Eine Einführung in das Avantra SUSE hardening Add in

Bei den in der Avantra Enterprise Edition enthaltenen Avantra Add-ins handelt es sich um vorgefertigte Best-Practice-Szenarien, die mit Hilfe unseres Know-hows die Wertschöpfungszeit Ihres Unternehmens verkürzen. Eines dieser Add-ins ist SUSE Hardening und basiert auf dem Hardening-Leitfaden der Hersteller von SUSE Enterprise Linux. Bei diesem Add-in handelt es sich um eine Sammlung von acht benutzerdefinierten Checks, die von Ihnen erweitert werden können, um sie an die Anforderungen Ihres Unternehmens anzupassen.

Das SUSE Härtungs-Add-in wird als ZIP-Datei heruntergeladen, die eine Übersichtsanleitung enthält, die alle Details des Add-ins (sowie die Installationsanweisungen) bietet. Um auf dieses Add-in zuzugreifen, besuchen Sie support.avantra.com. Sobald Sie sich mit Ihrem Konto angemeldet haben, sehen Sie alle Add-ins, die Ihnen zur Verfügung stehen, unter dem Abschnitt Avantra Add-ins. 

In der SUSE-Härtungslösung Add-in enthaltene Überprüfungen

Die im SUSE Hardening Add-in enthaltenen Checks tragen wesentlich zur Sicherheit Ihrer SUSE-Server bei. Insgesamt gibt es acht Prüfungen:

• Kernel-Parameter - prüft verschiedene Kernel-Parameter auf Sicherheitsprobleme (und ermöglicht es Ihnen, diese Parameter perfekt an Ihre Bedürfnisse anzupassen).

• Ports - prüft, welche Netzwerkports auf Ihren Servern geöffnet sind.

• ASLR-Verifizierung - überprüft die Adressraum-Layout-Randomisierung auf bestimmte Arten von Pufferüberlauf-Angriffen.

• Kernel Speicherleck Check - prüft, ob es im Kernel Speicherlecks gibt.

• Prüfung der installierten Pakete - prüft, welche Pakete installiert sind und welche Versionen sie haben.

• UMASK-Überprüfung - prüft, ob die umask-Einstellung (die die Berechtigungen für neu erstellte Dateien bestimmt) richtig gesetzt ist.

• Selbstkontrolle der Benutzerkonten - prüft alle Benutzerkonten auf ihre Rechtmäßigkeit und Sicherheit.

• Sicherheitspatch-Prüfung - prüft Sicherheitspatches auf bekannte Sicherheitslücken. 

Mit einem einzigen Add-in können Sie also ganz einfach sicherstellen, dass Ihre SUSE-Server sicher und auf dem neuesten Stand sind und die strengen Standards Ihres Unternehmens erfüllen.

So funktioniert das SUSE Add-in

Die Installation des Add-ins ist so einfach wie das Klicken auf (im Hauptfenster von Avantra) Konfiguration > Benutzerdefinierte Checks. Im daraufhin angezeigten Fenster klicken Sie auf Mehr und dann auf Benutzerdefinierte Checks importieren. Dann laden Sie die Datei mit der Endung Zip hoch. Klicken Sie auf Weiter, wählen Sie alle enthaltenen Checks aus und klicken Sie dann auf Weiter. Klicken Sie auf Importieren und alle Checks werden als deaktiviert importiert. Zu diesem Zeitpunkt haben Sie vollen Einblick in den Quellcode der einzelnen Checks, so dass Sie sehen können, wie sie funktionieren, und sie bei Bedarf sogar ändern können.

