Infrastruktur & Security · Methode
Software wird so ausgeliefert, dass sie nach der Installation funktioniert — nicht, dass sie sicher ist. Beides gleichzeitig ginge, würde aber Rückfragen erfordern, die ein Erstinstallation nicht stellen will. Härtung ist die Arbeit, die zwischen „läuft“ und „läuft, ohne unnötig angreifbar zu sein“ liegt.
Das Missverständnis dabei: Härtung wird oft als Liste von Einstellungen verstanden, die man einmal abarbeitet. Tatsächlich ist es eine Reihe von Entscheidungen, bei denen jede etwas kostet — meist Bequemlichkeit, manchmal Funktion.
Der Kern
Weniger da, weniger erreichbar, weniger erlaubt
Fast alle Härtungsmaßnahmen lassen sich auf drei Fragen zurückführen. Sie in dieser Reihenfolge zu stellen, spart die meiste Arbeit — was gar nicht installiert ist, muss man weder erreichbar machen noch berechtigen.
-
Muss das überhaupt da sein?
Jedes installierte Paket, jeder mitgelieferte Beispieldienst, jede Standard-Erweiterung ist Angriffsfläche, die gepflegt werden muss. Der wirksamste Schritt ist Entfernen, nicht Absichern. Was fehlt, hat keine Lücken.
-
Muss das von dort erreichbar sein?
Ein Dienst, der nur lokal gebraucht wird, muss nicht am Netzwerk lauschen. Eine Verwaltungsoberfläche muss nicht aus dem gesamten Heimnetz erreichbar sein. Die Standardeinstellung ist fast immer „von überall“ — sie ist eine Bequemlichkeitsentscheidung des Herstellers, keine Sicherheitsentscheidung.
-
Muss das so viel dürfen?
Dienste laufen erstaunlich oft mit vollen Rechten, weil das jede Fehlermeldung vermeidet. Ein eigenes Konto je Dienst, nur mit den Rechten, die es tatsächlich braucht, begrenzt den Schaden eines einzelnen Einbruchs auf diesen Dienst.
Die Basis
Was vor jeder Feinarbeit kommt
Keine Standardzugänge, keine Passwörter allein
Mitgelieferte Konten und Kennwörter sind öffentlich bekannt und werden automatisiert durchprobiert. Für administrative Zugänge: Schlüssel statt Passwort, zweiter Faktor wo möglich, und der Passwort-Login abgeschaltet — nicht nur „ein sicheres Passwort gewählt“.
Updates als Verfahren, nicht als Vorsatz
Die meisten erfolgreichen Angriffe nutzen längst behobene Lücken. Wichtiger als jede exotische Einstellung ist ein Weg, wie Aktualisierungen zuverlässig und ohne Heldentat eingespielt werden — automatisiert für unkritische Teile, geplant für den Rest.
Nicht alles im selben Raum
Geräte, die man nicht selbst aktualisieren kann — Kameras, Fernseher, Haustechnik — gehören von allem getrennt, was schützenswert ist. Diese Trennung ist wirksamer als jede Einzelmaßnahme an den Geräten selbst, die man ohnehin nicht härten kann.
Protokolle, die jemand liest
Härtung ohne Beobachtung merkt nicht, wenn sie versagt. Es braucht nicht viel: Anmeldungen, fehlgeschlagene Versuche, Änderungen an Konten — an einem Ort gesammelt, der auch dann noch existiert, wenn das Gerät kompromittiert wurde.
Vorgaben
Nicht selbst erfinden
Für die gängigen Betriebssysteme und viele Anwendungen gibt es veröffentlichte Härtungsvorgaben — von Herstellern, von Sicherheitsbehörden, von Fachverbänden. Sie sind gründlicher, als man es allein hinbekommt, und ersparen die Diskussion mit sich selbst über jede einzelne Einstellung.
Aber: Solche Kataloge sind für den strengsten denkbaren Einsatzzweck geschrieben. Wer sie ohne Prüfung vollständig anwendet, legt sich Einschränkungen auf, die im eigenen Umfeld keinen Gewinn bringen und Betrieb kosten. Der brauchbare Weg ist, den Katalog als Fragenliste zu nehmen, jede Abweichung bewusst zu treffen — und die Begründung dazuzuschreiben. Eine dokumentierte Abweichung ist Härtung; eine unbemerkte ist eine Lücke.
