Serversicherheit mit Ansible automatisieren

Zusammenfassung

Dr. Benjamin Aleritsch zeigte bei den Chemnitzer Linux-Tagen 2021, wie sich Serversicherheit mit Ansible automatisieren lässt. Grundlage sind zwei etablierte Regelwerke: SCAP standardisiert das automatische Finden von Schwachstellen und die Prüfung gegen Sicherheitsrichtlinien, STIG liefert konkrete Vorgaben für die Härtung von Systemen. Der englischsprachige Vortrag gab eine Einführung in diesen Prozess.

Warum Sicherheit automatisieren?

Ein Server lässt sich von Hand härten: unnötige Dienste abschalten, sichere SSH-Einstellungen setzen, Passwortregeln festlegen, Protokollierung einschalten. Bei Dutzenden oder Hunderten Systemen ist das fehleranfällig, und mit der Zeit weichen die Systeme voneinander ab. Automatisierung sorgt dafür, dass jede Maschine denselben geprüften Stand hat und Abweichungen auffallen.

Ansible beschreibt den gewünschten Zustand in lesbaren Textdateien, sogenannten Playbooks, und setzt ihn per SSH ohne zusätzlichen Agenten auf den Zielsystemen durch. Kombiniert mit SCAP-Prüfungen, etwa mit OpenSCAP, entsteht ein Kreislauf: prüfen, härten, erneut prüfen.

Was SCAP und STIG sind

SCAP, das Security Content Automation Protocol, ist eine Sammlung von Standards des US-amerikanischen NIST, mit denen sich Sicherheitsprüfungen maschinenlesbar beschreiben lassen. STIGs, Security Technical Implementation Guides, sind Härtungsvorgaben der US-Verteidigungsbehörde DISA. Auch außerhalb der USA dienen sie als nützliche Checklisten, ähnlich wie die Benchmarks des Center for Internet Security oder in Deutschland der IT-Grundschutz des BSI.

Ideen

• Ansible setzt einen beschriebenen Sicherheitszustand auf vielen Servern gleich um.
• SCAP macht Sicherheitsprüfungen maschinenlesbar und wiederholbar.
• Prüfen, härten und erneut prüfen bilden einen Kreislauf.

Einsichten

• Manuelle Härtung skaliert nicht und führt mit der Zeit zu abweichenden Systemen.
• Etablierte Regelwerke ersparen es, Sicherheitsvorgaben selbst zu erfinden.

Fakten

• SCAP ist eine Sammlung von Standards des NIST.
• STIGs werden von der US-Behörde DISA herausgegeben.
• Der Vortrag hieß im Programm „Server Security Automation with Ansible“.

Referenzen

• CLT: Serversicherheit mit Ansible automatisieren

Bemerkungen

• Für Debian, Ubuntu und RHEL gibt es fertige Ansible-Rollen zur Härtung, etwa aus dem Projekt ansible-lockdown oder aus OpenSCAP-Profilen.

Empfehlungen

• Starte mit einem Prüfbericht von OpenSCAP und härte dann gezielt die wichtigsten Abweichungen.
• Teste Härtungsregeln auf einer Kopie, denn zu strenge Vorgaben können Dienste oder Fernzugang blockieren.

Programmpunkt öffnen →

Im Webarchiv suchen

Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.