SUSE Add in Konfiguration

Gehen Sie die einzelnen Checks durch, konfigurieren Sie sie nach Bedarf, und weisen Sie die Prüfungen Ihren SUSE-basierten Servern zu. Sie können dies mit einem Server-System-Selektor tun, um alle Server mit SUSE-basierten Betriebssystemen auszuwählen.  Sobald Sie das SUSE Härtungs-Add-in installiert und implementiert haben, werden Sie feststellen, dass die Checks automatisch durchgeführt wurden, und Sie erhalten eine Rückmeldung darüber, was entdeckt wurde. Sie erfahren sofort, ob Ihre SUSE-Server die Checks bestanden oder nicht bestanden haben. Jeder Test enthält außerdem Links zum SUSE Härtungshandbuch, in dem Sie weitere Informationen darüber finden, was geprüft wurde und warum, und was korrigiert werden muss, falls ein Test fehlschlägt.

Package Check-Test

Ein sehr interessanter Aspekt des Package Check-Tests ist, dass das Add-in alle auf Ihren SUSE-Servern installierten Pakete auflistet. Dies kann dann als Software-Stückliste dienen, die bei zukünftigen Entwicklungsprojekten oder sogar als Nachweis für Kunden verwendet werden kann, dass Ihre Systeme bestimmte Compliance-Standards erfüllen. Diese Paketliste kann auch zu Prüfzwecken durchsucht werden und meldet, ob verbotene Binärdateien enthalten sind.

Fehlgeschlagene Checks

Wenn eine Prüfung fehlschlägt, schlagen Sie im Konfigurationshandbuch nach, wo Sie Hinweise dazu finden, warum die Prüfung möglicherweise nicht bestanden wurde und wie Sie das Problem beheben können. Bei der Prüfung des Benutzerkontos beispielsweise werden Sie höchstwahrscheinlich feststellen, dass Sie die Datei sudoers (auf dem SUSE-Host) bearbeiten müssen, um dem Service-Benutzer das Recht zu geben, bestimmte Befehle ohne Eingabe eines Passworts auszuführen. Machen Sie sich keine Sorgen, wenn Sie auf solche Probleme stoßen, denn das Übersichtsdokument (in der ursprünglichen Download-Datei) ist eine hervorragende Quelle für die Lösung dieser Probleme.

Kernel Parameters und Security Patch Checks

Dasselbe geschieht mit den Kernel-Parametern und den Sicherheitspatch-Prüfungen. Hier müssen Sie die Datei /etc/sudoers.d/avantra bearbeiten (als Root-Benutzer), die die Einträge enthalten muss, die es dem Avantra-Agenten ermöglichen, sich automatisch zu aktualisieren. Wenn Sie mit der Bearbeitung der sudoers-Datei nicht sehr vertraut sind, enthält die ZIP-Datei die erforderlichen Einträge, so dass Sie den Inhalt einfach an die Datei /etc/sudoers.d/avantra anhängen können. Sie fügen Einträge für die Überprüfung der Kernel-Parameter, die Überprüfung des Benutzerkontos und die Überprüfung der System-Patches hinzu. Sobald Sie die Konfigurationsänderungen vorgenommen haben, können Sie den Check ausführen und sehen, dass er erfolgreich läuft und die Ergebnisse zurückmeldet. 

Kernel Parameter Self Check

Eine weitere sehr praktische Funktion des SUSE Härtungs-Add-ins ist die Kernel-Parameter-Selbstprüfung, die (über den Open-Source-Code) bearbeitet werden kann. Damit können Sie beliebige andere Prüfungen hinzufügen oder die vordefinierten Prüfungen anpassen.

Ihr Geschäftsszenario für die SUSE-Härtungslösung Add-in

Wenn Ihr Unternehmen SUSE Enterprise Linux-Server einsetzt, sollten Sie das Avantra SUSE hardening Add-in unbedingt verwenden. Es nimmt Ihnen nicht nur das Rätselraten bei der Sicherung Ihrer Systeme ab, sondern gibt Ihnen und Ihren Administratoren auch die Sicherheit, die nur ein sicherheitsgehärtetes System bieten kann. Wenn Sie mehr darüber erfahren möchten, vereinbaren Sie bitte einen Termin für einen Überblick über das Avantra SUSE Hardening Add-in.