Thema: hardening
-
Wiederherstellungsbereitschaft vor einer Härtungsänderung: Konsolenzugang, Backup, zeitgesteuerter automatischer Rollback und Änderungsprotokoll
Eine Methode, um jede Härtungsänderung vor der Anwendung rückgängig machbar zu machen: Out-of-Band-Zugang bestätigen, das zu Ändernde sichern, einen zeitgesteuerten Rollback scharf schalten, der auslöst, wenn nichts den Erfolg bestätigt, und die Änderung protokollieren – damit sich ein Netzwerk- oder Authentifizierungsfehler selbst behebt, statt einen Vor-Ort-Einsatz zu erfordern.
-
Dateiintegritätsüberwachung mit AIDE: Baseline erstellen, dagegen prüfen und die Datenbank ausserhalb des Hosts aufbewahren
AIDE vergleicht das aktuelle Dateisystem mit einer zuvor erstellten Datenbank; aide --init erzeugt diese Datenbank, ein Operator muss sie an die richtige Stelle verschieben, und aide --check ist nur dann vertrauenswürdig, wenn ein Angreifer, der den Host verändert hat, nicht auch die gespeicherte Baseline verändern konnte.
-
Integrierten OpenSSH Server unter Windows Server installieren und absichern
Add-WindowsCapability installiert das Feature OpenSSH Server. Die Datei sshd_config liegt unter %ProgramData%\ssh. Öffentliche Schlüssel von Administratoren gehören in administrators_authorized_keys, deren ACL eingeschränkt sein muss, sonst ignoriert der Server sie. DefaultShell legt fest, was eine SSH-Sitzung tatsächlich ausführt.
-
CIS Benchmarks und DISA STIGs als Härtungsbasis: Was sie sind und wie sie selektiv angewendet werden
CIS Benchmarks und DISA STIGs sind zwei unabhängig gepflegte Sammlungen von Konfigurationsempfehlungen; beide bieten wählbare Profilstufen statt eines festen Ziels. Wer ein Profil pauschal und ohne dokumentierte Ausnahmen umsetzt, legt bei der Härtung häufig einen produktiven Dienst lahm.
-
Linux-Host mit OpenSCAP gegen eine Baseline prüfen
Mit oscap xccdf eval lässt sich ein SCAP-Security-Guide-Profil gegen einen laufenden Host oder ein Offline-Image auswerten und ein lesbarer Bericht erzeugen. Das generierte Remediation-Skript vor der Ausführung zu prüfen verhindert, dass aus einem automatisierten Scan ein automatisierter Ausfall wird.
Maschinenlesbar: JSON