Betriebssystem-Härtung: Patches, Basiskonfiguration und CIS-Benchmarks

OS-Härtung bezeichnet den Prozess, die Angriffsfläche eines Betriebssystems zu verkleinern, indem unnötige Funktionen entfernt, Sicherheitskonfigurationen angewendet und Sicherheitsupdates installiert werden. Ein frisch installiertes Betriebssystem ist standardmäßig nicht sicher — es stellt die Benutzerfreundlichkeit in den Vordergrund und aktiviert Dienste und Funktionen, die viele Benutzerinnen und Benutzer vielleicht benötigen, die die meisten Unternehmensserver jedoch nicht brauchen. Jeder aktivierte Dienst, jeder offene Port und jedes Standardpasswort ist ein potenzieller Zugangspunkt für Angreifer. Durch die Härtung werden diese Zugangspunkte systematisch geschlossen, bevor ein System in Produktion geht.

Patch-Management bezeichnet den Prozess, Softwareupdates zu identifizieren, zu testen und einzuspielen, die Sicherheitslücken beheben. Ein ungepatchtes System gehört zu den am leichtesten ausnutzbaren Zielen — bei vielen großen Sicherheitsverletzungen (Equifax 2017, WannaCry 2017) wurden bekannte, bereits gepatchte Schwachstellen ausgenutzt, deren Patches die Organisationen schlicht noch nicht eingespielt hatten. Ein ausgereifter Patch-Management-Prozess definiert: die Identifizierung von Patches (Abonnieren von Herstellerhinweisen und CVE-Feeds), die Klassifizierung nach Kritikalität (Notfall/Kritisch/Hoch/Mittel), Testfristen (kritische Patches in vielen Frameworks innerhalb von 48–72 Stunden) und die Überprüfung der Bereitstellung.

Jeder laufende Dienst ist ein potenzieller Angriffsvektor. Die OS-Härtung beginnt mit einer Dienstprüfung: Listen Sie alle laufenden Dienste auf, ermitteln Sie deren Zweck und deaktivieren Sie alle Dienste, die für die jeweilige Rolle des Systems nicht erforderlich sind. Unter Windows Server werden Rollen wie Print Spooler, Remote Registry und LLMNR auf Servern, die sie nicht benötigen, häufig deaktiviert. Unter Linux sind Dienste wie rpcbind, cups (Drucken) und avahi (mDNS) typische Kandidaten. Das Prinzip lautet: Was Sie nicht benötigen, sollten Sie deaktivieren.

Installierte, nicht verwendete Software stellt ein unnötiges Risiko dar. Jedes Paket führt potenzielle Schwachstellen ein — auch gut gepflegte Software weist CVEs auf. Zur OS-Härtung gehören: das Entfernen von Sprachlaufzeitumgebungen, die von den Anwendungen nicht benötigt werden (Python, Perl, Ruby auf Webservern), das Entfernen von Entwicklungswerkzeugen (Compiler und Debugger auf Produktionssystemen) sowie das Entfernen von standardmäßig enthaltenen Anwendungspaketen aus Betriebssystem-Images (FTP-Server, Telnet-Clients, SNMP-Agenten). Aus demselben Grund sollten Container-Images minimale Basis-Images (Alpine, scratch, distroless) verwenden.

Standardkonten mit bekannten Benutzernamen und Passwörtern gehören zu den ersten Zielen von Angreifern. Maßnahmen zur Absicherung: das integrierte Administratorkonto deaktivieren (Windows) und umbenennen, falls eine Deaktivierung nicht möglich ist; das Root-Konto umbenennen oder die SSH-Anmeldung als Root einschränken (Linux); alle Standardpasswörter ändern, bevor Appliances, Datenbanken und Anwendungen in den Produktivbetrieb gehen; Gastkonten entfernen; und Dienstkonten deaktivieren, die keine interaktive Anmeldung benötigen. Ein Scan-Tool wie Nessus kennzeichnet Standardanmeldedaten als kritische Befunde.

Sichere Dateisystemberechtigungen setzen das Prinzip der geringsten Rechte im Betriebssystem durch. Webserverprozesse sollten keinen Schreibzugriff auf die von ihnen bereitgestellten Verzeichnisse haben. Anwendungskonten sollten keinen Lesezugriff auf Konfigurationsdateien mit Zugangsdaten besitzen. Unter Linux sollten setuid- und setgid-Binärdateien überprüft werden, da sie unabhängig davon, wer sie ausführt, mit erweiterten Berechtigungen laufen. Unter Windows stellen NTFS-Berechtigungen und die DACL-Überwachung sicher, dass auf sensible Verzeichnisse (SAM-Struktur, Schattenkopien, Anmeldeinformationsspeicher) nur autorisierte Prozesse zugreifen können.

