Sicherheit beginnt bei der Installation

Um ein System abzusichern, sollten Sie sich als Erstes die Frage stellen, welche Komponenten unverzichtbar sind. Schließlich stellen unnütz installierte Programme und unnötig laufende Dienste potenzielle Sicherheitsrisiken dar. Problematisch ist, dass die Installation diverser Linux-Distributionen und BSD-Derivate nicht unbedingt als minimal zu bezeichnen ist. Davon abgesehen gibt es natürlich noch weitere Methoden, um ein System abzusichern.

Vor allem bei Serversystemen spielt diese Absicherung eine große Rolle. Dabei sollten Sie auf drei Einsatzgebiete achten.

Minimalität: Je nach Distribution und Derivat wählen Sie während der Installation mehr oder weniger detailliert aus, welche Komponenten eingespielt werden sollen. Aber auch nach der Installation sollten Sie die Relevanz der installierten Software-Pakete überprüfen. Beispielswiese bringt ein standardmäßig auf einem Webserver installierter Portscanner nur einem Angreifer einen Vorteil. Selbstverständlich kann der Administrator solche Software zu Testzwecken installieren. Jedoch sollten diese Tools anschließend wieder entfernt werden.

Laufende Dienste: So gering wie möglich soll auch die Anzahl der im Hintergrund laufenden Dienste sein. Ist auf einem Webserver etwa der Port 25 – samt dahinter laufendem Exim – offen, stellt dies einen Angriffspunkt für potenzielle Hacker dar. Welche Dienste nach einer Installation laufen, erfahren Sie etwa über einen ps-Output oder durch einen Portscan mittels nmap.

Security-Software und Patches: Ein weiterer Schritt auf dem Weg zum gehärteten System besteht in der Installation von dedizierter Sicherheits-Software und Security-Patches. Letztere sind meist speziell auf einen bestimmten Bereich abgestimmt. So gibt es etwa Kernel-Patches, die das Ausführen von Datenbereichen im Hauptspeicher verhindern. Zwar kann es vorkommen, dass einige Programme damit Probleme haben, in der Regel beugen solche Patches Buffer-Overflow-Angriffen vor.

Eine Update-Policy ist für die Sicherheit der Serversysteme extrem wichtig. Zwar lässt sich ein Webserver durch Firewalls absichern, auf die grundlegende Funktionalität – eben den angebotenen Serverdienst – kann aber von außen nach wie vor zugegriffen werden. Und ist die dort laufende Software nicht mehr aktuell oder werden signifikante Sicherheitslücken bekannt, sind Dienst, Rechner und damit das gesamte Netzwerk angreifbar.

Never change a running system – diese Devise befolgen viele Administratoren. Allerdings vergessen sie, dass sich dieser Grundsatz auf die Hardware beschränkt. Im Zusammenhang mit dem Betriebssystem und Sicherheits-Updates ist das Gegenteil der Fall. Denn auch in Bezug auf Kommandozeilen-Tools kommt es bei Servern auf Minimalität und Aktualität an.

Bringt etwa ein Angreifer den Webserver, der als Benutzer httpd läuft, durch eine Sicherheitslücke dazu, eingeschleusten Code auszuführen, kann er eine Shell auf dem Serversystem starten. Diese Shell läuft nun unter den Rechten des Webservers – als httpd. Weil dies dem Angreifer aber keinen großen Spielraum gibt, wird er früher oder später nach lokalen Sicherheitslücken suchen – als Grundlage dienen alle Tools, die er auf dem Server findet. Nachinstallieren kann der Hacker zu diesem Zeitpunkt aber nichts, was ihm Root-Rechte verschaffen würde.

Problematisch bei Updates ist, dass hinterher die Gefahr besteht, dass etwas nicht funktioniert. Daher sollten Updates – zumindest im Sinne neuer Programmversionen – nicht automatisch installiert werden, auch wenn einige Linux-Distributionen so eine Funktion anbieten.