News zu Oracle
Deine Oracle Linux Betriebssysteme sind das Herzstück deiner IT und verdienen damit in puncto Sicherheit besondere Aufmerksamkeit. Diese auf ein Top-Niveau zu bringen ist kein Hexenwerk, wenn du weißt, wo du ansetzen musst.
Der CIS Benchmark Report liefert dir eine klare Analyse potenzieller Schwachstellen. In unserer Beitragsserie zur IT-Sicherheit navigieren wir dich durch den Fachjargon und erklären die wichtigsten Aspekte des Reports – verständlich, praxisnah und auf den Punkt gebracht. Denn echte Sicherheit beginnt mit dem Verständnis, und dem richtigen Partner!
Teil I unserer Beitragsserie “Härung von Oracle Linux Betriebssystemen” drehte sich um den Bereich “Netzwerkkonfiguration”. Außerdem haben wir dort einige wichtige Punkte zum allgemeinen Verständnis des CIS Benchmark Reports erörtert. Falls du nochmal nachlesen möchtest: » Hier der Link
Heute werfen wir unseren Blick auf den zweiten Teil des CIS Benchmark Reports und verraten dir, welche Dienste du möglichst deaktivieren oder zumindest maskieren solltest, wie du dein Betriebssystem auf Sparflamme installieren kannst und warum auch ausgewählte Service Clients entfernt werden sollten.
Eine der besten Möglichkeiten, das System vor (noch nicht gemeldeten) Schwachstellen zu schützen, liegt darin, alle Dienste zu deaktivieren, die für den normalen Betrieb des Systems nicht erforderlich sind. Dies verhindert die Ausnutzung von Sicherheitslücken, die möglicherweise erst zu einem späteren Zeitpunkt entdeckt werden. Denn wenn ein Dienst nicht aktiviert ist, kann er auch nicht ausgenutzt werden. Die Maßnahmen im Abschnitt “Services” des CIS Reports geben Hinweise darauf, welche Dienste unter welchen Umständen sicher deaktiviert oder besser maskiert werden können.
Im Folgenden haben wir einige Dienste aufgeführt, die du in deinen Systemen – abhängig von der Rolle des jeweiligen Systems – deaktivieren solltest:
Falls die Installation aufgrund von Paketabhängigkeiten unumgänglich ist, sollten die zugehörigen Dienste zumindest maskiert werden.
Beachte bitte, dass es sich dabei lediglich um einen Auszug aus dem CIS Report handelt und die Liste keinen Anspruch auf Vollständigkeit erhebt. Außerdem solltest du im Vorfeld genau prüfen, ob die Deaktivierung mögliche Auswirkungen auf deinen Systembetrieb haben könnte.
Bereits bei der Betriebssysteminstallation eines Linuxservers kannst du unnötige Dienste weitgehend außen vor lassen, indem du das Minimalprofil anstelle des Serverprofils wählst. Unbedingt für die Rolle des Systems erforderliche Dienste, die nicht im Minimalumfang enthalten waren, installierst du dann später einfach nach.
Ein Blick auf die aktuell auf deinem System gebundenen Ports kann ein guter Einstieg sein, um zu überprüfen, welche Dienste Verbindungen “von außen” annehmen würden und ob diese tatsächlich für das betreffende System erforderlich sind. Hierzu kannst du beispielsweise den Befehl “ss” aus dem iproute-Paket nutzen. In der Ausgabe sind insbesondere die Spalten “Local Address:Port” und “Process” von Interesse:
# ss -tulpn
Netid State Recv-Q Send-Q Local Address:Port Peer Address:Port Process
udp UNCONN 0 0 0.0.0.0:23149 0.0.0.0:* users:(("rpc.statd",pid=133747,fd=8))
udp UNCONN 0 0 0.0.0.0:111 0.0.0.0:* users:(("rpcbind",pid=133741,fd=5),("systemd",pid=1,fd=117))
udp UNCONN 0 0 127.0.0.1:323 0.0.0.0:* users:(("chronyd",pid=159183,fd=5))
udp UNCONN 0 0 0.0.0.0:41579 0.0.0.0:*
udp UNCONN 0 0 127.0.0.1:787 0.0.0.0:* users:(("rpc.statd",pid=133747,fd=5))
udp UNCONN 0 0 [::]:62413 [::]:*
udp UNCONN 0 0 [::]:31278 [::]:* users:(("rpc.statd",pid=133747,fd=10))
udp UNCONN 0 0 [::]:111 [::]:* users:(("rpcbind",pid=133741,fd=7),("systemd",pid=1,fd=119))
udp UNCONN 0 0 [::1]:323 [::]:* users:(("chronyd",pid=159183,fd=6))
tcp LISTEN 0 64 0.0.0.0:32043 0.0.0.0:*
tcp LISTEN 0 4096 0.0.0.0:23927 0.0.0.0:* users:(("rpc.statd",pid=133747,fd=9))
tcp LISTEN 0 128 0.0.0.0:22 0.0.0.0:* users:(("sshd",pid=158566,fd=3))
tcp LISTEN 0 4096 0.0.0.0:111 0.0.0.0:* users:(("rpcbind",pid=133741,fd=4),("systemd",pid=1,fd=115))
tcp LISTEN 0 64 [::]:21585 [::]:*
tcp LISTEN 0 128 [::]:22 [::]:* users:(("sshd",pid=158566,fd=4))
tcp LISTEN 0 4096 [::]:111 [::]:* users:(("rpcbind",pid=133741,fd=6),("systemd",pid=1,fd=118))
tcp LISTEN 0 4096 [::]:19055 [::]:* users:(("rpc.statd",pid=133747,fd=11))
```
Wie im Punkt 1 bereits genannt, gibt es eine Reihe von potenziell unsicheren Diensten. Wenngleich die Deaktivierung der Serverseite dieser Dienste einen erfolgreichen Angriff verhindert, ist es zusätzlich ratsam, auch die entsprechenden Clients aus der Infrastruktur zu entfernen, sofern sie nicht benötigt werden. Ein Client ist zwar nicht direkt angreifbar, seine unbedarfte Nutzung kann aber durchaus Informationen ins Netzwerk streuen, die abgefangen und missbräuchlich verwendet werden können (z.B. unverschlüsselte Passworte, Informationen über die Infrastruktur etc).
Typische Clients, die in der Regel nicht benötigt werden und daher entfernt werden sollten, sind:
Bitte beachte, dass es sich bei den genannten Punkten lediglich um einen Bruchteil der Themen handelt, die im Report beleuchtet werden. Sie sollen dir lediglich einen Eindruck der Herangehensweise vermitteln. In weiterführenden Beiträgen werden wir uns noch weitere Punkte anschauen.
Selbstverständlich lassen sich die CIS Benchmark Reports auch für andere Enterprise Linux Betriebssysteme wie Red Hat Enterprise Linux erstellen sowie für Oracle Datenbanken, SQL Server Datenbanken und Windows Server Betriebssysteme.
Marcel
Senior Account Manager bei ASPICON
Share this article
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen