHT verwendet werden. | * Sogenannter Mixed Content DARF NICHT verwendet werden. | ||
== Standard-Anforderungen == | === Standard-Anforderungen === | ||
Gemeinsam mit den Basis-Anforderungen entsprechen die folgenden Anforderungen dem Stand der Technik für diesen Baustein. | Gemeinsam mit den Basis-Anforderungen entsprechen die folgenden Anforderungen dem Stand der Technik für diesen Baustein. | ||
* Sie SOLLTEN grundsätzlich erfüllt werden. | * Sie SOLLTEN grundsätzlich erfüllt werden. | ||
=== APP.3.2.A8 Planung des Einsatzes eines Webservers === | ==== APP.3.2.A8 Planung des Einsatzes eines Webservers ==== | ||
Es SOLLTE geplant und dokumentiert werden, für welchen Zweck der Webserver eingesetzt und welche Inhalte er bereitstellen soll. | Es SOLLTE geplant und dokumentiert werden, für welchen Zweck der Webserver eingesetzt und welche Inhalte er bereitstellen soll. | ||
* In der Dokumentation SOLLTEN auch die Informationen oder Dienstleistungen des Webangebots und die jeweiligen Zielgruppen beschrieben werden. | * In der Dokumentation SOLLTEN auch die Informationen oder Dienstleistungen des Webangebots und die jeweiligen Zielgruppen beschrieben werden. | ||
* Für den technischen Betrieb und die Webinhalte SOLLTEN geeignete Zuständige festgelegt werden. | * Für den technischen Betrieb und die Webinhalte SOLLTEN geeignete Zuständige festgelegt werden. | ||
=== APP.3.2.A9 Festlegung einer Sicherheitsrichtlinie für den Webserver === | ==== APP.3.2.A9 Festlegung einer Sicherheitsrichtlinie für den Webserver ==== | ||
Es SOLLTE eine Sicherheitsrichtlinie erstellt werden, in der die erforderlichen Maßnahmen und Zuständigkeiten benannt sind. | Es SOLLTE eine Sicherheitsrichtlinie erstellt werden, in der die erforderlichen Maßnahmen und Zuständigkeiten benannt sind. | ||
* Weiterhin SOLLTE geregelt werden, wie Informationen zu aktuellen Sicherheitslücken besorgt werden. | * Weiterhin SOLLTE geregelt werden, wie Informationen zu aktuellen Sicherheitslücken besorgt werden. | ||
* Auch SOLLTE geregelt werden, wie Sicherheitsmaßnahmen umgesetzt werden und wie vorgegangen werden soll, wenn Sicherheitsvorfälle eintreten. | * Auch SOLLTE geregelt werden, wie Sicherheitsmaßnahmen umgesetzt werden und wie vorgegangen werden soll, wenn Sicherheitsvorfälle eintreten. | ||
=== APP.3.2.A10 Auswahl eines geeigneten Webhosters === | ==== APP.3.2.A10 Auswahl eines geeigneten Webhosters ==== | ||
Betreibt die Institution den Webserver nicht selbst, sondern nutzt Angebote externer Unternehmen im Rahmen von Webhosting, SOLLTE die Institution bei der Auswahl eines geeigneten Webhosters auf folgende Punkte achten: | Betreibt die Institution den Webserver nicht selbst, sondern nutzt Angebote externer Unternehmen im Rahmen von Webhosting, SOLLTE die Institution bei der Auswahl eines geeigneten Webhosters auf folgende Punkte achten: | ||
* Es SOLLTE vertraglich geregelt werden, wie die Dienste zu erbringen sind. | * Es SOLLTE vertraglich geregelt werden, wie die Dienste zu erbringen sind. | ||
* Dabei SOLLTEN Sicherheitsaspekte innerhalb des Vertrags schriftlich in einem Service Level Agreement (SLA) festgehalten werden. | * Dabei SOLLTEN Sicherheitsaspekte innerhalb des Vertrags schriftlich in einem Service Level Agreement (SLA) festgehalten werden. | ||
* Die eingesetzten IT-Systeme SOLLTEN vom Webhoster regelmäßig kontrolliert und gewartet werden. | * Die eingesetzten IT-Systeme SOLLTEN vom Webhoster regelmäßig kontrolliert und gewartet werden. | ||
