chrisbst48/itgrundschutzcompendium_2023 huggingface dataset:
SYS.1.1.A12 Planung des Server-Einsatzes
• administrative Zugänge (siehe SYS.1.1.A5 Schutz von Schnittstellen), • Art und Anzahl der Kommunikationsschnittstellen, • Leistungsaufnahme, Wärmelast, Platzbedarf und Bauform, • Zugriffe von Benutzenden, Jedes Server-System SOLLTE geeignet geplant werden. • Aktualisierung von Betriebssystem und Anwendungen sowie • Einbindung ins System- und Netzmanagement, in die Datensicherung und die Schutzsysteme (Virenschutz, IDS etc.). Alle Entscheidungen, die in der Planungsphase getroffen wurden, SOLLTEN so dokumentiert werden, dass sie zu einem späteren Zeitpunkt nachvollzogen werden können. Dabei SOLLTEN mindestens folgende Punkte berücksichtigt werden: • Auswahl der Plattform (Hardware oder virtualisierte Ressourcen), des Betriebssystems und der Anwendungssoftware, • Protokollierung (siehe SYS.1.1.A10 Protokollierung), • Dimensionierung der Hardware (Leistung, Speicher, Bandbreite etc.),
SYS.1.1.A13 Beschaffung von Servern
Bevor ein oder mehrere Server beschafft werden, SOLLTE eine Anforderungsliste erstellt werden, anhand derer die am Markt erhältlichen Produkte bewertet werden.
SYS.1.1.A14 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.1.A15 Unterbrechungsfreie und stabile Stromversorgung
Jeder Server SOLLTE an eine unterbrechungsfreie Stromversorgung (USV) angeschlossen werden.
SYS.1.1.A16 Sichere Installation und Grundkonfiguration von Servern(umbenannt von Sichere Grundkonfiguration von Servern in Vorjahres-Edition)
Konfigurationsoptionen SOLLTEN in jedem Fall gesetzt werden, auch dann, wenn das voreingestellte Standardverhalten dadurch nicht verändert wird. Sofern der Server eine Verbindung in das Internet benötigt oder aus dem Internet erreichbar sein muss, SOLLTE er erst mit dem Internet verbunden werden, nachdem die Installation und die Konfiguration abgeschlossen sind. Alle sicherheitsrelevanten Einstellungen der aktivierten Dienste und Funktionen (vgl. SYS.1.1.A6 Deaktivierung nicht benötigter Dienste) SOLLTEN entsprechend den Vorgaben der Sicherheitsrichtlinie für Server (siehe SYS.1.1.A11 Festlegung einer Sicherheitsrichtlinie für Server) konfiguriert, getestet und regelmäßig inhaltlich überprüft werden. Die Entscheidungen SOLLTEN dokumentiert und begründet werden. Die Konfiguration des Betriebssystems SOLLTE vor produktiver Inbetriebnahme des Servers bereits vorgenommen sein. Dabei SOLLTE der Server unter Berücksichtigung der Empfehlungen des Betriebssystemherstellers und des voreingestellten Standardverhaltens konfiguriert werden, sofern dies nicht anderen Anforderungen aus dem IT-Grundschutz oder der Organisation widerspricht. Mehrere wesentliche Funktionen und Rollen SOLLTEN NICHT durch einen einzigen Server erfüllt, sondern geeignet aufgeteilt werden. Der vollständige Installations- und Konfigurationsvorgang SOLLTE soweit wie möglich innerhalb einer gesonderten und von Produktivsystemen abgetrennten Installationsumgebung vorgenommen werden.
SYS.1.1.A17 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.1.A18 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.1.A19 Einrichtung lokaler Paketfilter
Vorhandene lokale Paketfilter SOLLTEN über ein Regelwerk so ausgestaltet werden, dass die eingehende und ausgehende Kommunikation auf die erforderlichen Kommunikationspartner, Kommunikationsprotokolle sowie Ports und Schnittstellen beschränkt wird. Die Identität von Remote-Systemen und die Integrität der Verbindungen mit diesen SOLLTE kryptografisch abgesichert sein.
