Sicherheitsverstärkung

Obwohl Stratus ztC Edge-Systeme ein sicheres Out-of-Box-Erlebnis bieten, können Sie für das höchste Sicherheitsniveau Konfigurationseinstellungen wie unten beschrieben implementieren.

Sicherheit ist häufig ein Kompromiss zwischen Schutz und Benutzerfreundlichkeit. ztC Edge-Systeme werden mit einer Reihe von Standardeinstellungen geliefert, die diese Faktoren in Einklang bringen. Für eine sicherere Positionierung befolgen Sie die nachstehenden Richtlinien und werten Sie die Sicherheit des Systems während des gesamten Lebenszyklus, von der Planung und Konfiguration bis zum Betrieb und der Außerbetriebnahme, aus.

Die folgenden Informationen liefern eine Anleitung für die Sicherheitsverstärkung auf Basis von Version 7.1 der CIS Controls, eine Empfehlung des Center for Internet Security (CIS), einer gemeinnützigen Organisation, die bei besten Vorgehensweisen für den Schutz von IT-Systemen und Daten führend und anerkannt ist. CIS Benchmarks werden ebenfalls zur Validierung und Erstellung eines Ausgangspunkts für ein sicheres Produkt verwendet. Eine Liste von CIS Controls finden Sie unter Beste Vorgehensweisen und Normen der Normungsorganisationen.

Die folgenden Informationen liefern auch eine Anleitung für die Sicherheitsverstärkung auf Basis des Cybersicherheitsstandards für industrielle Kontrollsysteme ISA/IEC 62443, der ursprünglich durch die International Society of Automation (ISA) entwickelt wurde und von der International Electrotechnical Commission (IEC) weiterentwickelt wird. ISA/IEC 62443-4-2 hat verschiedene Sicherheitsstufen auf Basis der Sensibilität der Daten oder der zu bekämpfenden Bedrohung und hilft durch Implementierung der Empfehlungen und Anwendung von Abmilderungskontrollen bei der Erreichung der Einhaltung der erforderlichen Sicherheitsstufe. Eine Zusammenfassung der ISA/IEC 62443-4-2-Anforderungen finden Sie unter Beste Vorgehensweisen und Normen der Normungsorganisationen.

Dieses Hilfethema enthält die folgenden Abschnitte

• Sicherheitsrichtlinien
• Erweiterte Sicherheitsrichtlinien
• Beste Vorgehensweisen und Normen der Normungsorganisationen

Sicherheitsrichtlinien

Die folgenden Abschnitte beschreiben Sicherheitsrichtlinien für ztC Edge-Systeme.

Berücksichtigen Sie bei Implementierung der Richtlinien zur Sicherheitsverstärkung Folgendes:

• Die Sicherheitsrichtlinien beziehen sich auf Verwaltungsaufgaben, die in der ztC Console und im Host-Betriebssystem durchgeführt werden. Die ztC Console ist eine browserbasierte Benutzeroberfläche, die die Verwaltung und Überwachung der meisten Aspekte eines ztC Edge-Systems von einem Remoteverwaltungscomputer aus ermöglicht (siehe Die ztC Console). Das Host-Betriebssystem wird auf jedem Knoten des Systems ausgeführt. Sie können auf die Befehlszeile des Host-Betriebssystem lokal an der physischen Konsole der PM oder remote durch Verwendung eines Secure Shell (SSH)-Clients zugreifen (siehe Zugriff auf das Host-Betriebssystem).
• Notieren Sie die aktuellen Einstellungen, bevor Sie Konfigurationsänderungen vornehmen, damit Sie diese bei Bedarf wiederherstellen können. Notieren Sie außerdem alle Änderungen, die Sie vornehmen, falls diese Informationen zur Fehlerbehebung benötigt werden.
• Beim Ändern der Standardsystemeinstellungen, insbesondere des Host-Betriebssystems, müssen Sie die Änderungen an beiden Knoten vornehmen, um Inkonsistenzen zu verhindern, die den normalen Betrieb des Systems beeinflussen könnten. Ähnlich müssen Sie, wenn Sie das root-Kennwort und andere Benutzerkontoeinstellungen für das Host-Betriebssystem ändern, dies an beiden Knoten tun. Die folgenden Richtlinien geben an, wann diese Änderungen nötig sind.
• Wenn Sie die Systemsoftware aktualisieren oder einen Knoten im System ersetzen, kann es sein, dass nicht alle Änderungen für die Sicherheitsverstärkung übertragen werden. Außerdem sind einige Einstellungen für alle Knoten gleich, damit es keine Konflikte bei gemeinsam genutzten Ressourcen gibt. Daher sollten Sie nach Abschluss dieser Verfahren prüfen, ob jeder Knoten im System die korrekten Einstellungen hat und dass das System ordnungsgemäß funktioniert.
• In einigen Fällen verweisen die Sicherheitsrichtlinien direkt auf Artikel in der Knowledge Base (zum Beispiel KB-nnnn) mit mehr Informationen über das Konfigurieren von ztC Edge-Systemen und der Stratus Redundant Linux-Software. Sie können mit Ihren vorhandenen Anmeldedaten für das Serviceportal auf das Stratus Customer Service Portal und die Knowledge Base zugreifen, oder Sie erstellen wie in Zugriff auf Artikel in der Knowledge Base beschrieben ein neues Benutzerkonto.