* Der Webhoster SOLLTE dazu verpflichtet werden, bei technischen Problemen oder einer Kompromittierung von Kundschaftssystemen zeitnah zu reagieren. | * Der Webhoster SOLLTE dazu verpflichtet werden, bei technischen Problemen oder einer Kompromittierung von Kundschaftssystemen zeitnah zu reagieren. | ||
* Der Webhoster SOLLTE grundlegende technische und organisatorische Maßnahmen umsetzen, um seinen Informationsverbund zu schützen. | * Der Webhoster SOLLTE grundlegende technische und organisatorische Maßnahmen umsetzen, um seinen Informationsverbund zu schützen. | ||
=== APP.3.2.A12 Geeigneter Umgang mit Fehlern und Fehlermeldungen === | ==== APP.3.2.A12 Geeigneter Umgang mit Fehlern und Fehlermeldungen ==== | ||
Aus den HTTP-Informationen und den angezeigten Fehlermeldungen SOLLTEN weder der Produktname noch die verwendete Version des Webservers ersichtlich sein. | Aus den HTTP-Informationen und den angezeigten Fehlermeldungen SOLLTEN weder der Produktname noch die verwendete Version des Webservers ersichtlich sein. | ||
* Fehlermeldungen SOLLTEN keine Details zu Systeminformationen oder Konfigurationen ausgeben. | * Fehlermeldungen SOLLTEN keine Details zu Systeminformationen oder Konfigurationen ausgeben. | ||
* Der IT-Betrieb SOLLTE sicherstellen, dass der Webserver ausschließlich allgemeine Fehlermeldungen ausgibt, die Clients darauf hinweisen, dass ein Fehler aufgetreten ist. | * Der IT-Betrieb SOLLTE sicherstellen, dass der Webserver ausschließlich allgemeine Fehlermeldungen ausgibt, die Clients darauf hinweisen, dass ein Fehler aufgetreten ist. | ||
* Die Fehlermeldung SOLLTE ein eindeutiges Merkmal enthalten, das es dem IT-Betrieb ermöglicht, den Fehler nachzuvollziehen. | * Die Fehlermeldung SOLLTE ein eindeutiges Merkmal enthalten, das es dem IT-Betrieb ermöglicht, den Fehler nachzuvollziehen. | ||
* Bei unerwarteten Fehlern SOLLTE sichergestellt sein, dass der Webserver nicht in einem Zustand verbleibt, in dem er anfällig für Angriffe ist. | * Bei unerwarteten Fehlern SOLLTE sichergestellt sein, dass der Webserver nicht in einem Zustand verbleibt, in dem er anfällig für Angriffe ist. | ||
=== APP.3.2.A13 Zugriffskontrolle für Webcrawler === | ==== APP.3.2.A13 Zugriffskontrolle für Webcrawler ==== | ||
Der Zugriff von Webcrawlern SOLLTE nach dem Robots-Exclusion-Standard geregelt werden. | Der Zugriff von Webcrawlern SOLLTE nach dem Robots-Exclusion-Standard geregelt werden. | ||
* Inhalte SOLLTEN mit einem Zugriffsschutz versehen werden, um sie vor Webcrawlern zu schützen, die sich nicht an diesen Standard halten. | * Inhalte SOLLTEN mit einem Zugriffsschutz versehen werden, um sie vor Webcrawlern zu schützen, die sich nicht an diesen Standard halten. | ||
=== APP.3.2.A14 Integritätsprüfungen und Schutz vor Schadsoftware === | ==== APP.3.2.A14 Integritätsprüfungen und Schutz vor Schadsoftware ==== | ||
Der IT-Betrieb SOLLTE regelmäßig prüfen, ob die Konfigurationen des Webservers und die von ihm bereitgestellten Dateien noch integer sind und nicht durch Angriffe verändert wurden. | Der IT-Betrieb SOLLTE regelmäßig prüfen, ob die Konfigurationen des Webservers und die von ihm bereitgestellten Dateien noch integer sind und nicht durch Angriffe verändert wurden. | ||
* Die zur Veröffentlichung vorgesehenen Dateien SOLLTEN regelmäßig auf Schadsoftware geprüft werden. | * Die zur Veröffentlichung vorgesehenen Dateien SOLLTEN regelmäßig auf Schadsoftware geprüft werden. | ||
