Der Blick unter die Haube

Analysemethoden IT-Sicherheit, V. 1.1

Im Rahmen der IT-Sicherheit werden je nach Standard und Einsatzgebiet verschiedene Analysen gefordert. In der Regel handelt es sich hierbei um Schutzbedarfsfeststellungen, Risikoanalysen und Informationsklassifizierungen. Zusätzlich wird von Seiten des OPDV mit der Stellungnahme 1/2006 im Rahmen eines Verfahrens zur Programmfreigabe eine Risikobewertung gefordert. Um den mit den verschiedenen Analysen verbundenen Aufwand zu begrenzen, soll dieses Dokument die Zusammenhänge dieser unterschiedlichen Analysen darstellen und eine mögliche einheitliche Vorgehensweise vorstellen. Im Dokument werden die verschiedenen Analysen kurz vorgestellt.

Audit-Modul Apache Webserver, V. 1.1

Das Audit-Modul besteht aus einem 35-seitigen kommentierten Fragenkatalog (Checkliste) zum Apache Webserver sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die sichere Konfiguration und Installation von Apache Webserver vor der Inbetriebnahme (Härtung) verwendet werden.

Grundlage für die Betrachtung ist der Apache Webserver 1.3.x für Unix- bzw. Linux-Plattformen. Ferner werden auch Hinweise für Win32-Plattformen gegeben. Die meisten Fragen sind auch für die Apache Versionen 2.0.x zutreffend.

Audit-Modul Citrix-Terminalserver, V. 1.0

Das Audit-Modul besteht aus einem 38-seitigen kommentierten Fragenkatalog (Checkliste) zur Absicherung von Windows 2003 Terminalservern, die mit der Citrix-Erweiterung (Citrix Presentation Server 4.0) betrieben werden sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die sichere Konfiguration und Installation von Citrix-Terminalservern vor der Inbetriebnahme (Härtung) verwendet werden.

Audit-Modul IBM AIX 5.2 / 5.3, V. 1.3

Das Audit-Modul besteht aus einem kommentierten Fragenkatalog (Checkliste) zu AIX-Servern sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die sichere Konfiguration und Installation von Systemen vor der Inbetriebnahme (Härtung) verwendet werden.

Die im Fragenkatalog enthaltenen Bewertungskriterien, die kurz und prägnant erläutert werden, beruhen auf den AIX-Versionen 5.2 und 5.3.

Audit-Modul Internet Explorer 7, V. 1.0

Das Audit-Modul besteht aus einem 46-seitigen kommentierten Fragenkatalog (Checkliste) zum Microsoft Internet Explorer 7 sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die sichere Installation und Konfiguration (Härtung) des Microsoft Internet Explorers in der Version 7 verwendet werden.

Der Fragenkatalog enthält die Bewertungskriterien mit entsprechend kurzen und prägnaten Erläuterungen für den Einsatz des Internet Explores 7.

Audit-Modul Internet Information Services, V. 1.1

Das Audit-Modul besteht aus einem 39-seitigen kommentierten Fragenkatalog (Checkliste) zu den Internet Information Services (IIS) sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die sichere Konfiguration und Installation der Internet Information Services vor der Inbetriebnahme (Härtung) verwendet werden.

Der Schwerpunkt des Fragenkatalogs liegt bei der Betrachtung der IIS 6. Zusätzlich werden aber auch die Abweichungen und Besonderheiten bei der Konfiguration der IIS 5 berücksichtigt.

Audit-Modul Linux-Server, V. 1.0

Das Audit-Modul besteht aus einem 99-seitigen kommentierten Fragenkatalog (Checkliste) zu Linux-Servern sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die sichere Konfiguration und Installation von Systemen vor der Inbetriebnahme (Härtung) verwendet werden.

Die im Fragenkatalog enthaltenen Bewertungskriterien, die kurz und prägnant erläutert werden, beruhen auf den Distributionen Novell/SuSE Linux Enterprise Server 10 (SLES 10) und Red Hat Enterprise Linux 4 (RHEL 4.3). Viele der aufgeführten Empfehlungen für Konfigurations-einstellungen und Anpassungen des Betriebssystems lassen sich auf andere Distributionen übertragen.

Audit-Modul Lotus Notes R5, V. 1.3

Das Audit-Modul besteht aus einem 28-seitigen kommentierten Fragenkatalog (Checkliste) zu Lotus Notes R5 sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die sichere Konfiguration und Installation von Lotus Notes R5 vor der Inbetriebnahme (Härtung) verwendet werden.