Ports und Protokolle

Administratoren, die Netzwerk- oder Kommunikationsänderungen am System vornehmen, sollten die durch Stratus Redundant Linux verwendeten Ports oder Protokolle kennen. Ausführliche Informationen finden Sie in KB-9357.

Netzwerksegmentierung

Verbinden Sie das ztC Edge-System nur mit Netzwerken mit vertrauenswürdigen Geräten oder mit Netzwerken, in denen Geräte eine ausdrückliche Genehmigung für die Kommunikation miteinander benötigen. Weitere Informationen zur Netzwerksegmentierung finden Sie in den speziellen NIST-Publikationen 800-125B und 800-39. Informationen darüber, welche Ethernet-Netzwerke in ztC Edge-Systemen verfügbar sind, finden Sie unter Netzwerkarchitektur.

IP-Tabellen/Firewall

Aktivieren Sie IP-Tabellen-Paketfilterung für das System und blockieren Sie alle Ports, die im normalen Betrieb nicht verwendet werden. Böswillige Akteure können eine potenzielle Sicherheitsschwachstelle an einer nicht verwendeten Schnittstelle als Hintertür nutzen. Begrenzen Sie das Risiko, indem Sie IP-Tabellen für nicht verwendete Ports aktivieren.

Ausführliche Informationen dazu, wie Sie IP-Tabellen implementieren, finden Sie unter Verwalten von IPtables.

Erstellung von Benutzerkonten

Erstellen Sie individuelle Benutzerkonten für jeden Benutzer, der autorisiert ist, auf das System zuzugreifen, und berücksichtigen Sie die Rolle jedes Benutzers bei der Nutzung des Geräts. Die Pflege individueller Benutzerkonten erlaubt auch die Prüfbarkeit oder Nachweisführung, da durch Überprüfung des Protokolls festgestellt werden kann, welcher Benutzer auf das Gerät zugegriffen oder Konfigurationsänderungen vorgenommen hat.

Ausführliche Informationen dazu, wie Benutzereinstellungen konfiguriert werden, finden Sie unter Konfigurieren von Benutzern und Gruppen.

Kennworterstellung

Sie müssen die Standardkennwörter für das System ändern.

Die ztC Console fordert Sie bei Bereitstellung zur Eingabe eines neuen admin-Kennworts auf. In der Kennwortrichtlinie der ztC Console ist festgelegt, dass Ihr Kennwort die folgenden Bedingungen erfüllen muss:

• Es muss mindestens acht Zeichen enthalten.
• Es muss Groß- und Kleinbuchstaben enthalten.
• Es darf nicht mit dem Benutzernamen übereinstimmen.

Das Host-Betriebssystem fordert Sie beim erstmaligen Anmelden zur Eingabe eines neuen root-Kennworts auf. Wenn Sie das root-Kennwort für das Host-Betriebssystem ändern, müssen Sie es manuell auf beiden Knoten ändern. Details hierzu finden Sie unter Zugriff auf das Host-Betriebssystem.

Weitere Informationen zum Kontrollieren der Qualität von Kennwörtern in einem Host-Betriebssystem finden Sie unter Erweiterte Sicherheitsrichtlinien.

„Least Privilege“

Begrenzen Sie den Zugriff jedes Benutzers auf Funktionen, die für seine Position oder Rolle gelten.