=== APP.3.2.A16 Penetrationstest und Revision === | ==== APP.3.2.A16 Penetrationstest und Revision ==== | ||
Webserver SOLLTEN regelmäßig auf Sicherheitsprobleme hin überprüft werden. | Webserver SOLLTEN regelmäßig auf Sicherheitsprobleme hin überprüft werden. | ||
* Auch SOLLTEN regelmäßig Revisionen durchgeführt werden. | * Auch SOLLTEN regelmäßig Revisionen durchgeführt werden. | ||
* Die Ergebnisse SOLLTEN nachvollziehbar dokumentiert, ausreichend geschützt und vertraulich behandelt werden. | * Die Ergebnisse SOLLTEN nachvollziehbar dokumentiert, ausreichend geschützt und vertraulich behandelt werden. | ||
* Abweichungen SOLLTE nachgegangen werden. | * Abweichungen SOLLTE nachgegangen werden. | ||
* Die Ergebnisse SOLLTEN dem ISB vorgelegt werden. | * Die Ergebnisse SOLLTEN dem ISB vorgelegt werden. | ||
=== APP.3.2.A20 Benennung von Anzusprechenden [Zentrale Verwaltung] === | ==== APP.3.2.A20 Benennung von Anzusprechenden [Zentrale Verwaltung] ==== | ||
Bei umfangreichen Webangeboten SOLLTE die Institution zentrale Anzusprechende für die Webangebote bestimmen. | Bei umfangreichen Webangeboten SOLLTE die Institution zentrale Anzusprechende für die Webangebote bestimmen. | ||
* Es SOLLTEN Prozesse, Vorgehensweisen und Zuständige für Probleme oder Sicherheitsvorfälle benannt werden. | * Es SOLLTEN Prozesse, Vorgehensweisen und Zuständige für Probleme oder Sicherheitsvorfälle benannt werden. | ||
Die Institution SOLLTE eine Kontaktmöglichkeit auf ihrer Webseite veröffentlichen, über die Sicherheitsprobleme an die Institution gemeldet werden können. | Die Institution SOLLTE eine Kontaktmöglichkeit auf ihrer Webseite veröffentlichen, über die Sicherheitsprobleme an die Institution gemeldet werden können. | ||
* Für die Behandlung von externen Sicherheitsmeldungen SOLLTE die Institution Prozesse definieren. | * Für die Behandlung von externen Sicherheitsmeldungen SOLLTE die Institution Prozesse definieren. | ||
== Anforderungen bei erhöhtem Schutzbedarf == | === Anforderungen bei erhöhtem Schutzbedarf === | ||
Im Folgenden sind für diesen Baustein exemplarische Vorschläge für Anforderungen aufgeführt, die über dasjenige Schutzniveau hinausgehen, das dem Stand der Technik entspricht. | Im Folgenden sind für diesen Baustein exemplarische Vorschläge für Anforderungen aufgeführt, die über dasjenige Schutzniveau hinausgehen, das dem Stand der Technik entspricht. | ||
* Die Vorschläge SOLLTEN bei erhöhtem Schutzbedarf in Betracht gezogen werden. | * Die Vorschläge SOLLTEN bei erhöhtem Schutzbedarf in Betracht gezogen werden. | ||
* Die konkrete Festlegung erfolgt im Rahmen einer individuellen Risikoanalyse. | * Die konkrete Festlegung erfolgt im Rahmen einer individuellen Risikoanalyse. | ||
=== APP.3.2.A15 Redundanz === | ==== APP.3.2.A15 Redundanz ==== | ||
Webserver SOLLTEN redundant ausgelegt werden. | Webserver SOLLTEN redundant ausgelegt werden. | ||
* Auch die Internetanbindung des Webservers und weiterer IT-Systeme, wie etwa der Webanwendungsserver, SOLLTEN redundant ausgelegt sein. | * Auch die Internetanbindung des Webservers und weiterer IT-Systeme, wie etwa der Webanwendungsserver, SOLLTEN redundant ausgelegt sein. | ||
=== APP.3.2.A17 ENTFALLEN === | ==== APP.3.2.A17 ENTFALLEN ==== | ||
Diese Anforderung ist entfallen. | Diese Anforderung ist entfallen. | ||