SYS.1.1.A2 Authentisierung an Servern(umbenannt von Benutzerauthentisierung an Servern in Vorjahres-Edition)
Dies SOLLTE in besonderem Maße für administrative Zugänge berücksichtigt werden. Für die Anmeldung von Benutzenden und Diensten am Server MÜSSEN Authentisierungsverfahren eingesetzt werden, die dem Schutzbedarf der Server angemessen sind. Soweit möglich, SOLLTE dabei auf zentrale, netzbasierte Authentisierungsdienste zurückgegriffen werden.
SYS.1.1.A20 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.1.A21 Betriebsdokumentation für Server
Sicherheitsrelevante Aufgaben, z. B. wer befugt ist, neue Festplatten einzubauen, SOLLTEN dokumentiert werden. Alles, was automatisch dokumentiert werden kann, SOLLTE auch automatisch dokumentiert werden. Aus der Dokumentation SOLLTEN insbesondere Konfigurationsänderungen nachvollziehbar sein. Die Dokumentation SOLLTE gegen unbefugten Zugriff und Verlust geschützt werden. Betriebliche Aufgaben, die an einem Server durchgeführt werden, SOLLTEN nachvollziehbar dokumentiert werden (Wer?, Wann?, Was?).
SYS.1.1.A22 Einbindung in die Notfallplanung
Dazu SOLLTEN die Notfallanforderungen an den Server ermittelt und geeignete Notfallmaßnahmen umgesetzt werden, z. B. indem Wiederanlaufpläne erstellt oder Passwörter und kryptografische Schlüssel sicher hinterlegt werden. Der Server SOLLTE im Notfallmanagementprozess berücksichtigt werden.
SYS.1.1.A23 Systemüberwachung und Monitoring von Servern
Das Server-System SOLLTE in ein geeignetes Systemüberwachungs- oder Monitoringkonzept eingebunden werden. Fehlerzustände sowie die Überschreitung definierter Grenzwerte SOLLTEN an das Betriebspersonal gemeldet werden. Der Systemzustand sowie die Funktionsfähigkeit des Servers und der darauf betriebenen Dienste SOLLTEN laufend überwacht werden.
SYS.1.1.A24 Sicherheitsprüfungen für Server
Server SOLLTEN regelmäßigen Sicherheitstests unterzogen werden, die überprüfen, ob alle Sicherheitsvorgaben eingehalten werden und gegebenenfalls vorhandene Schwachstellen identifizieren. Es SOLLTE geprüft werden, ob die Sicherheitsprüfungen automatisiert, z. B. mittels geeigneter Skripte, realisiert werden können. Um mittelbare Angriffe über infizierte IT-Systeme im eigenen Netz zu vermeiden, SOLLTEN jedoch auch interne Server in festgelegten Zyklen entsprechend überprüft werden. Diese Sicherheitsprüfungen SOLLTEN insbesondere auf Servern mit externen Schnittstellen durchgeführt werden.
SYS.1.1.A25 Geregelte Außerbetriebnahme eines Servers
Es SOLLTE einen Überblick darüber geben, welche Daten wo auf dem Server gespeichert sind. Es SOLLTE rechtzeitig sichergestellt werden, dass vom Server angebotene Dienste durch einen anderen Server übernommen werden, wenn dies erforderlich ist. Es SOLLTE eine Checkliste erstellt werden, die bei der Außerbetriebnahme eines Servers abgearbeitet werden kann. Diese Checkliste SOLLTE mindestens Aspekte zu Datensicherung, Migration von Diensten und dem anschließenden sicheren Löschen aller Daten umfassen. Bei der Außerbetriebnahme eines Servers SOLLTE sichergestellt werden, dass keine wichtigen Daten, die eventuell auf den verbauten Datenträgern gespeichert sind, verloren gehen und dass keine schutzbedürftigen Daten zurückbleiben.