Der Fragenkatalog enthält die Bewertungskriterien mit entsprechend kurzen und prägnaten Erläuterungen für den Einsatz von Lotus Notes R5.

Audit-Modul Lotus Notes/Domino 6.5, V. 1.0

Das Audit-Modul besteht aus einem 54-seitigen kommentierten Fragenkatalog (Checkliste) zu Lotus Notes/Domino 6.5 sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die sichere Konfiguration und Installation von Lotus Notes/Domino 6.5 vor der Inbetriebnahme (Härtung) verwendet werden.

Der Fragenkatalog enthält die Bewertungskriterien mit entsprechend kurzen und prägnaten Erläuterungen für den Einsatz von Lotus Notes/Domino 6.5.

Audit-Modul Lotus Notes/Domino 7.0, V. 1.0

Das Audit-Modul besteht aus einem kommentierten Fragenkatalog (Checkliste) zu Lotus Notes/Domino 7.0 sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die sichere Konfiguration und Installation von Lotus Notes/Domino 7.0 vor der Inbetriebnahme (Härtung) verwendet werden.

Der Fragenkatalog enthält die Bewertungskriterien mit entsprechend kurzen und prägnaten Erläuterungen für den Einsatz von Lotus Notes/Domino 7.0.

Audit-Modul Microsoft Exchange-Server 2003, V. 1.1

Das Audit-Modul besteht aus einem 60-seitigen kommentierten Fragenkatalog (Checkliste) zu Microsoft Exchange-Server 2003 sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die sichere Konfiguration und Installation von Microsoft Exchange-Server 2003 vor der Inbetriebnahme (Härtung) verwendet werden.

Der Fragenkatalog enthält die Bewertungskriterien mit entsprechend kurzen und prägnaten Erläuterungen für den Einsatz von Microsoft Exchange-Server 2003. Zusätzlich werden auch Abweichungen und Besonderheiten bei der Konfiguration des Microsoft Exchange-Servers 2000 berücksichtigt. Da der Exchange-Server eng mit dem darunter liegenden Betriebssystem (Windows 2000 bzw. Windows 2003 Server) sowie den Internet Information Services (IIS) verzahnt ist, ist für ein umfassendes Sicherheits-Audit einer Exchange-Infrastruktur auch die Anwendung der Audit-module Windows 2000 bzw. Windows 2003 sowie IIS 6 notwendig.

Audit-Modul Microsoft Office 2003, V. 1.0

Das Audit-Modul besteht aus einem 81-seitigen kommentierten Fragenkatalog (Checkliste) zu Microsoft Office 2003 sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die sichere Konfiguration und Installation von Microsoft Office 2003 vor der Inbetriebnahme (Härtung) verwendet werden.

Der Fragenkatalog enthält die Bewertungskriterien mit entsprechend kurzen und prägnaten Erläuterungen für den Einsatz von Microsoft Office 2003. Als Ausgangslage wird die Installation von Microsoft Office 2003 auf einem Windows XP SP2 basierten Client-Computer und die Verwendung der Active Directory-basierten Gruppenrichtlinien zur Verwaltung und Konfiguration der Microsoft Office Software.

Audit-Modul Microsoft-SQLServer, V. 1.0

Das Audit-Modul besteht aus einem 50-seitigen kommentierten Fragenkatalog (Checkliste) zu Microsoft-SQLServer-Datenbankinstanzen sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Es kann als Grundlage bzw. zur Vorbereitung auf ein Sicherheitsaudit von SQLServer-Datenbankinstanzen eingesetzt werden.

Viele der angeführten Bewertungsfragen sind nicht rein SQLServer-spezifisch, sondern können bei einem Audit jeder anderen großen Datenbankplattform (wie DB2 oder Oracle) ähnlich gestellt werden.

Audit-Modul Mozilla Firefox 2.0, V. 1.0

Das Audit-Modul besteht aus einem 56-seitigen kommentierten Fragenkatalog (Checkliste) zum Mozilla Firefox 2.0 sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die sichere Installation und Konfiguration (Härtung) von Mozilla Firefox 2.0 verwendet werden.

Der Fragenkatalog enthält die Bewertungskriterien mit entsprechend kurzen und prägnaten Erläuterungen für den Einsatz von Mozilla Firefox 2.0 primär unter Windows Betriebssystemen.

