Sicherheit in vernetzten Systemen (eBook)

Sicherheitskonfigurationsrichtlinien effizient
verwalten und umsetzen: Der Scapolite-Ansatz

Patrick Stöckle
TUM
patrick.stoeckle@tum.de

Bernd Grobauer
Siemens AG
bernd.grobauer@siemens.com

Alexander Pretschner
Technische Universität München (TUM)
alexander.pretschner@tum.de

Zusammenfassung

1 Systemhärtung mit Sicherheitskonfigurationsrichtlinien: Eine Einführung

Fehlkonfigurationen verringern die Sicherheit eines Systems. Durch sie entstehen Schwachstellen, die schwer aufzuspüren sind. Die meisten Angriffe auf Softwaresysteme sind durch Fehlkonfigurationen deutlich leichter auszuführen oder werden dadurch erst ermöglicht. Gerade in großen vernetzten Systemen ist es den Administratoren nicht möglich, sämtliche sicherheitsrelevanten Einstellungen für alle verwendeten Software-Lösungen zu kennen. Dieser Ansicht ist auch ein Großteil der Administratoren. Sie selbst nennen eigene Wissenslücken als einen Hauptgrund für Fehlkonfigurationen. [3]

Im Allgemeinen werden von Sicherheitsexperten erarbeitete Sicherheitskonfigurationsrichtlinien (im Folgenden Richtlinien) für die Systemhärtung (im Folgenden Härtung) verwendet, um den Risikofaktor mangelndes Wissen zu minimieren. Diese Richtlinien bestehen aus textbasierten Regeln, die Anweisungen für die Härtung eines bestimmten Softwaresystems geben, wie beispielsweise Windows 10. Jede Regel setzt sich aus verschiedenen Bestandteilen zusammen (siehe Abbildung 1).

Für die Administratoren ist im Prozess der Härtung vor allem der Regelabschnitt Umsetzung hilfreich: Hier ist definiert, welche von den verfügbaren Einstellungsoptionen die Sicherheit des Systems erhöhen. Internationale Herausgeber von Richtlinien sind zum Beispiel das CIS6 oder die DISA7. Auf nationaler Ebene wurde in Deutschland ein solches Projekt zur Herausgabe von Richtlinien mit dem Namen [2] im BSI durchgeführt. Leider wurde dieses im Jahr 2021 eingestellt. Es gibt jedoch z.B. beim bayerischen LSI8 Ideen für eine landesweit einheitlich geltende Richtlinie. So wird es für Organisationen wie die TUM und Unternehmen wie der Siemens AG möglich, externe Richtlinien zu nutzen, um ihre Systeme bestmöglich zu härten.

Nach der Veröffentlichung einer Richtlinie durchlaufen Richtlinien drei Stationen innerhalb eines Unternehmens. Diese sind

1. Dokumentation. Nutzergruppe: Sicherheitsexperten der Firma.

2. Automatisierte Überprüfung. Nutzergruppe: Administratoren.

3. Automatisierte Umsetzung. Nutzergruppe: Administratoren.

Im Folgenden beschreiben wir die drei Stationen genauer.

1. Dokumentation: In diesem Dokument erklären die Herausgeber der Richtlinien, was die Aufgabe einer Einstellung ist, warum sie sicherheitsrelevant ist, was sichere Einstellungsoptionen sind und welche potenziellen Auswirkungen durch eine Änderung der Einstellung auf das Systemverhalten zu erwarten sind. Die Sicherheitsexperten in Unternehmen und Institutionen können auf Basis der öffentlichen Richtlinien in einem zweiten Schritt unternehmenseigene Richtlinien erstellen. Bei der Anpassung der allgemeinen Richtlinien an die Bedürfnisse des Unternehmens ist vor allem wichtig, wann eine Regel in der eigenen IT nicht umgesetzt werden kann, weil z. B. Altsysteme dann nicht mehr zugreifbar wären. Auch kann es vorkommen, dass in der unternehmenseigenen IT höhere Sicherheitsanforderungen gelten, die Änderungen an den Regeln oder zusätzliche Regeln erfordern. Für die Dokumentation verwenden die Herausgeber üblicherweise allgemeine Dokumentenformate wie PDF, Tabellenformate wie EXCEL oder das für diesen Anwendungsfall standardisierte XCCDF9 [9]; XCCDF ist Teil des umfassenderen SCAP10-Standards [8].

Am Ende dieser Station steht eine unternehmenseigene Richtlinie, die auf die Sicherheitsanforderungen des jeweiligen Unternehmens eingeht.

2. Automatisierte Überprüfung: Das im ersten Schritt entstandene Dokument ist für die Administratoren in der konkreten Umsetzung der Regeln nur bedingt hilfreich, da es für die meisten Systeme ökonomisch nicht sinnvoll wäre, hunderte Regeln einzeln händisch zu überprüfen. Bei Unsicherheiten kann das PDF jedoch zurate gezogen werden. Aufgrund dessen erstellen die Sicherheitsexperten des Unternehmens Dateien, mithilfe derer ein Administrator überprüfen kann, inwieweit ein System im Sinne der Richtlinie bereits sicher konfiguriert ist. Sie können damit die Systeme, für die sie verantwortlich sind, auf eventuelle Schwachstellen prüfen und diese dann gegebenenfalls schließen. Hierbei können die Sicherheitsexperten die Dateien entweder komplett selbst schreiben oder existierende Überprüfungsdateien, die von den Herausgebern der Richtlinien bereitgestellt werden, anpassen. Die existierenden Überprüfungsdateien sind in diesem Fall allgemeine Skriptformate wie Bash- oder PowerShell-Skripte, spezielle Scanner-Formate wie für Tenable Nessus11 oder Qualys12 oder die ebenfalls im SCAP definierte OVAL13 [1].

Nach dieser Station existiert eine Möglichkeit, um Konfigurationslücken in den eigenen Systemen zu entdecken.

3. Automatisierte Umsetzung: Für eine effiziente Umsetzung der Richtlinie benötigen die Administratoren Dateien, mit denen sie die Regeln der Richtlinie ausführen können. Auch hier gilt: Eine händische Umsetzung mit den Dokumentationsformaten ist zwar möglich, aber sehr kosten- und zeitintensiv. Ähnlich wie bei Station 2 erstellen unternehmenseigene Sicherheitsexperten diese Umsetzungsdateien neu oder auf Basis von Dateien, die die Herausgeber bereitstellen. Für die automatisierte Umsetzung verwenden sie meist ebenfalls PowerShell, proprietäre Formate wie Gruppenrichtlinien-Exporte oder Konfigurationsmanagement-Formate wie Ansible14 oder Chef15; ein standardisiertes Format für die Umsetzung gibt es nicht. Am Ende dieser Station können die Administratoren die Richtlinien über die Umsetzungsdateien ausführen.

Der bisherige Prozess ist in Abbildung 2 dargestellt. Die Autoren der Sicherheitsrichtlinie erstellen alle Dokumente getrennt und übertragen auch die Änderungen in alle Artefakte getrennt. Falls die Administratoren eigene Tools zur Umsetzung oder Überprüfung verwenden, erstellen diese dann auf Basis der Richtlinie eigene Überprüfungen/Umsetzungen. Die Administratoren überprüfen damit die Systeme in ihrer Infrastruktur und härten diese bei Bedarf. Sollten Anpassungen nötig sein, z. B. weil das System nicht mehr funktioniert, wenn Regel X angewendet wird, so muss dies in alle Artefakte übertragen werden, um Verwirrung zu vermeiden.

2 Probleme der bisherigen Vorgehensweise

Während des oben beschriebenen Prozesses mit den drei Stationen sind bei der Siemens AG verschiedene Probleme aufgetreten:

A. Fehler beim Anpassen der Richtlinien: Beim Anpassen der Richtlinien kam es immer wieder zu kleineren oder größeren Fehlern. Kleinere Fehler waren...