SYS.1.1.A26 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.1.A27 Hostbasierte Angriffserkennung
Bei einer Angriffserkennung SOLLTE das Betriebspersonal in geeigneter Weise alarmiert werden. Hostbasierte Angriffserkennungssysteme (Host-based Intrusion Detection Systems, IDS und Intrusion Prevention Systems, IPS) SOLLTEN eingesetzt werden, um das Systemverhalten auf Anomalien und Missbrauch hin zu überwachen. Die eingesetzten IDS/IPS-Mechanismen SOLLTEN geeignet ausgewählt, konfiguriert und ausführlich getestet werden. Über Betriebssystem-Mechanismen oder geeignete Zusatzprodukte SOLLTEN Veränderungen an Systemdateien und Konfigurationseinstellungen überprüft, eingeschränkt und gemeldet werden.
SYS.1.1.A28 Steigerung der Verfügbarkeit durch Redundanz
Es SOLLTE geprüft werden, ob bei sehr hohen Anforderungen Hochverfügbarkeitsarchitekturen mit automatischem Failover, gegebenenfalls über verschiedene Standorte hinweg, erforderlich sind. Server mit hohen Verfügbarkeitsanforderungen SOLLTEN gegen Ausfälle in geeigneter Weise geschützt sein. Hierzu SOLLTEN mindestens geeignete Redundanzen verfügbar sein sowie Wartungsverträge mit den Lieferanten abgeschlossen werden.
SYS.1.1.A29 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.1.A3 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.1.A30 Ein Dienst pro Server
Abhängig von der Bedrohungslage und dem Schutzbedarf der Dienste SOLLTE auf jedem Server jeweils nur ein Dienst betrieben werden.
SYS.1.1.A31 Einsatz von Ausführungskontrolle
Es SOLLTE über eine Ausführungskontrolle sichergestellt werden, dass nur explizit erlaubte Programme und Skripte ausgeführt werden können. Falls Pfade und Hashes nicht explizit angegeben werden können, SOLLTEN alternativ auch zertifikatsbasierte oder Pfad-Regeln genutzt werden. Die Regeln SOLLTEN so eng wie möglich gefasst werden.
SYS.1.1.A32 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.1.A33 Aktive Verwaltung der Wurzelzertifikate
Auf dem Server SOLLTEN lediglich die für den Betrieb notwendigen und vorab dokumentierten Wurzelzertifikate enthalten sein. Im Zuge der Beschaffung und Installation des Servers SOLLTE dokumentiert werden, welche Wurzelzertifikate für den Betrieb des Servers notwendig sind. Es SOLLTE regelmäßig überprüft werden, ob die vorhandenen Wurzelzertifikate noch den Vorgaben der Institution entsprechen. Es SOLLTEN alle auf dem IT-System vorhandenen Zertifikatsspeicher in die Prüfung einbezogen werden.
SYS.1.1.A34 Festplattenverschlüsselung
Es SOLLTE nicht nur ein TPM allein als Schlüsselschutz dienen. Dies SOLLTE auch für virtuelle Maschinen mit produktiven Daten gelten. Bei erhöhtem Schutzbedarf SOLLTEN die Datenträger des Servers mit einem als sicher geltenden Produkt oder Verfahren verschlüsselt werden. Bei sehr hohen Anforderungen z. B. an die Vertraulichkeit SOLLTE eine Full Volume oder Full Disk Encryption erfolgen. Das Wiederherstellungspasswort SOLLTE an einem geeigneten sicheren Ort gespeichert werden.
SYS.1.1.A35 Erstellung und Pflege eines Betriebshandbuchs
Das Betriebshandbuch SOLLTE regelmäßig aktualisiert werden. Es SOLLTE ein Betriebshandbuch erstellt werden. Darin SOLLTEN alle erforderlichen Regelungen, Anforderungen und Einstellungen dokumentiert werden, die erforderlich sind, um Server zu betreiben. Für jede Art von Server SOLLTE es ein spezifisches Betriebshandbuch geben. Das Betriebshandbuch SOLLTE vor unberechtigtem Zugriff geschützt werden. Das Betriebshandbuch SOLLTE in Notfällen zur Verfügung stehen.
SYS.1.1.A36 Absicherung des Bootvorgangs
Nicht benötigtes Schlüsselmaterial SOLLTE entfernt werden. Bootloader und Betriebssystem-Kern SOLLTEN durch selbstkontrolliertes Schlüsselmaterial signiert beim Systemstart in einer vertrauenswürdigen Kette geprüft werden (Secure Boot).
SYS.1.1.A37 Kapselung von sicherheitskritischen Anwendungen und Betriebssystemkomponenten
Um sowohl den unberechtigten Zugriff auf das Betriebssystem oder andere Anwendungen bei Angriffen als auch den Zugriff vom Betriebssystem auf besonders schützenswerte Dateien zu verhindern, SOLLTEN Anwendungen und Betriebssystemkomponenten (wie beispielsweise Authentisierung oder Zertifikatsüberprüfung) ihrem Schutzbedarf entsprechend besonders gekapselt oder anderen Anwendungen und Betriebssystemkomponenten gegenüber isoliert werden. Dabei SOLLTEN insbesondere sicherheitskritische Anwendungen berücksichtigt werden, die mit Daten aus unsicheren Quellen arbeiten (z. B. Webbrowser und Bürokommunikations-Anwendungen).
SYS.1.1.A38 Härtung des Host-Systems mittels Read-Only-Dateisystem
Die Integrität des Host-Systems SOLLTE durch ein Read-Only-Dateisystem sichergestellt werden (Immutable OS).
SYS.1.1.A39 Zentrale Verwaltung der Sicherheitsrichtlinien von Servern (neu seit Vorjahres-Edition)
Technisch nicht umsetzbare Konfigurationsparameter SOLLTEN dokumentiert, begründet und mit dem Sicherheitsmanagement abgestimmt werden. Alle Einstellungen des Servers SOLLTEN durch Nutzung eines zentralen Managementsystems (siehe auch OPS.1.1.7 Systemmanagement) verwaltet und entsprechend dem ermittelten Schutzbedarf sowie auf den internen Richtlinien basierend konfiguriert sein.
SYS.1.1.A4 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.1.A5 Schutz von Schnittstellen
Alle Schnittstellen, die nicht verwendet werden, MÜSSEN deaktiviert werden. Es MUSS gewährleistet werden, dass nur dafür vorgesehene Wechselspeicher und sonstige Geräte an die Server angeschlossen werden können.
SYS.1.1.A6 Deaktivierung nicht benötigter Dienste
Auch alle nicht benötigten Funktionen in der Firmware MÜSSEN deaktiviert werden. Die getroffenen Entscheidungen SOLLTEN so dokumentiert werden, dass nachvollzogen werden kann, welche Konfiguration und Softwareausstattung für die Server gewählt wurden. Auf Servern SOLLTE der Speicherplatz für die einzelnen Benutzenden, aber auch für Anwendungen, geeignet beschränkt werden. Alle nicht benötigten Serverrollen, Features und Funktionen, sonstige Software und Dienste MÜSSEN deaktiviert oder deinstalliert werden, vor allem Netzdienste. Die Empfehlungen des Betriebssystemherstellers SOLLTEN hierbei als Orientierung berücksichtigt werden.
SYS.1.1.A7 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.1.A8 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.1.A9 Einsatz von Virenschutz-Programmen auf Servern
Abhängig vom installierten Betriebssystem, den bereitgestellten Diensten und von anderen vorhandenen Schutzmechanismen des Servers MUSS geprüft werden, ob Viren-Schutzprogramme eingesetzt werden sollen und können. Soweit vorhanden, MÜSSEN konkrete Aussagen, ob ein Virenschutz notwendig ist, aus den betreffenden Betriebssystem-Bausteinen des IT-Grundschutz-Kompendiums berücksichtigt werden.
