Wenn Sie sich mit System Hardening beschäftigen (müssen), merken Sie schnell: Das Thema kann sehr komplex und extrem zeitaufwändig sein. Gibt es ein paar Möglichkeiten, schneller voranzukommen? Ja!
Systemhärtung: Nichts für Anfänger!
Immer mehr IT-Regularien wie NIS2, BSI-Grundschutz, DORA oder ISO 27001 fordern eine umfassende, professionelle und sichere Konfiguration von Systemen. Dieser Vorgang, Secure Configuration oder System Hardening (zu Deutsch: Systemhärtung) genannt, kann Ihre IT-Abteilung viele Monate beschäftigen. Denn Sie sollten Ihre Server und Clients nach erprobten Standards wie den CIS Benchmarks, den DISA STIGs oder den BSI SiSyPHuS-Empfehlungen härten.
Allein das Lesen und Verstehen der „Regelwerke“ kostet Sie viel Zeit. Die Anwendung kostet noch mehr Zeit, da Sie eine Hardening-Strategie mit passenden Prozessen und Maßnahmen entwickeln müssen. Diese Maßnahmen müssen anschließend umgesetzt, protokolliert und fortwährend an neue Gegebenheiten angepasst werden.
Keine Maßnahme von der Stange
Ein weiterer Punkt, der unter Umständen viele Ressourcen erfordert: Die Härtung Ihrer Systeme muss zu Ihren Compliance-Vorgaben und Ihrer vorhandenen Infrastruktur passen.
Es wäre beispielsweise wenig sinnvoll, „sklavisch“ einen Benchmark anzuwenden, wenn anschließend zahlreiche Anwendungen nicht mehr funktionieren. Das ist kontraproduktiv und verursacht unnötigen Ärger!
Daher müssen Sie sich, wie bereits erwähnt, genau mit den verschiedenen Vorgaben beschäftigen und eine individuelle Härtung entwickeln.
Ist es möglich, mehrere Härtungskonfigurationen zu mischen?
Die schnelle Antwort lautet: Ja, das geht. Das ist sogar empfehlenswert, wenn Sie eine maßgeschneiderte Systemhärtung entwickeln möchten.
In diesem Kontext werden häufig ähnliche Fragen gestellt:
❓ Wie lassen sich Standards von BSI, CIS, Microsoft oder eigene Konzepte genau kombinieren?
❓ Wie lassen sich Betriebssysteme und einzelne Anwendungen härten?
❓ Wie kann man verschiedene Server-Typen mit einer passenden Härtung versehen?
❓ Wie härtet man Server und Clients gleichermaßen?
❓ Wie deaktiviert man einzelne Einstellungen, beispielsweise bei den CIS-Benchmarks?
❓ Wie muss die Systemhärtung nicht über Gruppenrichtlinien/GPOs „programmiert” werden?
❓ Wie vermeidet man es, komplizierte Scripte zu schreiben?
❓ Wie verhindert man, dass die Härtung bestehende GPOs deaktiviert?
❓ Wie behält man ohne episch lange Excel-Listen die Übersicht?
❓ Wie lassen sich Bestandssysteme und neue Systeme nach den gleichen Vorgaben härten?
❓ Wie erfährt man von versehentlichen oder bewussten Konfigurationsänderungen?
❓ Wie kann man die sichere Konfiguration einfach fortlaufend dokumentieren?
❓ Wie kann man auf Knopfdruck einen IST-Zustand erhalten, beispielsweise für Audits?
Die Antworten auf diese und weitere ähnliche Fragen erhielten Sie im Webinar „Hands-on Hardening & Compliance – Praxisnah zur sicheren Umgebung“.
Im Webinar zeigten Matthias Laux (FB Pro) und Nils Berg (TEAL), wie Sie mit wenig Aufwand verschiedene Hardening-Standards kombinieren und eigene Konfigurationen erstellen können, ohne auch nur eine Zeile Code schreiben zu müssen.
Nach einer kurzen, kostenlosen Anmeldung können Sie sich hier die Aufzeichnung des Webinars anschauen:
Haben Sie noch Fragen?
Wollen Sie mehr über Systemhärtung wissen? Oder möchten Sie wissen, wie Sie mit Tools wie dem AuditTAP und dem Enforce Administrator eine Systemhärtung professionell realisieren und in Ihrem Unternehmen implementieren können? Sprechen Sie uns an – unsere Experten sind gerne für Sie da!
Bild: Freepik AI/Magnific