Audit-Modul Oracle, V. 1.1

Das Audit-Modul besteht aus einem 50-seitigen kommentierten Fragenkatalog (Checkliste) zu Oracle Datenbankinstanzen sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Es kann als Grundlage bzw. zur Vorbereitung auf ein Sicherheitsaudit von Oracle-Datenbankinstanzen eingesetzt werden. Anwendbar ist dieses Audit-Modul für die Versionen 7.2 bis 9i.

Viele der angeführten Bewertungsfragen sind nicht rein Oracle-spezifisch, sondern können bei einem Audit jeder anderen großen Datenbankplattform (wie DB2 oder Microsoft SQL Server) ähnlich gestellt werden.

Audit-Modul PDA, V. 1.0

Das Audit-Modul besteht aus einem 18-seitigen kommentierten Fragenkatalog (Checkliste) zum Einsatz von Personal Digital Assistants (PDAs) sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die sichere Installation und Konfiguration (Härtung) von PDAs verwendet werden.

Der Fragenkatalog enthält die Bewertungskriterien mit entsprechend kurzen und prägnaten Erläuterungen für den Einsatz von PDAs. Für diesen generischen Fragenkatalog wurden die teilweise unterschiedlichen Funktionalitäten der PDAs von Blackberry, Palm und auf Basis von Windows CE / Mobile berücksichtigt.

Audit-Modul RDBMS allgemein, V. 1.2

Das Audit-Modul besteht aus einem 47-seitigen kommentierten Fragenkatalog (Checkliste) zu relationalen Datenbankinstanzen sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Es kann als Grundlage bzw. zur Vorbereitung auf ein Sicherheitsaudit von relationalen Datenbankinstanzen eingesetzt werden.

Sofern kein spezifisches Audit-Modul existiert kann dieser generische Fragenkatalog für die Sicherheitsüberprüfung von relationalen Datenbankinstanzen eingesetzt werden.

Audit-Modul SAP Basissystem, V. 2.0

Das Audit-Modul besteht aus einem 96-seitigen kommentierten Fragenkatalog (Checkliste) zum SAP Basissystem sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Die im Fragenkatalog enthaltenen Bewertungskriterien, die kurz und prägnant erläutert werden, beziehen sich primär auf die Absicherung der SAP NetWeaver Application Server Version 2004s. Zusätzlich zu der Berücksichtigung der SAP-Empfehlungen werden übergreifende Aspekte der Sicherheit im SAP-Gesamtverbund betrachtet.

Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die Planung und die sichere Installation und Konfiguration von SAP Basissystemen verwendet werden.

Audit-Modul SAP HR/HCM, V. 1.0

Das Audit-Modul besteht aus einem 100-seitigen kommentierten Fragenkatalog (Checkliste) zum SAP-Modul HR/HCM sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Die im Fragenkatalog enthaltenen Bewertungskriterien, die kurz und prägnant erläutert werden, beruhen auf Informationen aus der Version mySAP ERP Central Component 6.0, die größtenteils ebenfalls auf ältere Versionen aus SAP/R3 oder SAP R/3 Enterprise anwendbar sind. Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die Planung und die sichere Installation und Konfiguration von SAP HR/HCM verwendet werden.

Audit-Modul SAP NetWeaver Portal, V. 1.0

Das Audit-Modul besteht aus einem 126-seitigen kommentierten Fragenkatalog (Checkliste) zu SAP NetWeaver Portalen sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm. Die im Fragenkatalog enthaltenen Bewertungskriterien, die kurz und prägnant erläutert werden, beruhen auf Informationen der Portalversion aus SAP NetWeaver 2004s, die ebenfalls auf die Vorgängerversion in Form des SAP Enterprise Portal 6.0 anwendbar sind.

Neben der periodischen Überprüfung des Sicherheitsniveaus kann der Fragenkatalog als Grundlage für die Planung und die sichere Installation und Konfiguration von SAP NetWeaver Portalen verwendet werden.

Audit-Modul Schutz vor Malware, V. 2.0

Das Audit-Modul besteht aus einem 61-seitigen kommentierten Fragenkatalog (Checkliste) zum Schutz vor Malware sowie einer Bewertungstabelle für die Einschätzung des Sicherheitsniveaus inklusive der Darstellung in einem Ergebnisdiagramm.

Unter dem Begriff Malware werden hierbei alle Arten von schadhafter Software verstanden, wie beispielsweise: alle Arten von Viren wie Dateiviren, Makroviren, Bootviren, Stealth-Viren, Retroviren, Trojaner, Würmer und Logische Bomben sowie Hoaxes, Spyware, Adware, Key-Logger und Dialer.