Server und System Härtungen

Meiner Meinung nach ist die größte Sicherheitslücke in modernen IT-Infrastrukturen (abseits des Faktors Mensch), schlecht bzw. nicht ausreichend konfigurierte Assets. Dabei ist es völlig unerheblich, ob stets aktuelle Software installiert wird. Das beste Patch-Management ist wertlos, wenn die zugrunde liegenden Systeme und Anwendungen nicht fachgerecht konfiguriert und nach internationalen Best Practices gehärtet worden sind.

Ein ordentlich gehärtetes System, kann die Systemsicherheit erheblich steigern, so weit, dass viele Angriffe ins Leere laufen bzw. überhaupt nicht mehr möglich sind.  Ein nach internationalen „Best Practices“ konfiguriertes System erhöht auch die allgemeine Betriebssicherheit. Mit Betriebssicherheit ist gemeint, dass das System so optimiert wird, dass gängige Problemstellungen und Fehlerquellen verringert bzw. vermieden werden und teils auch das „Optimum“ an Leistung genutzt wird.

Nicht umsonst ist die System-Härtung, auch "System Hardening" genannt, ein fester Bestandteil von Frameworks wie dem CIS Critical Security Controls®, der ISO/IEC 27001:2022, NIS-2  und vielen anderen. Mehr und mehr Auftraggeber und Versicherungen erzwingen sogar entsprechende Maßnahmen. Als Nebeneffekt gewinnt eine IT-Abteilung durch eine systematische Härtung einen besonders tiefen Einblick  in die „Innereien“ eines Systems.

Durch meine Tätigkeiten kann ich, mit den aktuellsten Daten  (die ich durch lizenzierte  Partnerschaften beziehe), einen Großteil aller IT-Assets bewerten und durch dieses Vorgehen eine „Baseline Security“, bei der jedes System einem „Standard“ folgt, realisieren. Manche Systeme haben mehrere hunderte Optimierungen nötig, hier biete ich für eine Vielzahl an Anpassungen, automatisierte Vorgänge wie z.B. GPO’s oder Skripte.

Auch wende ich nicht blind jede „Empfehlung“ an, sondern evaluiere diese „Empfehlungen“ anhand Ihrer jeweiligen Bedürfnisse.

Jedes Service-Paket bedarf eine Bestandsaufnahme, Aufstellung der Teams, die Berücksichtigung der Erwartungen, Klärung von rechtlichen Aspekten (z. B. darf ein System überprüft werden, dass von einer dritten Partei verwaltet wird, AV-Vertrag und NDA) und der technischen Einrichtung der Zugänge.

Grundsätzlich kommen Experten-Tools, die international mit zu den besten ihrer Art gehören, zum Einsatz. Diese Fachanwendungen haben oft Dienstleister als Zielgruppe und sind häufig so hochpreisig, dass dessen Beschaffung für einzelne Unternehmen oft zu kostspielig ist. Als seriöser Unternehmer sind alle Fachanwendungen legal erworben und passend lizenziert. Gray-Hat IT-Security Consulting Stephan H. Wenderlich, ist ein aktives CIS SecureSuite® Mitglied.

Meine verwendete Software bietet immer die aktuellsten Datenstände und die aktuellsten Vergleichsdaten. Eine konstante Weiterbildung zu den komplexen Anwendungen ist selbstverständlich. Zur Bewertung der jeweiligen Systeme benötige ich einen Netzwerkzugang (via VPN) und auch erhöhte Rechte innerhalb dieser Systeme. Nach einer Bewertung rate ich die Zugänge zu deaktivieren und nur bei einer nötigen Verwendung wieder zu aktivieren.

Gray-Hat IT-Security Consulting Stephan H. Wenderlich, empfiehlt die Verwendung von CIS Benchmarks™ zur System-Härtung.

Was sind CIS-Benchmarks™?
CIS-Benchmarks™ sind Konfigurationsempfehlungen und wurden vom Center for Internet Security® (CIS®), eine gemeinnützige Organisation, entwickelt. Es ermöglicht Unternehmen, ihre Maßnahmen für Sicherheit und Compliance zu verbessern. Das Ziel dieser Initiative ist es, von einer Gemeinschaft von Cyber-Sicherheitsexperten entwickelte Basisstandards für die IT-Konfigurationen bzw. CIS-Benchmarks™ für IT- und Sicherheitslösungen zu erarbeiten, die in Unternehmen häufig eingesetzt werden.

Welche Vorteile haben die CIS-Benchmarks™

Unternehmen aller Art, die die CIS-Benchmarks™ umsetzen, können folgende Vorteile erzielen:

• ✅ Absicherung von Systemen gegen die sich ständig weiterentwickelnden Cyber-Bedrohungen.
• ✅ Eine schnellere Behebung von Schwachstellen durch die Bereitstellung von Empfehlungen im Rahmen von Referenzwerten.
• ✅ Langzeitvertrauen des Top-Managements und Bereitstellung von Budgets für die IT-Security Fachabteilungen.
• ✅ Optimierte Sicherheitsstandards für Cloud-Umgebungen und Abwehr von Bedrohungen.
• ✅ Gesteigertes Kundenvertrauen durch nachweisliche Einhaltung von branchenspezifischen Benchmarks.

Schritt für Schritt werden Server- und Client-Betriebssysteme (verschiedene Mac, Linux und Windows Varianten), sowie unterschiedliche Datenbanken, Browser, Server-Applikationen und Netzwerkgerätschaften untersucht. In der Regel, voll automatisiert! In den Fällen, wo eine manuelle Interaktion nötig ist, werde ich Sie entsprechend unterstützten.

Nach jeder durchgeführten Bewertung erhalten Sie zu dem jeweiligen System einen sehr detaillierten Report. Alle Ergebnisse werden anschließend mit Ihrem IT-Team und/oder der Geschäftsleitung besprochen, sowie direkt seriöse Handlungsempfehlungen erörtert, um bei der Beseitigung der gefundenen Missstände zu helfen. Mein intensives Praxis-Wissen kennt die üblichen Fallstricke und die technischen Details sind mir in der Regel sehr bekannt!