=== APP.3.2.A18 Schutz vor Denial-of-Service-Angriffen === | ==== APP.3.2.A18 Schutz vor Denial-of-Service-Angriffen ==== | ||
Der Webserver SOLLTE ständig überwacht werden. | Der Webserver SOLLTE ständig überwacht werden. | ||
* Des Weiteren SOLLTEN Maßnahmen definiert und umgesetzt werden, die DDoS-Angriffe verhindern oder zumindest abschwächen. | * Des Weiteren SOLLTEN Maßnahmen definiert und umgesetzt werden, die DDoS-Angriffe verhindern oder zumindest abschwächen. | ||
=== APP.3.2.A19 ENTFALLEN === | ==== APP.3.2.A19 ENTFALLEN ==== | ||
Diese Anforderung ist entfallen. | Diese Anforderung ist entfallen. | ||
= Weiterführende Informationen = | == Weiterführende Informationen == | ||
== Wissenswertes == | === Wissenswertes === | ||
Das Bundesamt für Sicherheit in der Informationstechnik hat folgende weiterführende Dokumente veröffentlicht, die für den Betrieb von Webservern relevant sein können: | Das Bundesamt für Sicherheit in der Informationstechnik hat folgende weiterführende Dokumente veröffentlicht, die für den Betrieb von Webservern relevant sein können: | ||
* Migration auf TLS 1.2 - Handlungsleitfaden | * Migration auf TLS 1.2 - Handlungsleitfaden | ||
Version vom 9. Mai 2024, 09:59 Uhr
Beschreibung
Einleitung
Ein Webserver ist die Kernkomponente jedes Webangebotes, er nimmt Anfragen der Clients entgegen und liefert die entsprechenden Inhalte zurück.
- Die Daten werden in der Regel über das Hypertext Transfer Protocol (HTTP) oder dessen mit Transport Layer Security (TLS) verschlüsselte Variante HTTP Secure (HTTPS) transportiert.
- Da Webserver eine einfache Schnittstelle zwischen Serveranwendungen und Clients bieten, werden sie auch häufig für interne Informationen und Anwendungen in Institutionsnetzen, wie dem Intranet, eingesetzt.
Webserver sind in der Regel direkt im Internet verfügbar und bieten somit eine exponierte Angriffsfläche.
- Deswegen müssen sie durch geeignete Schutzmaßnahmen abgesichert werden.
Zielsetzung
Ziel dieses Bausteins ist der Schutz des Webservers und der Informationen, die durch den Webserver bereitgestellt oder damit verarbeitet werden.
Abgrenzung und Modellierung
Der Baustein muss auf alle Webserver des Informationsverbunds angewendet werden.
Die Bezeichnung Webserver wird sowohl für die Software verwendet, welche die HTTP-Anfragen beantwortet, als auch für die IT-Systeme, auf denen diese Software ausgeführt wird.
- In diesem Baustein wird vorrangig die Webserver-Software betrachtet.
- Sicherheitsaspekte des IT-Systems, auf dem die Webserver-Software installiert ist, werden im Baustein SYS.1.1 Allgemeiner Server sowie den jeweiligen betriebssystemspezifischen Bausteinen betrachtet.
Empfehlungen, wie Webserver in die Netzarchitektur zu integrieren und mit Firewalls abzusichern sind, finden sich in den Bausteinen NET.1.1 Netzarchitektur und -design bzw. NET.3.2 Firewall.
Der Baustein behandelt grundsätzliche Aspekte, die für die Bereitstellung von Webinhalten wichtig sind.
- Dynamische Inhalte, die durch Webanwendungen bereitgestellt werden, sind nicht Gegenstand des vorliegenden Bausteins.
- Diese werden im Baustein APP.3.1 Webanwendungen und Webservices behandelt.
- Ebenso werden hier keine Webservices betrachtet.
Webbrowser werden in diesem Baustein nicht betrachtet.
- Anforderungen dazu sind im Baustein APP.1.2 Webbrowser zu finden.
In der Regel werden die Verbindungen zu Webservern verschlüsselt.