SYS.1.2.2 Windows Server 2012
IT-System R2
SYS.1.2.2.A1 Planung von Windows Server 2012
Die Nutzung von ins Betriebssystem integrierten Cloud-Diensten MUSS grundsätzlich abgewogen und geplant werden. Der Einsatz von Windows Server 2012 MUSS vor der Installation sorgfältig geplant werden. Die Anforderungen an die Hardware MÜSSEN vor der Beschaffung geprüft werden. Es MUSS eine begründete und dokumentierte Entscheidung für eine geeignete Edition des Windows Server 2012 getroffen werden. Der Einsatzzweck des Servers sowie die Einbindung ins Active Directory MÜSSEN dabei spezifiziert werden. Wenn nicht benötigt, MUSS die Einrichtung von Microsoft-Konten auf dem Server blockiert werden.
SYS.1.2.2.A10 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.2.2.A11 Angriffserkennung bei Windows Server 2012
Sicherheitsrelevante Ereignisse in Windows Server 2012 SOLLTEN an einem zentralen Punkt gesammelt und ausgewertet werden. Verschlüsselte Partitionen SOLLTEN nach einer definierten Anzahl von Entschlüsselungsversuchen gesperrt werden.
SYS.1.2.2.A12 Redundanz und Hochverfügbarkeit bei Windows Server 2012
Es SOLLTE geprüft werden, welche Verfügbarkeitsanforderungen durch Betriebssystemfunktionen wie Distributed File System (DFS), ReFS, Failover Cluster und Network Load Balancing bzw. NIC-Teaming (LBFO) erfüllt oder unterstützt werden können. Für Außenstellen SOLLTE BranchCache aktiviert werden.
SYS.1.2.2.A13 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.2.2.A14 Herunterfahren verschlüsselter Server und virtueller Maschinen
Um verschlüsselte Daten zu schützen, SOLLTEN nicht benötigte Server (inklusive virtuelle Maschinen) immer heruntergefahren werden. Dies SOLLTE möglichst automatisiert erfolgen. Die Entschlüsselung der Daten SOLLTE einen interaktiven Schritt erfordern oder zumindest im Sicherheitsprotokoll festgehalten werden.
SYS.1.2.2.A2 Sichere Installation von Windows Server 2012
Der Server MUSS bereits während der Installation auf einen aktuellen Patch-Stand gebracht werden. Es DÜRFEN KEINE anderen als die benötigten Serverrollen und Features bzw. Funktionen installiert werden. Andernfalls MUSS begründet werden, warum die Server-Core-Variante nicht genügt. Wenn es vom Funktionsumfang her ausreichend ist, MUSS die Server-Core-Variante installiert werden.
SYS.1.2.2.A3 Sichere Administration von Windows Server 2012
Webbrowser auf dem Server DÜRFEN NICHT zum Surfen im Web verwendet werden. Alle Administrierenden, die für das Server-System zuständig sind, MÜSSEN in den sicherheitsrelevanten Aspekten der Administration von Windows Server 2012 geschult sein.
SYS.1.2.2.A4 Sichere Konfiguration von Windows Server 2012
Dafür SOLLTEN funktionsspezifische und institutionsweite Sicherheitsvorlagen erstellt und gepflegt werden, die auf die Server ausgerollt werden. Vor Inbetriebnahme SOLLTE das System grundlegend gehärtet werden. Mehrere wesentliche Funktionen bzw. Rollen SOLLTEN NICHT durch einen einzigen Server erfüllt, sondern geeignet aufgeteilt werden. Der Internet Explorer SOLLTE auf dem Server nur in der Enhanced Security Configuration und im Enhanced Protected Mode genutzt werden.
SYS.1.2.2.A5 Schutz vor Schadsoftware auf Windows Server 2012
Im Konzept zum Schutz vor Schadsoftware SOLLTE vorgesehen werden, dass regelmäßig alle Festplatten vollständig gescannt werden. Außer bei IT-Systemen mit Windows Server 2012, die als Stand-alone-Gerät ohne Netzanschluss und Wechselmedien betrieben werden, SOLLTE vor dem ersten Verbinden mit dem Netz oder Wechselmedien ein Virenschutzprogramm installiert werden. Es SOLLTEN Alarme für Virenfunde konfiguriert sein.
SYS.1.2.2.A6 Sichere Authentisierung und Autorisierung in Windows Server 2012
In Windows Server 2012 R2 SOLLTEN alle Konten von Benutzenden Mitglied der Sicherheitsgruppe „Geschützte Nutzer“ sein. Der PPL-Schutz des Local Credential Store LSA SOLLTE aktiviert werden. Dienste-Konten in Windows Server 2012 SOLLTEN Mitglied der Gruppe „Managed Service Account“ sein. Konten für Dienste und Computer SOLLTEN NICHT Mitglied von „Geschützte Nutzer“ sein. Der Einsatz dynamischer Zugriffsregeln auf Ressourcen SOLLTE bevorzugt werden.
SYS.1.2.2.A7 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.2.2.A8 Schutz der Systemintegrität
AppLocker SOLLTE aktiviert und möglichst strikt konfiguriert sein.
SYS.1.2.2.A9 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.2.3 Windows Server
IT-System R2
SYS.1.2.3.A1 Planung von Windows Server (neu seit Vorjahres-Edition)
Es MUSS eine begründete und dokumentierte Entscheidung für eine geeignete Edition von Windows Server getroffen werden. Wenn nicht benötigt, MUSS die Einrichtung von Microsoft-Konten auf dem Server blockiert werden. Die Nutzung von mitgelieferten Cloud-Diensten im Betriebssystem MUSS grundsätzlich abgewogen und gründlich geplant werden. Der Einsatzzweck des Servers sowie die Einbindung ins Active Directory MÜSSEN dabei spezifiziert werden.
SYS.1.2.3.A2 Sichere Installation von Windows Server (neu seit Vorjahres-Edition)
Wenn vom Funktionsumfang her ausreichend, MUSS die Server-Core-Variante installiert werden. Andernfalls MUSS begründet werden, warum die Server-Core-Variante nicht genügt.
SYS.1.2.3.A3 Telemetrie- und Nutzungsdaten unter Windows Server (neu seit Vorjahres-Edition)
Wenn diese Einstellung nicht wirksam umgesetzt wird, dann MUSS durch geeignete Maßnahmen, etwa auf Netzebene, sichergestellt werden, dass die Daten nicht an den Hersteller übertragen werden. Um die Übertragung von Diagnose- und Nutzungsdaten an Microsoft stark zu reduzieren, MUSS das Telemetrie-Level 0 (Security) auf dem Windows Server konfiguriert werden.
SYS.1.2.3.A4 Schutz vor Ausnutzung von Schwachstellen in Anwendungen (neu seit Vorjahres-Edition)
Maßnahmen zum Schutz vor Exploits SOLLTEN für alle Programme und Dienste aktiviert werden, die den Exploit-Schutz von Windows (vgl. Verweis in Kapitel 4.1 Wissenswertes) unterstützen.
SYS.1.2.3.A5 Sichere Authentisierung und Autorisierung in Windows Server (neu seit Vorjahres-Edition)
Dienste-Konten in Windows Server SOLLTEN Mitglied der Gruppe „Managed Service Account“ sein. Konten für Dienste und Computer SOLLTEN NICHT Mitglied von „Protected Users“ sein. In Windows Server SOLLTEN alle Konten von Benutzenden Mitglied der Sicherheitsgruppe „Protected Users“ sein.
SYS.1.2.3.A6 Sicherheit beim Fernzugriff über RDP (neu seit Vorjahres-Edition)
• die Einbindung von Wechselmedien und Netzlaufwerken sowie Die Gruppe der Berechtigten und IT-Systeme für den Remote-Desktopzugriff (RDP) SOLLTE durch die Zuweisung entsprechender Berechtigungen festgelegt werden. Es SOLLTEN Mechanismen des Betriebssystems berücksichtigt werden, um die übertragenen Anmeldeinformationen zu schützen (z. B. Remote Credential Guard oder RestrictedAdmin). In komplexen Infrastrukturen SOLLTE das RDP-Zielsystem nur durch ein dazwischengeschaltetes RDP-Gateway erreicht werden können. Für die Verwendung von RDP SOLLTE eine Prüfung und deren Umsetzung sicherstellen, dass die nachfolgend aufgeführten Komfortfunktionen im Einklang mit dem Schutzbedarf des Zielsystems stehen: • die Verwendung der Zwischenablage, • die Nutzung der Dateiablagen, von weiteren Geräten und Ressourcen, wie z. B. Smartcard-Lesegeräten. Die eingesetzten kryptografischen Protokolle und Algorithmen SOLLTEN den internen Vorgaben der Institution entsprechen. Die Auswirkungen auf die Konfiguration der lokalen Firewall SOLLTEN bei der Planung des Fernzugriffs berücksichtigt werden. Sofern der Einsatz von Remote-Desktopzugriffen nicht vorgesehen ist, SOLLTEN diese vollständig deaktiviert werden.