Die Implementierung des „Least Privilege“-Zugriffs verhindert, dass nicht berechtigte Benutzer auf Dienste zugreifen, die über ihre Rolle hinaus gehen.

Ausführliche Informationen dazu, wie Rollen konfiguriert werden, die die Berechtigungen für jeden Benutzer definieren, finden Sie unter Konfigurieren von Benutzern und Gruppen.

Active Directory

Die Active Directory-Integration stellt eine einzige Stelle für die zentrale Authentifizierung und Autorisierung bereit. Mit Active Directory können Sie Gruppenrichtlinien für die Komplexität von Kennwörtern erstellen, die auf Basis Ihrer lokalen Sicherheitsrichtlinie durchgesetzt werden.

Ausführliche Informationen dazu, wie Sie ein ztC Edge-System zu einer Active Directory-Domäne hinzufügen, finden Sie unter Konfigurieren von Active Directory.

Zeitsynchronisierung

Die Synchronisierung der Zeit ist wichtig, da sie einen zentralen Referenzpunkt bereitstellt, um sicherzustellen, dass Betriebs- und Sicherheitsprozesse im selben Zeitrahmen arbeiten. Der Zeitbezug ermöglicht Vertrauen in den Zeitpunkt der Prüfung und den Zeitpunkt der Verwendung bei Aktualisierung von Anwendungen und die Sicherstellung, dass Schlüssel und Zertifikate auf Basis von Uhrzeit und Datum noch gültig sind.

Wenn Sie sich zum ersten Mal bei einem ztC Edge-System anmelden, aktivieren Sie den NTP-Dienst (Network Time Protocol), um die Systemuhr automatisch einzustellen. Konfigurieren Sie NTP, um auf einen bekannten und vertrauenswürdigen NTP-Server Bezug zu nehmen. Details hierzu finden Sie unter Konfigurieren von Datum und Uhrzeit.

Sichere Verbindungen

Standardmäßig ist die ztC Console so konfiguriert, dass sie nur sichere Verbindungen mit dem HTTPS-Protokoll unterstützt.

Die Aktivierung von HTTPS auf dem ztC Edge-System verhindert häufige Websicherheitsangriffe und bietet einen Grad der Vertraulichkeit für jede Websitzung. HTTPS verschlüsselt den Websitzungsdatenverkehr, bietet Datenintegrität und erhöht die gesamte Sicherheit des Webdatenverkehrs.

Wenn HTTPS aktiviert ist, unterstützt es nur TLSv1.2, was zurzeit das stärkste empfohlene Verschlüsselungspaket darstellt. Chiffren sind u.a.:

Aktivieren Sie außerdem sichere, verschlüsselte Verbindungen, wenn Sie einen Mail-Server oder andere Arten von Serversoftware verwenden. Informationen zum Konfigurieren und Aktivieren einer verschlüsselten Verbindung für den Mail-Server auf einem ztC Edge-System finden Sie unter Konfigurieren des Mail-Servers.

Aktualisierung des SSL-Zertifikats

Das ztC Edge-System wird mit einem selbstsignierten SSL-Zertifikat geliefert, dieses kann aber auf jedes gekaufte oder gelieferte Zertifikat aktualisiert werden. Die Änderung des SSL-Zertifikats ermöglicht die Aktualisierung des Vertrauensankers gemäß Kundenspezifikation. Ausführliche Informationen finden Sie in KB-9792.

SNMP-Konfigurationen

SNMP (Simple Network Management Protocol) ist ein Standardprotokoll, das für den Empfang von Alarmen, das Senden von Traps und das Überwachen des Systemstatus verwendet wird. SNMP verwendet systemdefinierende Informationen, die in hierarchisch konfigurierten Management Informationen Bases (MIBs) gespeichert sind.

Aus Sicherheitsgründen kann es sein, dass ein Kunde SNMP auf Hostebene in ztC Edge-Systemen deaktivieren möchte. Falls nötig, können Sie alle SNMP-Verbindungen durch Hinzufügen von Regeln zu IPtables deaktivieren (siehe Verwalten von IPtables), um UDP-Ports 162, 161 und 199 und TCP-Ports 162 und 199 zu blockieren.

Alternativ können Sie die eingeschränkte SNMP-Konfiguration verwenden, die SNMP v1 und v2 in den SNMP-Konfigurationsdateien deaktiviert und nur SNMPv3 konfiguriert. Details finden Sie unter Konfigurieren der SNMP-Einstellungen.