- Der Baustein CON.1 Kryptokonzept beschreibt, wie die dazu notwendigen kryptografischen Schlüssel sicher verwaltet werden können.
Werden Webserver nicht selbst betrieben, sondern über einen Hosting-Anbieter bereitgestellt, ist der Baustein OPS.2.3 Nutzung von Outsourcing zu beachten.
Oft werden Authentisierungsmechanismen für Webserver verwendet.
- Ergänzende Anforderungen dazu finden sich im Baustein ORP.4 Identitäts- und Berechtigungsmanagement.
Gefährdungslage
Da IT-Grundschutz-Bausteine nicht auf individuelle Informationsverbünde eingehen können, werden zur Darstellung der Gefährdungslage typische Szenarien zugrunde gelegt.
- Die folgenden spezifischen Bedrohungen und Schwachstellen sind für den Baustein APP.3.2 Webserver von besonderer Bedeutung.
Reputationsverlust
Gelingt es bei einem Angriff mit administrativen Rechten auf einen Webserver zuzugreifen, kann darüber eine manipulierte Webseite ausgeliefert werden (Defacement).
- So kann die Reputation der Institution geschädigt werden.
- Ebenso kann die Veröffentlichung falscher Informationen, wie zum Beispiel fehlerhafter Produktbeschreibungen, dazu führen, dass die Reputation der Institution in der Öffentlichkeit leidet.
- Auch kann die Institution abgemahnt werden, wenn auf ihrer Webseite Inhalte veröffentlicht werden, die gegen gesetzliche Vorschriften verstoßen.
- Ein Schaden kann auch entstehen, wenn die Webseite nicht verfügbar ist und potenzielle Kunden und Kundinnen deshalb zu Mitbewerbern wechseln.
Manipulation des Webservers
Bei einem Angriff könnten sich unberechtigte Personen Zugriff auf einen Webserver verschaffen und dessen Dateien manipulieren.
- Es könnte beispielsweise die Konfiguration der Webserver-Software geändert werden, Schadsoftware verbreitet oder Webinhalte modifiziert werden.
Denial of Service (DoS)
Durch DoS-Angriffe lässt sich die Verfügbarkeit eines Webangebotes gezielt beeinträchtigen, indem beispielsweise einzelne Accounts durch fehlerhafte Anmeldungen gesperrt werden.
Durch DDoS (Distributed Denial of Service)-Angriffe kann ein Webserver teilweise oder auch ganz ausfallen.
- Für Clients ist das Webangebot dann nur noch sehr langsam oder gar nicht mehr verfügbar.
- Für viele Institutionen kann ein solcher Ausfall schnell geschäftskritisch werden, z. B. für Online-Shops.
Verlust vertraulicher Daten
Viele Webserver verwenden noch veraltete kryptografische Verfahren wie RC4 oder SSL.
- Eine unzureichende Authentisierung bzw. eine ungeeignete Verschlüsselung kann dazu führen, dass die Kommunikation zwischen den Clients und den Webservern mitgelesen oder manipuliert werden kann.
- Das gleiche gilt für die Kommunikation zwischen dem Webserver und anderen Servern, wie z. B. Load Balancern.
Verstoß gegen Gesetze oder Regelungen
Für die Veröffentlichung von Webinhalten gibt es verschiedene regulatorische Anforderungen.
- Neben den Regelungen der Telemedien- und Datenschutzgesetze, sind auch die Regeln des Urheberrechts zu beachten.
- Verstöße gegen diese Gesetze können rechtliche Konsequenzen nach sich ziehen.
Fehlende oder mangelhafte Fehlerbehebung
Treten während des Betriebs eines Webservers Fehler auf, kann sich das z. B. auf dessen Verfügbarkeit auswirken.
- Auch werden eventuell Inhalte unvollständig dargestellt oder Sicherheitsmechanismen fallen aus.
- Werden Fehler nicht korrekt behandelt, sind sowohl der Betrieb als auch der Schutz der Funktionen und Daten eines Webservers nicht mehr gewährleistet.
Anforderungen
Im Folgenden sind die spezifischen Anforderungen des Bausteins APP.3.2 Webserver aufgeführt.
- Der oder die Informationssicherheitsbeauftragte (ISB) ist dafür zuständig, dass alle Anforderungen gemäß dem festgelegten Sicherheitskonzept erfüllt und überprüft werden.
- Bei strategischen Entscheidungen ist der oder die ISB stets einzubeziehen.
Im IT-Grundschutz-Kompendium sind darüber hinaus weitere Rollen definiert.
- Sie sollten besetzt werden, insofern dies sinnvoll und angemessen ist.
| Zuständigkeiten | Rollen |
|---|---|
| Grundsätzlich zuständig | IT-Betrieb |
| Weitere Zuständigkeiten | Fachverantwortliche, Compliance-Beauftragte, Zentrale Verwaltung |
Genau eine Rolle sollte Grundsätzlich zuständig sein.
- Darüber hinaus kann es noch Weitere Zuständigkeiten geben.
- Falls eine dieser weiteren Rollen für die Erfüllung einer Anforderung vorrangig zuständig ist, dann wird diese Rolle hinter der Überschrift der Anforderung in eckigen Klammern aufgeführt.
- Die Verwendung des Singulars oder Plurals sagt nichts darüber aus, wie viele Personen diese Rollen ausfüllen sollen.
Basis-Anforderungen
Die folgenden Anforderungen MÜSSEN für diesen Baustein vorrangig erfüllt werden.
APP.3.2.A1 Sichere Konfiguration eines Webservers
Nachdem der IT-Betrieb einen Webserver installiert hat, MUSS er eine sichere Grundkonfiguration vornehmen.
- Dazu MUSS er insbesondere den Webserver-Prozess einem Konto mit minimalen Rechten zuweisen.
- Der Webserver MUSS in einer gekapselten Umgebung ausgeführt werden, sofern dies vom Betriebssystem unterstützt wird.
- Ist dies nicht möglich, SOLLTE jeder Webserver auf einem eigenen physischen oder virtuellen Server ausgeführt werden.
Dem Webserver-Dienst MÜSSEN alle nicht notwendige Schreibberechtigungen entzogen werden.
- Nicht benötigte Module und Funktionen des Webservers MÜSSEN deaktiviert werden.
APP.3.2.A2 Schutz der Webserver-Dateien
Der IT-Betrieb MUSS alle Dateien auf dem Webserver, insbesondere Skripte und Konfigurationsdateien, so schützen, dass sie nicht unbefugt gelesen und geändert werden können.
Es MUSS sichergestellt werden, dass Webanwendungen nur auf einen definierten Verzeichnisbaum zugreifen können (WWW-Wurzelverzeichnis).
- Der Webserver MUSS so konfiguriert sein, dass er nur Dateien ausliefert, die sich innerhalb des WWW-Wurzelverzeichnisses befinden.
Der IT-Betrieb MUSS alle nicht benötigten Funktionen, die Verzeichnisse auflisten, deaktivieren.
- Vertrauliche Daten MÜSSEN vor unberechtigtem Zugriff geschützt werden.
- Insbesondere MUSS der IT-Betrieb sicherstellen, dass vertrauliche Dateien nicht in öffentlichen Verzeichnissen des Webservers liegen.
- Der IT-Betrieb MUSS regelmäßig überprüfen, ob vertrauliche Dateien in öffentlichen Verzeichnissen gespeichert wurden.
APP.3.2.A3 Absicherung von Datei-Uploads und -Downloads
Alle mithilfe des Webservers veröffentlichten Dateien MÜSSEN vorher auf Schadprogramme geprüft werden.
- Es MUSS eine Maximalgröße für Datei-Uploads spezifiziert sein.
- Für Uploads MUSS genügend Speicherplatz reserviert werden.
APP.3.2.A4 Protokollierung von Ereignissen
Der Webserver MUSS mindestens folgende Ereignisse protokollieren:
- erfolgreiche Zugriffe auf Ressourcen,
- fehlgeschlagene Zugriffe auf Ressourcen aufgrund von mangelnder Berechtigung, nicht vorhandenen Ressourcen und Server-Fehlern sowie
- allgemeine Fehlermeldungen.
Die Protokollierungsdaten SOLLTEN regelmäßig ausgewertet werden.
