Härtung hat ein Haltbarkeitsdatum
Einmal härten kann jeder: Benchmark durcharbeiten, abhaken, fertig. Dann kommt der Alltag, und die Konfiguration driftet, leise und ohne böse Absicht. Warum Konfigurationsdrift der Normalzustand ohne Messung ist und wie isidaten jetzt täglich gegen 28 Härtungs-Benchmarks prüft, auf Linux direkt per OpenSCAP.
Einmal härten kann jeder: Benchmark durcharbeiten, Einstellungen setzen, abhaken. Sechs Monate später sieht die Wirklichkeit anders aus. Ein Update hat eine Einstellung zurückgesetzt. Ein Dienst wurde für die Fehlersuche „kurz" geöffnet und nie wieder geschlossen. Ein neues System ging live, bevor jemand an den Benchmark dachte. Nichts davon ist ein Versagen. Konfigurationsdrift ist der Normalzustand, sobald niemand nachmisst.
Drift ist leise, und sie hat Zeit
Das Tückische an Drift ist ihr Tempo: Sie passiert nicht auf einmal, sondern in kleinen, jeweils vernünftigen Schritten. Das Jahres-Audit misst einmal, die Drift arbeitet täglich. Und ausgenutzt wird am Ende genau das, was zwischen zwei Messungen aufgegangen ist: der exponierte Endpunkt, die Standard-Zugangsdaten, der vergessene Dienst. Wie schnell solche offenen Türen heute gefunden und durchschritten werden, war gestern an dieser Stelle Thema.
Gegen Drift hilft kein zweites Härten, sondern Messen
Der Maßstab dafür existiert längst: Benchmarks wie DISA STIG, CIS, ANSSI BP-028 oder die BSI-Vorgaben beschreiben pro Betriebssystem, wie eine sichere Konfiguration aussieht. Nur nützt der beste Maßstab nichts, wenn er im Schrank liegt. Er muss regelmäßig ans System gehalten werden, automatisch, nicht per Jahresprojekt. Erst dann wird aus „wir haben gehärtet" ein „wir sind gehärtet, Stand heute".
isidaten misst jetzt täglich gegen 28 Kataloge
Das Security-Configuration-Management in isidaten hat sein Benchmark-Bundle von 14 auf 28 Kataloge verdoppelt: DISA-STIGs unter anderem für RHEL, SLES und macOS, dazu ComplianceAsCode-Profile wie ANSSI BP-028 und CIS für Debian 12 und 13, CIS für Ubuntu und SLES, PCI DSS für RHEL 9 und ein BSI-Profil für RHEL 10. Der isidaten-Agent prüft die Systeme täglich per Cronjob, auf Linux direkt über OpenSCAP am System selbst. Eigene XCCDF-Importe, etwa lizenzierte CIS-Inhalte, werden automatisch auf die Agent-Checks gemappt. Score und Abdeckung stehen je System und Benchmark im Cockpit, begründete Ausnahmen bleiben als Waiver nachvollziehbar, und aus Befunden werden Maßnahmen im ISMS.
Was das Modul im Detail kann, zeigt die SCM-Modulseite. Und wenn Sie wissen wollen, wie gehärtet Ihre Systeme heute wirklich sind, sprechen Sie uns an.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.