Sicherungen

Sicherungen sind für den Fall wichtig, dass ein Sicherheitsereignis auftritt, um ein Gerät für den fortgesetzten Betrieb auf einen bekannten guten Zustand zurückzusetzen. Alle durchgeführten Sicherungen sollten an einem sicheren Ort aufbewahrt werden.

Wie Sie eine VM und ihr Gastbetriebssystem sichern, finden Sie unter Exportieren einer virtuellen Maschine . Wie Sie die identische VM mit derselben SMBIOS UUID, derselben Systemseriennummer und denselben MAC-Adressen wie die ursprüngliche VM wiederherstellen, finden Sie unter Ersetzen/Wiederherstellen einer virtuellen Maschine aus einer OVF-Datei.

Um die ztC Edge-Systemvoreinstellungen, die Sie auf der Seite Voreinstellungen konfiguriert haben, zu sichern, können Sie die Einstellungen auf einem lokalen Speichergerät oder in der Cloud sichern. Details finden Sie unter Speichern und Wiederherstellen der Systemvoreinstellungen.

Auf redundanten ztC Edge-Systemen mit zwei Knoten dient jeder Knoten auch als Sicherung für den anderen Knoten. Wenn ein Knoten ausfällt, können Sie einen Knoten in einem System, das zurzeit lizenziert ist, ersetzen, und das System stellt automatisch den Knoten mit einer exakten Kopie der Stratus Redundant Linux-Software und den virtuellen Maschinen aus dem laufende Knoten her.

Automated Local Site Recovery

Eine Automated Local Site Recovery (ALSR)-Konfiguration verbindet zwei physische Maschinen an zwei separaten Standorten. Es handelt sich um eine notfalltolerante Implementierung, die Hardwareredundanz sowie die Redundanz physischer Rechenzentren und der Gebäude, die sie enthalten, bereitstellt. Aufgrund der räumlichen Trennung muss in einer ALSR-Konfiguration sorgfältig geplant werden, wo Komponenten platziert werden, und die Netzwerktopologie ist komplexer. Für ALSR-Konfigurationen empfiehlt Stratus dringend, den Quorumdienst zu verwenden, da die Link-Netzwerke in einer ALSR-Konfiguration dem Risiko weiterer potenzieller Ausfallszenarien ausgesetzt sind. (ALSR-Konfigurationen sind bei Systemen, die für einen Knoten lizenziert sind, nicht verfügbar.)

Ausführliche Informationen finden Sie unter Erstellen einer ALSR-Konfiguration.

Prüfung

Implementieren Sie eine Prüfung durch eine lokale Richtlinie, um regelmäßig Protokolle von Ereignissen zu sammeln und zu verwalten, die zum Erkennen und Verstehen von und Wiederherstellen nach einem Cyberangriff nötig sind.

Auf der Seite Auditprotokolle wird ein Protokoll der Benutzeraktivitäten in der ztC Console angezeigt. Um diese Seite zu öffnen, klicken Sie im linken Navigationsbereich auf Auditprotokolle. (Wie Sie Informationen zu Ereignissen im ztC Edge-System anzeigen, lesen Sie unter Die Seite „Alarmverlauf“.)

Protokollinformationen enthalten:

• Zeit – Das Datum und die Uhrzeit der Aktion.
• Benutzername – Der Name des Benutzers, der die Aktion initiiert hat.
• Ursprünglicher Host – Die IP-Adresse des Hosts, auf dem die ztC Console ausgeführt wurde.
• Aktion – Die Aktion, die in der ztC Console ausgeführt wurde.

Sie können Informationen zu Auditprotokollen auch durch Verwendung von snmptable anzeigen (Details siehe Beziehen der System-Informationen mit snmptable.)

Verwenden Sie Protokolle für die kontinuierliche Überwachung des ztC Edge-Systems. Um umgehenden Service bei einem Serviceanruf sicherzustellen, sollten Sie auch Supportbenachrichtigungen und regelmäßige Berichterstellung für Ihr System aktivieren, um Stratus über den Zustand des Systems auf dem Laufenden zu halten. Details finden Sie unter Konfigurieren der Remotesupport-Einstellungen.