APP.3.2.A5 Authentisierung
Wenn sich Clients mit Hilfe von Passwörtern am Webserver authentisieren, MÜSSEN diese kryptografisch gesichert und vor unbefugtem Zugriff geschützt gespeichert werden.
APP.3.2.A6 ENTFALLEN
Diese Anforderung ist entfallen.
APP.3.2.A7 Rechtliche Rahmenbedingungen für Webangebote [Fachverantwortliche, Zentrale Verwaltung, Compliance-Beauftragte]
Werden über den Webserver Inhalte für Dritte publiziert oder Dienste angeboten, MÜSSEN dabei die relevanten rechtlichen Rahmenbedingungen beachtet werden.
- Die Institution MUSS die jeweiligen Telemedien- und Datenschutzgesetze sowie das Urheberrecht einhalten.
APP.3.2.A11 Verschlüsselung über TLS
Der Webserver MUSS für alle Verbindungen durch nicht vertrauenswürdige Netze eine sichere Verschlüsselung über TLS anbieten (HTTPS).
- Falls es aus Kompatibilitätsgründen erforderlich ist, veraltete Verfahren zu verwenden, SOLLTEN diese auf so wenige Fälle wie möglich beschränkt werden.
Wenn eine HTTPS-Verbindung genutzt wird, MÜSSEN alle Inhalte über HTTPS ausgeliefert werden.
- Sogenannter Mixed Content DARF NICHT verwendet werden.
Standard-Anforderungen
Gemeinsam mit den Basis-Anforderungen entsprechen die folgenden Anforderungen dem Stand der Technik für diesen Baustein.
- Sie SOLLTEN grundsätzlich erfüllt werden.
APP.3.2.A8 Planung des Einsatzes eines Webservers
Es SOLLTE geplant und dokumentiert werden, für welchen Zweck der Webserver eingesetzt und welche Inhalte er bereitstellen soll.
- In der Dokumentation SOLLTEN auch die Informationen oder Dienstleistungen des Webangebots und die jeweiligen Zielgruppen beschrieben werden.
- Für den technischen Betrieb und die Webinhalte SOLLTEN geeignete Zuständige festgelegt werden.
APP.3.2.A9 Festlegung einer Sicherheitsrichtlinie für den Webserver
Es SOLLTE eine Sicherheitsrichtlinie erstellt werden, in der die erforderlichen Maßnahmen und Zuständigkeiten benannt sind.
- Weiterhin SOLLTE geregelt werden, wie Informationen zu aktuellen Sicherheitslücken besorgt werden.
- Auch SOLLTE geregelt werden, wie Sicherheitsmaßnahmen umgesetzt werden und wie vorgegangen werden soll, wenn Sicherheitsvorfälle eintreten.
APP.3.2.A10 Auswahl eines geeigneten Webhosters
Betreibt die Institution den Webserver nicht selbst, sondern nutzt Angebote externer Unternehmen im Rahmen von Webhosting, SOLLTE die Institution bei der Auswahl eines geeigneten Webhosters auf folgende Punkte achten:
- Es SOLLTE vertraglich geregelt werden, wie die Dienste zu erbringen sind.
- Dabei SOLLTEN Sicherheitsaspekte innerhalb des Vertrags schriftlich in einem Service Level Agreement (SLA) festgehalten werden.
- Die eingesetzten IT-Systeme SOLLTEN vom Webhoster regelmäßig kontrolliert und gewartet werden.
- Der Webhoster SOLLTE dazu verpflichtet werden, bei technischen Problemen oder einer Kompromittierung von Kundschaftssystemen zeitnah zu reagieren.
- Der Webhoster SOLLTE grundlegende technische und organisatorische Maßnahmen umsetzen, um seinen Informationsverbund zu schützen.
APP.3.2.A12 Geeigneter Umgang mit Fehlern und Fehlermeldungen
Aus den HTTP-Informationen und den angezeigten Fehlermeldungen SOLLTEN weder der Produktname noch die verwendete Version des Webservers ersichtlich sein.
- Fehlermeldungen SOLLTEN keine Details zu Systeminformationen oder Konfigurationen ausgeben.
- Der IT-Betrieb SOLLTE sicherstellen, dass der Webserver ausschließlich allgemeine Fehlermeldungen ausgibt, die Clients darauf hinweisen, dass ein Fehler aufgetreten ist.