Der Sinn der Begründung
In sechs Monaten sieht eine gelockerte Einstellung genau wie eine vergessene aus. Ohne Notiz baut man beim nächsten Durchgang entweder eine funktionierende Lösung kaputt oder lässt eine echte Lücke stehen, weil man sie für eine Entscheidung hält.
Werkzeuge
Was einem die Arbeit abnimmt
Lynis, OpenSCAP
Prüfen ein System gegen bekannte Härtungsvorgaben und liefern eine Liste mit Befunden und Begründung. Als Startpunkt unschlagbar — sie finden die Selbstverständlichkeiten, die man beim eigenen System übersieht. Beide quelloffen, beide ohne Agenten nutzbar.
CrowdSec, fail2ban
Werten Protokolle auf Angriffsmuster aus und sperren die Quelle. fail2ban arbeitet rein lokal nach eigenen Regeln; CrowdSec teilt Beobachtungen anonymisiert mit anderen Teilnehmern und profitiert von deren Funden. Beide zunächst im Beobachtungsmodus fahren, sonst sperrt man sich selbst aus.
Ansible & Co.
Der eigentliche Hebel: Härtung, die als Konfiguration beschrieben ist, lässt sich wiederholen, prüfen und auf neue Systeme anwenden. Von Hand gehärtete Systeme driften auseinander — nach einem Jahr weiß niemand mehr, welches wie eingestellt ist.
Wazuh, Checkmk, Grafana
Sammeln Protokolle und Zustände an einer Stelle. Entscheidend ist weniger das Werkzeug als die Regel: Was gesammelt wird, muss auch jemand ansehen — und es muss außerhalb des überwachten Systems liegen, sonst löscht ein Angreifer seine eigenen Spuren mit.
Für die Vorgaben selbst sind die CIS Benchmarks der verbreitetste Katalog; für den deutschsprachigen Raum kommt das IT-Grundschutz-Kompendium des BSI hinzu. Beide sind frei verfügbar und ersparen die Diskussion mit sich selbst über jede einzelne Einstellung.
Die Grenze
Wenn Härtung den Betrieb frisst
Jede Maßnahme hat einen Preis, und der wird selten mitgerechnet. Strengere Regeln erzeugen Fehlalarme, die jemand prüfen muss. Automatische Sperren treffen irgendwann den Betreiber selbst — vorzugsweise nachts und von unterwegs. Eine feingliedrige Rechtevergabe muss bei jeder Änderung nachgezogen werden, sonst zerfällt sie zu einer Sammlung von Ausnahmen.
Deshalb gilt derselbe Maßstab wie bei jeder anderen Betriebsentscheidung: Eine Maßnahme, die man nicht dauerhaft pflegen kann, ist keine Verbesserung, sondern eine Verschiebung. Sie erzeugt das Gefühl von Sicherheit und verfällt still.
Drei Maßnahmen, die man durchhält, schützen besser als dreißig, die nach dem ersten Umbau nicht mehr stimmen.
Reihenfolge
Womit anfangen, wenn nichts davon existiert
| Schritt | Warum an dieser Stelle |
|---|---|
| Bestandsaufnahme | Was läuft überhaupt, und was davon lauscht am Netz? Ohne diese Liste härtet man Vermutungen. Die Liste allein fördert meist Dienste zutage, die niemand mehr braucht. |
| Abschalten und entfernen | Der billigste Gewinn: Alles ausschalten, was nicht gebraucht wird. Kostet nichts an Bequemlichkeit, senkt die Angriffsfläche am stärksten. |
| Zugänge in Ordnung bringen | Standardkonten weg, Schlüssel statt Passwort, zweiter Faktor. Betrifft den Weg, den ein Angreifer zuerst probiert. |
| Aktualisierung verlässlich machen | Erst wenn Updates ohne Aufwand laufen, bleibt der Zustand erhalten. Vorher verfällt jede Härtung. |
| Trennen | Unpflegbare Geräte von schützenswerten trennen. Größerer Eingriff, deshalb später — aber mit der größten Wirkung gegen das schwächste Glied. |
| Beobachten | Zum Schluss die Sichtbarkeit: Erst jetzt gibt es einen definierten Normalzustand, gegen den sich Auffälligkeiten überhaupt abheben. |
Zwischen den Schritten jeweils eine Weile nichts Neues tun und beobachten, was auffällt. Wer alles an einem Wochenende umstellt, weiß bei der nächsten Störung nicht, welche der zwanzig Änderungen sie verursacht hat.
Schreibe einen Kommentar
Du musst angemeldet sein, um einen Kommentar abzugeben.