Upgrades

Aktualisieren Sie Stratus Redundant Linux regelmäßig, um das Ausnutzen von Sicherheitsschwachstellen aufgrund veralteter Komponenten zu verhindern. Zur Information über Häufigkeit und Methoden verweisen wir Sie auf Ihre lokalen Sicherheitsrichtlinien.

Auf der Seite -Upgrade-Kits in der ztC Console können Sie Upgrade-Kits hochladen und verwalten, mit denen Sie das System auf eine neuere Version der Stratus Redundant Linux-Software aktualisieren können. Sie können ein Upgrade-Kit auch auf einen USB-Stick kopieren, um diesen bei der Neuinstallation der Systemsoftware zu verwenden.

Um die Seite Upgrade-Kits zu öffnen, klicken Sie im linken Navigationsbereich der ztC Console auf Upgrade-Kits.

Informationen zum Aktualisieren der Stratus Redundant Linux-Software finden Sie unter Upgrade der Stratus Redundant Linux-Software mit einem Upgrade-Kit. Informationen zum Erstellen von USB-Medien finden Sie unter Erstellen eines USB-Mediums mit Systemsoftware.

Physische Sicherheit

Installieren Sie jedes ztC Edge-System an einem sicheren Ort, um zu verhindern, dass böswillige Benutzer auf die Knoten zugreifen.

Schützen Sie jeden Ort mit einem prüfbaren System, um zu identifizieren, welche Personen den Bereich betreten haben, und so böswillige Benutzer zu identifizieren.

Physische Sicherheit ist eine wichtige Ergänzung der Manipulationserkennung und Warnung für jedes Gerät, einschließlich ztC Edge-Knoten.

Erweiterte Sicherheitsrichtlinien

Die folgenden Abschnitte beschreiben erweiterte Sicherheitsrichtlinien für ztC Edge-Systeme.

Empfehlungen zur Kennwortqualität

Empfehlungen zum Festlegen von Kennwörtern:

• Einstellung einer Mindestlänge für Kennwörter von 8 Zeichen, die drei von vier der folgenden Eigenschaften erfüllen: ein Großbuchstabe, ein Kleinbuchstabe, eine Zahl und ein Sonderzeichen.
• Forderung, dass Benutzer Kennwörter regelmäßig zurücksetzen, zum Beispiel alle 30, 60 oder 90 Tage. Sie können die erneute Verwendung von Kennwörtern auf Basis der Kennwortaktualisierungshistorie für einen variablen Zeitraum verbieten.

So aktualisieren Sie die Kennwortqualitätseinstellungen im Host-Betriebssystem

1. Melden Sie sich am Host-Betriebssystem an, wie unter Zugriff auf das Host-Betriebssystem beschrieben.
2. Öffnen Sie die Datei /etc/pam.d/system-auth mit einem Texteditor.

3. Ändern Sie das Modul pam_pwquality.so mit den entsprechenden Einstellungen. Verwenden Sie zum Beispiel ähnliche Einstellungen wie die folgenden:

   password requisite pam_pwquality.so try_first_pass local_users_only retry=3 authtok_type= minlen=8 lcredit=-1 ucredit=-1 dcredit=-1 ocredit=-1 enforce_for_root

   Im vorherigen Beispiel werden die folgenden Werte eingestellt:

   minlen=8 stellt die Mindestlänge für das Kennwort auf 8 Zeichen ein.
   lcredit=-1 stellt die mindestens erforderliche Anzahl von Kleinbuchstaben in einem Kennwort auf eins ein.
   ucredit=-1 stellt die mindestens erforderliche Anzahl von Großbuchstaben in einem Kennwort auf eins ein.
   dcredit=-1 stellt die mindestens erforderliche Anzahl von Zahlen in einem Kennwort auf eins ein.
   ocredit=-1 stellt die mindestens erforderliche Anzahl von anderen Symbolen wie @, #, ! $ % in einem Kennwort auf eins ein.
   enforce_for_root stellt sicher, dass auch wenn der root-Benutzer das Kennwort festlegt, die Komplexitätsrichtlinien durchgesetzt werden sollen.

4. Um die Kennworthistorie einzuschränken, fügen Sie das Modul pam_pwhistory.so mit den entsprechenden Einstellungen hinzu oder ändern Sie es. Zum Beispiel durch Verwendung ähnlicher Einstellungen wie der folgenden:

   password requisite pam_pwhistory.so debug use_authtok remember=10 retry=3
5. Speichern Sie die Datei /etc/pam.d/system-auth.

