News zu Oracle
In der IT-Sicherheit gibt es keine Kompromisse – besonders, wenn es um geschäftskritische Infrastrukturen wie deine Oracle Linux Betriebssysteme geht. Als IT-Dienstleister im Bereich Datenbanken und datenbankbasierte IT-Systeme wissen wir: Eine ungehärtete Umgebung ist ein gefundenes Fressen für Angreifer.
Doch welchen Parametern solltest du bei der Härtung besondere Aufmerksamkeit schenken? Ein CIS Benchmark Report kann hier für Klarheit sorgen. Mit dem Report können deine Systeme detailliert auf potenzielle Schwachstellen analysiert werden, um Sicherheitsrisiken zu erkennen.
Das ist dir alles zu abstrakt? Kein Problem! In unserer neuen Beitragsreihe stellen wir dir ausgewählte Parameter aus den CIS Benchmarks vor und erklären deren Bedeutung. Das hilft dir möglicherweise dabei, Licht ins Dunkel zu bringen – denn Sicherheit beginnt mit Wissen!
Kurz zum allgemeinen Verständnis des CIS Benchmark Reports: Der Report zeigt dir, inwiefern das gescannte System den Sicherheitsempfehlungen innerhalb des gewünschten Security Levels (1 oder 2) des Center for Internet Security (CIS) folgt. Der Grad der Erfüllung bemisst sich systemübergreifend und zusätzlich für einzelne Themenkomplexe jeweils mit einem ungewichteten, prozentualen Score (Score / Max). Ziel sollte es stets sein, sich mit vertretbaren Härtungsmaßnahmen der 100% Marke bestmöglich zu nähern.
Folgende Themenkomplexe werden im CIS Benchmark Report beleuchtet:
Im ersten Teil unserer Beitragsreihe schauen wir uns ausgewählte Punkte aus dem Bereich der Netzwerkkonfiguration an. Wir haben für unser Beispiel eine Oracle Linux 9 Konfiguration gewählt.
Im Abschnitt “Netzwerkkonfiguration” des CIS Reports erfährst du alles zur Sicherung der Netzwerkkonfiguration deiner Systeme durch Kernelparameter, Zugriffslistenkontrolle und Firewall-Einstellungen. Ein Beispiel ist das Deaktivieren nicht verwendeter Netzwerkprotokolle und ‑geräte: Um die Angriffsfläche deiner Systeme zu verringern, sollten nicht verwendete Netzwerkprotokolle und ‑geräte deaktiviert werden. Die Linux-Kernelmodule unterstützen mehrere Netzwerkprotokolle, die nicht häufig verwendet werden. Wenn diese Protokolle nicht benötigt werden, empfiehlt es sich, sie im Kernel zu deaktivieren.
ICMP-Redirect-Nachrichten sind Pakete, die Routing-Informationen übermitteln und den Host (der als Router fungiert) anweisen, Pakete über einen alternativen Pfad zu senden. Auf diese Weise kann ein externes Routing-Gerät die Routing-Tabellen deines Systems aktualisieren. Angreifer könnten gefälschte ICMP-Redirect-Nachrichten verwenden, um die Routing-Tabellen des Systems böswillig zu verändern und sie dazu zu bringen, Pakete an falsche Netzwerke zu senden, so dass deine Systempakete abgefangen werden können. Deine Systeme sollten also keine ICMP-Redirect-Nachrichten akzeptieren.
Die Annahme von ICMP-Echo- und Zeitstempel-Anfragen mit Broadcast- oder Multicast-Zielen für dein Netzwerk könnte dazu verwendet werden, deinen Host dazu zu bringen, einen Smurf-Angriff zu starten (oder daran teilzunehmen). Ein Smurf-Angriff beruht darauf, dass ein Angreifer große Mengen von ICMP-Broadcast-Nachrichten mit einer gefälschten Quelladresse sendet. Alle Hosts, die diese Nachricht empfangen und darauf antworten, senden Echo-Antwort-Nachrichten an die gefälschte Adresse zurück, die wahrscheinlich nicht routbar ist. Wenn viele Hosts auf die Pakete antworten, könnte sich der Datenverkehr im Netz erheblich vervielfachen. Deine Systeme sollten also möglichst alle ICMP-Echo- und Zeitstempel-Anfragen an Broadcast- und Multicast-Adressen ignorieren.
Bitte beachte, dass es sich bei den genannten Punkten lediglich um einen Bruchteil der Themen handelt, die im Report beleuchtet werden. Sie sollen dir lediglich einen Eindruck der Herangehensweise vermitteln. In weiterführenden Beiträgen werden wir uns noch weitere Punkte anschauen.
Selbstverständlich lassen sich die CIS Benchmark Reports auch für andere Enterprise Linux Betriebssysteme wie Red Hat Enterprise Linux erstellen sowie für Oracle Datenbanken, SQL Server Datenbanken und Windows Server Betriebssysteme.
Marcel
Senior Account Manager bei ASPICON
Share this article