In einigen kleineren IT-Abteilungen wird das Thema Sicherheit trotz vieler Hinweise in den Medien auf Angriffe sehr stiefmütterlich behandelt. Die Einstellung “uns wird das schon nicht treffen” kann hier zu einem enormen Problem führen.
In diesem Artikel werden einige Punkte behandelt, die zur Absicherung eines Linux Servers berücksichtigt werden sollten.
BIOS-Passwort
Das BIOS-Passwort schützt vor Änderungen an den BIOS-Einstellungen. Wenn ein Angreifer Zugriff auf das BIOS hat, kann er es so einstellen, dass es das Betriebssystem von einer CD-ROM oder einem Flash-Laufwerk startet. Dadurch kann er in den Rettungsmodus wechseln, wo er dann beliebige Prozesse starten oder sensible Daten kopieren kann.
Das Passwort kann den Systemstart auch verhindern. Einige BIOS-Implementierungen erlauben einen Passwortschutz des Startvorgangs. Bei Aktivierung wird ein Angreifer gezwungen, ein Passwort einzugeben, bevor das BIOS den Bootloader startet.
Separate Partitionen
Red Hat empfiehlt separate Partitionen für die Verzeichnisse /, /boot, /home, /tmp und /var/tmp/ zu erstellen.
Wenn Benutzerdaten (/home) in der Root-Partition (/) statt in einer separaten Partition gespeichert werden, kann sich die Partition füllen, wodurch das Betriebssystem instabil wird. Das gleiche gilt auch für die /tmp und /var/tmp Verzeichnisse, in denen temporäre Dateien gespeichert werden, wenn sie zur Root-Partition gehören und sie von Daten überschwemmt werden.
Einschränken der Netzwerkkonnektivität während des Installationsvorgangs
Bei der Installation von Red Hat Enterprise Linux 8 repräsentiert das Installationsmedium einen Snapshot des Systems zu einem bestimmten Zeitpunkt. Aus diesem Grund ist es möglicherweise nicht auf dem neuesten Stand der Sicherheitsupdates und anfällig für Probleme, die erst behoben wurden, nachdem das vom Installationsmedium bereitgestellte System veröffentlicht wurde.
Wenn möglich, beschränken Sie den Zugriff bei der Installation nur auf die nächste notwendige Netzwerkzone. Die sicherste Wahl wäre kein Netzwerk was bedeutet, dass die Installation offline gesetzt werden sollte. In einigen Fällen reicht eine LAN- oder Intranet-Verbindung aus, während die Internetverbindung am Riskantesten ist. Im Anschluss an die Installation sollten die neuesten Patches installiert werden.
Beschränkung der Anzahl von Paketen
Mann sollte nur die Pakete installieren, die tatsächlich benötigt werden. Hintergrund dieser Forderung sind:
- Jede Software die installiert wird kann eine Schwachstelle darstellen.
- Mit jedem zusätzlichen Paket das installiert wird, wächst unter Umständen der Wartungsaufwand für Updates und Patch-Installationen.