Weitere Informationen über Kennwortrichtlinien im Host-Betriebssystem finden Sie in der CentOS-Dokumentation:

Verwaltung gleichzeitiger Benutzer

Überprüfen Sie die Auditprotokolle regelmäßig, um zu sehen, welche Benutzer sich an der Maschine angemeldet haben und ob sie noch aktiv sind.

Identifizieren Sie die Benutzer, die das System zurzeit betreiben, um ihre Nutzung zu legitimieren und zu prüfen.

Antivirus

Führen Sie regelmäßig eine netzwerkbasierte Analyse der Viren- und Malware-Erkennung durch.

Ihr netzwerkbasiertes Angrifferkennungssystem ergänzt die ztC Edge-Fähigkeit zur Unterstützung der Verifizierung des beabsichtigten Betriebs der Sicherheitsfunktionen. Das Erkennungssystem sollte nach ungewöhnlichem Netzwerkdatenverkehr suchen und eine Untersuchung fordern, um böswillige Absichten zu validieren.

SSH-Zugriffsbeschränkungen

Mehrere /etc/ssh/sshd_config-Parameter beschränken, welche Benutzer und Gruppen durch SSH auf das System zugreifen können. Wenn keiner der folgenden Parameter in der Datei vorhanden ist, bearbeiten Sie die Datei, um ein oder mehrere davon einzustellen und so den Zugriff zu beschränken.

AllowUsers

Der Parameter AllowUsers bietet Systemadministratoren die Möglichkeit, spezifischen Benutzern die Verwendung von SSH für den Zugriff auf das System zu erlauben. Die Liste besteht aus Benutzernamen, die durch Leerzeichen getrennt sind. Dieser Parameter erkennt keine numerischen Benutzer-IDs. Um den Benutzerzugriff weiter einzuschränken, indem es nur den zulässigen Benutzern erlaubt wird, sich von einem Host anzumelden, kann der Eintrag in der Form benutzer@host spezifiziert werden.

AllowGroups

Der Parameter AllowGroups bietet Systemadministratoren die Möglichkeit, spezifischen Gruppen von Benutzern die Verwendung von SSH für den Zugriff auf das System zu erlauben. Die Liste besteht aus Gruppennamen, die durch Leerzeichen getrennt sind. Dieser Parameter erkennt keine numerischen Gruppen-IDs.

DenyUsers

Der Parameter DenyUsers bietet Systemadministratoren die Möglichkeit, spezifischen Benutzern die Verwendung von SSH für den Zugriff auf das System zu verweigern. Die Liste besteht aus Benutzernamen, die durch Leerzeichen getrennt sind. Dieser Parameter erkennt keine numerischen Benutzer-IDs. Wenn ein Systemadministrator den Benutzerzugriff weiter einschränken möchte, indem er den Zugriff eines Benutzers von einem Host speziell verweigert, kann der Eintrag in der Form benutzer@host spezifiziert werden.

DenyGroups

Der Parameter DenyGroups bietet Systemadministratoren die Möglichkeit, spezifischen Gruppen von Benutzern die Verwendung von SSH für den Zugriff auf das System zu verweigern. Die Liste besteht aus Gruppennamen, die durch Leerzeichen getrennt sind. Dieser Parameter erkennt keine numerischen Benutzer-IDs.

Die Einschränkung, welche Benutzer mithilfe von SSH remote auf das System zugreifen können, trägt dazu bei, sicherzustellen, dass nur autorisierte Benutzer auf das System zugreifen.

MaxAuthTries

Der Parameter MaxAuthTries gibt die maximale Anzahl an Authentifizierungsversuchen an, die pro Verbindung erlaubt sind. Wenn die Zahl fehlerhafter Anmeldungen die Hälfte der Anzahl erreicht, werden Fehlermeldungen mit einer genaueren Angabe des Anmeldefehlers in die Datei syslog geschrieben.

Die Einstellung des Parameters MaxAuthTries auf eine niedrige Zahl minimiert die Gefahr erfolgreicher Brute-Force-Angriffe auf den SSH-Server. Die empfohlene Einstellung ist 4, Sie sollten die Zahl jedoch auf Basis der Standortrichtlinie einstellen. Beispiel:

IgnoreRhosts

Der Parameter IgnoreRhosts gibt an, dass die Dateien .rhosts und .shosts nicht in RhostsRSAAuthentication oder HostbasedAuthentication verwendet werden.