- Die Fehlermeldung SOLLTE ein eindeutiges Merkmal enthalten, das es dem IT-Betrieb ermöglicht, den Fehler nachzuvollziehen.
- Bei unerwarteten Fehlern SOLLTE sichergestellt sein, dass der Webserver nicht in einem Zustand verbleibt, in dem er anfällig für Angriffe ist.
APP.3.2.A13 Zugriffskontrolle für Webcrawler
Der Zugriff von Webcrawlern SOLLTE nach dem Robots-Exclusion-Standard geregelt werden.
- Inhalte SOLLTEN mit einem Zugriffsschutz versehen werden, um sie vor Webcrawlern zu schützen, die sich nicht an diesen Standard halten.
APP.3.2.A14 Integritätsprüfungen und Schutz vor Schadsoftware
Der IT-Betrieb SOLLTE regelmäßig prüfen, ob die Konfigurationen des Webservers und die von ihm bereitgestellten Dateien noch integer sind und nicht durch Angriffe verändert wurden.
- Die zur Veröffentlichung vorgesehenen Dateien SOLLTEN regelmäßig auf Schadsoftware geprüft werden.
APP.3.2.A16 Penetrationstest und Revision
Webserver SOLLTEN regelmäßig auf Sicherheitsprobleme hin überprüft werden.
- Auch SOLLTEN regelmäßig Revisionen durchgeführt werden.
- Die Ergebnisse SOLLTEN nachvollziehbar dokumentiert, ausreichend geschützt und vertraulich behandelt werden.
- Abweichungen SOLLTE nachgegangen werden.
- Die Ergebnisse SOLLTEN dem ISB vorgelegt werden.
APP.3.2.A20 Benennung von Anzusprechenden [Zentrale Verwaltung]
Bei umfangreichen Webangeboten SOLLTE die Institution zentrale Anzusprechende für die Webangebote bestimmen.
- Es SOLLTEN Prozesse, Vorgehensweisen und Zuständige für Probleme oder Sicherheitsvorfälle benannt werden.
Die Institution SOLLTE eine Kontaktmöglichkeit auf ihrer Webseite veröffentlichen, über die Sicherheitsprobleme an die Institution gemeldet werden können.
- Für die Behandlung von externen Sicherheitsmeldungen SOLLTE die Institution Prozesse definieren.
Anforderungen bei erhöhtem Schutzbedarf
Im Folgenden sind für diesen Baustein exemplarische Vorschläge für Anforderungen aufgeführt, die über dasjenige Schutzniveau hinausgehen, das dem Stand der Technik entspricht.
- Die Vorschläge SOLLTEN bei erhöhtem Schutzbedarf in Betracht gezogen werden.
- Die konkrete Festlegung erfolgt im Rahmen einer individuellen Risikoanalyse.
APP.3.2.A15 Redundanz
Webserver SOLLTEN redundant ausgelegt werden.
- Auch die Internetanbindung des Webservers und weiterer IT-Systeme, wie etwa der Webanwendungsserver, SOLLTEN redundant ausgelegt sein.
APP.3.2.A17 ENTFALLEN
Diese Anforderung ist entfallen.
APP.3.2.A18 Schutz vor Denial-of-Service-Angriffen
Der Webserver SOLLTE ständig überwacht werden.
- Des Weiteren SOLLTEN Maßnahmen definiert und umgesetzt werden, die DDoS-Angriffe verhindern oder zumindest abschwächen.
APP.3.2.A19 ENTFALLEN
Diese Anforderung ist entfallen.
Weiterführende Informationen
Wissenswertes
Das Bundesamt für Sicherheit in der Informationstechnik hat folgende weiterführende Dokumente veröffentlicht, die für den Betrieb von Webservern relevant sein können:
- Migration auf TLS 1.2 - Handlungsleitfaden
- Sicheres Webhosting: Handlungsempfehlung für Webhoster
- Sicheres Bereitstellen von Webangeboten (ISi-Webserver)
Das National Institute of Standards and Technology (NIST) stellt in seinem Dokument „Guideline on Securing Public Web Servers“ Hinweise zur Absicherung von Webservern zur Verfügung.