CIS Benchmarks sind kostenlose, von der Community entwickelte Leitfäden zur Absicherung bestimmter Betriebssysteme, Anwendungen und Cloud-Plattformen. Jeder Benchmark enthält Hunderte konkreter Konfigurationsempfehlungen mit Begründungen, Anleitungen zur Behebung und Prüfkommandos. CIS Benchmarks verwenden zwei Profilstufen: Level 1 — grundlegende, breit anwendbare Konfigurationen, die die Funktionalität nicht einschränken; Level 2 — fortgeschrittene Konfigurationen für Umgebungen mit hohen Sicherheitsanforderungen, die die Benutzerfreundlichkeit beeinträchtigen können. Benchmarks gibt es für Windows Server, Ubuntu/RHEL, macOS, Docker, Kubernetes, AWS, Azure, GCP, Browser und Datenbanken.

Eine Sicherheitsbaseline ist eine dokumentierte Gruppe von Konfigurationseinstellungen, die jedes System einer bestimmten Rollenkategorie erfüllen muss. Unter Windows werden Baselines über Group Policy Objects (GPOs) angewendet, unter Linux über Ansible-Playbooks, Chef-Cookbooks oder Puppet-Manifeste. Tools für das Konfigurationsmanagement ermöglichen die Erkennung von Abweichungen: Weicht ein System von der genehmigten Baseline ab (z. B. weil ein Dienst wieder aktiviert wurde), können automatische Warnungen und eine automatische Behebung die Konformität wiederherstellen. NIST SP 800-128 enthält Leitlinien für sicherheitsorientiertes Konfigurationsmanagement in staatlichen Systemen.

Absicherung bedeutet nicht nur Prävention — Protokollierung und Monitoring sind ebenso wichtig. Konfigurieren Sie Überwachungsrichtlinien zur Erfassung von: Authentifizierungsereignissen (erfolgreich und fehlgeschlagen), Rechteausweitungen, Objektzugriffen (Lesen sensibler Dateien), Prozesserstellungen (einschließlich Kommandozeilenargumenten) und Ereignissen zu Netzwerkverbindungen. Protokolle müssen nahezu in Echtzeit an ein zentralisiertes SIEM weitergeleitet werden, damit lokale Angreifer mit Administratorrechten ihre Spuren nicht durch das Löschen von Ereignisprotokollen verwischen können. Bewahren Sie Protokolle gemäß den meisten Compliance-Rahmenwerken mindestens 12 Monate auf.

Die manuelle Überprüfung von Absicherungsbenchmarks auf jedem System ist bei größeren Umgebungen nicht praktikabel. Tools zur Compliance-Prüfung automatisieren diese Kontrolle. OpenSCAP (Open Source) wendet SCAP-Inhalte auf Linux-Systeme an und erstellt HTML-Berichte mit bestandenen, nicht bestandenen und nicht zutreffenden Prüfungen. Nessus enthält Richtlinien für CIS Benchmarks. Das Microsoft Security Compliance Toolkit bewertet Windows-Systeme anhand der Microsoft-Baselines. Diese Tools werden regelmäßig (wöchentlich oder monatlich) ausgeführt; Abweichungen lösen im Änderungsmanagementsystem Tickets zur Behebung aus.

In Windows-Domänen sind Group Policy Objects (GPOs) der wichtigste Mechanismus, um Sicherheitsbaselines in großem Maßstab anzuwenden und durchzusetzen. Sicherheitsvorlagen (vorgefertigte oder benutzerdefinierte .inf-Dateien) können in GPOs importiert werden, um Hunderte von Einstellungen gleichzeitig zu konfigurieren: Kontorichtlinien, Überwachungsrichtlinien, Zuweisung von Benutzerrechten, Sicherheitsoptionen und Registrierungswerte. Das Snap-In Security Configuration and Analysis und das Befehlszeilentool secedit vergleichen die aktuellen Einstellungen mit einer definierten Vorlage und erstellen Compliance-Berichte. GPOs werden beim Start und in regelmäßigen Abständen angewendet, sodass Abweichungen von der Baseline automatisch korrigiert werden.

Testen Sie Ihr Verständnis der CompTIA-Security+-Konzepte (SY0-701) aus dieser Lektion.

In dieser Lektion haben Sie gelernt: Die Absicherung des Betriebssystems reduziert die Angriffsfläche, indem Dienste deaktiviert, Software entfernt, Konten abgesichert und Berechtigungen nach dem Prinzip der geringsten Rechte vergeben werden; Patchmanagement schließt bekannte Schwachstellen mit auf der Kritikalität basierenden SLAs; und CIS Benchmarks bieten Konfigurationsleitlinien der Stufe Level 1 (grundlegend) und Level 2 (fortgeschritten), die durch automatisierte Tools zur Compliance-Prüfung durchgesetzt werden. Als Nächstes befassen wir uns mit Mobile Device Management und BYOD-Richtlinien.