Die Einstellung dieses Parameters zwingt Benutzer, bei der Authentifizierung mit SSH ein Kennwort einzugeben. Beispiel:

HostbasedAuthentication

Der Parameter HostbasedAuthentication gibt an, ob Authentifizierung über vertrauenswürdige Hosts durch Verwendung von .rhosts oder /etc/hosts.equiv mit erfolgreicher Client-Hostauthentifizierung mit öffentlichem Schlüssel erlaubt ist. Diese Option gilt nur für SSH-Protokoll Version 2.

Auch wenn .rhosts-Dateien unwirksam sind, wenn Unterstützung in /etc/pam.conf deaktiviert ist, bietet die Deaktivierung der Fähigkeit, .rhosts-Dateien in SSH zu verwenden, eine zusätzliche Schutzebene. Beispiel:

Weitere Informationen zu den sshd_config-Parametern finden Sie auf der Handbuchseite sshd_config(5).

Beste Vorgehensweisen und Normen der Normungsorganisationen

Die Informationen in diesem Thema basieren auf den folgenden besten Vorgehensweisen und Standards.

CIS Controls Version 7.1

CIS Controls sind ein priorisierter Satz bester Vorgehensweisen, die erstellt wurden, um die verbreitetsten und gefährlichsten Bedrohungen von heute zu stoppen. Sie wurden durch führende Sicherheitsexperten aus der ganzen Welt entwickelt und werden jedes Jahr verfeinert und validiert. Nähere Informationen finden Sie auf der CIS-Website: https://www.cisecurity.org.

Die CIS Controls sind:

Basic

1. Inventarisierung und Kontrolle der Hardware
2. Inventarisierung und Kontrolle der Software
3. Kontinuierliches Schwachstellenmanagement
4. Kontrollierte Nutzung von Administratorrechten
5. Sichere Konfiguration für Hardware und Software auf mobilen Geräten, Laptops, Workstations und Servern
6. Wartung, Überwachung und Analyse von Auditprotokollen

Foundational

7. E-Mail- und Webbrowser-Sicherheit
8. Malware-Abwehr
9. Begrenzung und Kontrolle von Ports, Protokollen und Diensten
10. Datenwiederherstellungsfähigkeiten
11. Sichere Konfiguration von Netzwerkgeräten wie Firewalls, Routern und Switches
12. Verteidigung an den Netzwerkgrenzen
13. Datenschutz
14. Zugangskontrolle nach dem „Need to know“-Prinzip
15. Kontrolle der drahtlosen Zugriffe
16. Überwachung und Kontrolle von Nutzerkonten

Organizational

17. Implementierung von Security Awareness und Schulungsprogrammen
18. Sicherheit für Anwendungssoftware
19. Incident Response and Management
20. Penetrationstests und Red-Team-Übungen

ISA/IEC 62443-4-2

ISA/IEC 62443-4-2 beschreibt technische Komponentenanforderungen (Component Requirements, CRs), die mit den sieben grundlegenden Anforderungen (Foundational Requirements, FRs) für die Erfüllung der Sicherheitsstufen der Kontrollsystemfähigkeit verbunden sind, genauer. Nähere Informationen finden Sie auf der IEC-Website: https://www.iec.ch/

Die grundlegenden Anforderungen sind:

1. Identifizierung und Authentifizierung (Identification and authentication control, IAC)
2. Nutzungskontrolle (Use control, UC)
3. Systemintegrität (System integrity, SI)
4. Vertraulichkeit der Daten (Data confidentiality, DC)
5. Eingeschränkter Datenfluss (Restricted data flow, RDF)
6. Rechtzeitige Reaktion auf Ereignisse (Timely response to events, TRE)
7. Verfügbarkeit der Ressourcen (Resource availability, RA)

1. Identifizierung und Authentifizierung (Identification and authentication control, IAC)

Die Identifizierung von Benutzern wird zusammen mit Autorisierungsmechanismen verwendet, um Zugriffskontrolle für eine Komponente zu implementieren. Eine Verifizierung der Identität von Benutzern, die Zugriff anfordern, damit nicht autorisierte Benutzern keinen Zugriff auf die Komponente erhalten. Die Autorisierung erfolgt von Zugriffskontrolllisten für verschiedene Benutzer, die sich mit Kennwörtern am ztC Edge-System anmelden und authentifizieren.