SYS.1.2.3.A7 Verwendung der Windows PowerShell (neu seit Vorjahres-Edition)
Die PowerShell-Ausführung SOLLTE zentral protokolliert werden. Die erzeugten Protokolle SOLLTEN geeignet überwacht werden. Zur Einschränkung der Windows PowerShell SOLLTE bei Windows Server mithilfe von Just Enough Administration (JEA) eine rollenbasierte Administration implementiert werden. Die Ausführung von PowerShell-Skripten SOLLTE mit dem Befehl Set-ExecutionPolicy AllSigned eingeschränkt werden, um zu verhindern, dass unsignierte Skripte (versehentlich) ausgeführt werden. Ältere Windows PowerShell-Versionen SOLLTEN deaktiviert werden. Der Einsatz des PowerShell Constrained Language Mode SOLLTE geprüft werden.
SYS.1.2.3.A8 Nutzung des Virtual Secure Mode (VSM) (neu seit Vorjahres-Edition)
Bei der Nutzung des Virtual Secure Mode (VSM) SOLLTE berücksichtigt werden, dass forensische Untersuchungen, z. B. zur Sicherheitsvorfallbehandlung, eingeschränkt oder erschwert werden.
SYS.1.3 Server unter Linux und Unix
IT-System R2
SYS.1.3.A1 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.3.A10 Verhinderung der Ausbreitung bei der Ausnutzung von Schwachstellen
Auch chroot-Umgebungen sowie LXC- oder Docker-Container SOLLTEN dabei berücksichtigt werden. Es SOLLTE sichergestellt sein, dass mitgelieferte Standardprofile bzw. -regeln aktiviert sind. Dienste und Anwendungen SOLLTEN mit einer individuellen Sicherheitsarchitektur geschützt werden (z. B. mit AppArmor oder SELinux).
SYS.1.3.A11 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.3.A12 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.3.A13 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.3.A14 Verhinderung des Ausspähens von Informationen über das System und über Benutzende(umbenannt von Verhinderung des Ausspähens von System- und Benutzerinformationen in Vorjahres-Edition)
Die Ausgabe von Informationen über das Betriebssystem und der Zugriff auf Protokoll- und Konfigurationsdateien SOLLTE für Benutzende auf das notwendige Maß beschränkt werden. Außerdem SOLLTEN bei Befehlsaufrufen keine vertraulichen Informationen als Parameter übergeben werden.
SYS.1.3.A15 ENTFALLEN
Diese Anforderung ist entfallen.
SYS.1.3.A16 Zusätzliche Verhinderung der Ausbreitung bei der Ausnutzung von Schwachstellen
Falls erforderlich, SOLLTEN neue Regeln bzw. Profile erstellt werden. Die Nutzung von Systemaufrufen SOLLTE insbesondere für exponierte Dienste und Anwendungen auf die unbedingt notwendige Anzahl beschränkt werden. Die Standardprofile bzw. -regeln von z. B. SELinux, AppArmor SOLLTEN manuell überprüft und unter Umständen an die eigenen Sicherheitsrichtlinien angepasst werden.
SYS.1.3.A17 Zusätzlicher Schutz des Kernels
Es SOLLTEN speziell gehärtete Kernels (z. B. grsecurity, PaX) und geeignete Schutzmaßnahmen wie Speicherschutz oder Dateisystemabsicherung umgesetzt werden, die eine Ausnutzung von Schwachstellen und die Ausbreitung im Betriebssystem verhindern.