2. Nutzungskontrolle (Use control, UC)

Sobald der Benutzer identifiziert und autorisiert ist, muss die Komponente die erlaubten Aktionen auf die autorisierte Verwendung der Komponente beschränken. Das ztC Edge-System hat definierte Rollen, die das „Least Privilege“-Konzept implementieren. Durch Erstellung mehrerer Benutzer mit verschiedenen Zugriffskontrollstufen wird außerdem die autorisierte Verwendung der Komponente definiert.

3. Systemintegrität (System integrity, SI)

Die Integrität des Geräts sollte nicht gefährdet werden, dies gilt sowohl für die Software als auch die physischen Komponenten im Betriebs- und Nicht-Betriebszustand. Das ztC Edge-System implementiert sicheres Booten, was dafür sorgt, dass das Gerät aus einem vertrauenswürdigen Zustand gebootet oder gestartet wird, wobei digitale Signaturen der Softwarekomponenten vor einem Upgrade validiert werden. Die Sicherstellung der Systemintegrität ist für den Schutz vor unbefugter Manipulation oder Änderung der Daten oder des Systems wichtig.

4. Vertraulichkeit der Daten (Data confidentiality, DC)

Zweck ist die Sicherstellung der Vertraulichkeit von Informationen auf Kommunikationskanälen und in Daten, die in Repositorys gespeichert sind, zum Schutz vor unbefugter Offenlegung. Das ztC Edge-System hat HTTPS mit TLS v1.2 für die Webkommunikation sowie SSH und SMTP mit Verschlüsselung zur Sicherstellung, dass Informationen vor böswilligen Personen geschützt sind.

5. Eingeschränkter Datenfluss (Restricted data flow, RDF)

Eingeschränkter Datenfluss ist die Segmentierung des Kontrollsystems durch Zonen und Kanäle zur Begrenzung des unnötigen Flusses von Daten. Die ztC Edge-Netzwerkarchitektur unterstützt Routing und Switching wie durch die Konfiguration der Vernetzung für die Verwaltung des Informationsflusses durch den installierenden Systemtechniker bestimmt. Die Nutzung der Vernetzungsfähigkeiten des ztC Edge-Systems ermöglicht eine Begrenzung des Datenflusses durch Netzwerksegmentierung.

6. Rechtzeitige Reaktion auf Ereignisse (Timely response to events, TRE)

Auch wenn ein System den Betrieb in einem sicheren Zustand beginnt, können Schwachstellen und Sicherheitsereignisse auftreten. Das ztC Edge-System hat ein Product Security Incident Response (PSIR)-Team, um auf Sicherheitsvorfälle und Berichtserkenntnisse zu reagieren und gleichzeitig Probleme zeitnah zu beheben. Das ztC Edge-System hat Alarmprotokolle, die verwendet werden können, um die entsprechenden Kanäle über Konfigurationsänderungen zu informieren, die auf einen Sicherheitsvorfall hinweisen können. Die Protokolle enthalten genug Informationen für die Forensik und diese E-Alert-Benachrichtigungen werden per E-Mail versendet.

7. Verfügbarkeit der Ressourcen (Resource availability, RA)

Ziel dieser Kontrolle ist es, sicherzustellen, dass die Komponente gegenüber verschiedenen Arten von Denial-of-Service-Ereignissen resistent ist. Die hohe Verfügbarkeit des ztC Edge-Systems ist die Grundlage eines „Always on“-Zustands. Es ist äußerst wichtig, dass industrielle Kontrollsysteme einen hohen Verfügbarkeitszustand aufrechterhalten, da es mögliche lebensrettende Auswirkungen auf Systeme gibt. Mit einer integrierten Virtualisierungs- und Verfügbarkeitsschicht, automatischem Datenschutz und Anwendungswiederherstellung verringert Stratus Redundant Linux die Abhängigkeit von der IT beim virtuellen Edge Computing erheblich. Die selbstschützenden und selbstüberwachenden Funktionen helfen bei der Reduzierung ungeplanter Ausfallzeiten und stellen die kontinuierliche Verfügbarkeit geschäftskritischer industrieller Anwendungen sicher.