Gibt es ein vollständiges Dokument zur Ubuntu-Serverhärtung, das ISO 27001, PCI DSS oder einem anderen Sicherheitsstandard genügt?
Antwort1
Mir ist kein offizielles Dokument zur Härtung von Ubuntu-Servern bekannt, aber das Folgende bietet Ihnen hoffentlich einen guten Ausgangspunkt:
NIST (National Institute of Standards and Technology) veröffentlicht Richtlinien zur Sicherung von *nix-Systemen. Diese werden von den Großen (Verteidigungsministerium, Armee usw.) als Ausgangspunkt verwendet.
Schauen Sie sich auch dies anPapier des SANS-Instituts. Diese Listeist auch eine gute Faustregel.
Sie können Tools wie Nessus, OpenVAS und andere Schwachstellenscanner verwenden, um sich einen Überblick darüber zu verschaffen, welche Ports und Dienste ebenfalls heruntergefahren werden müssen.
DerNationale Schwachstellen-Datenbankist auch eine gute Site für den Querverweis Ihrer Softwarekonfiguration.
Wenn Sie die Konformität mit ISO 27001 anstreben, sollte die ISO über entsprechende Dokumentationen und Checklisten verfügen (obwohl diese sehr mühsam durchzusehen sind).
Entschuldigen Sie, wenn das zu allgemein ist, ich hoffe, es hilft.
Antwort2
Die obige Antwort ist großartig, aber ich persönlich bevorzuge nur den CIS Debian Hardening Guide, der hier zu finden ist:http://benchmarks.cisecurity.org/en-us/?route=downloads.show.single.debian.100
Antwort3
Es gibt eine Reihe von Härtungsleitfäden, die verwendet werden. Der Industriestandard, auf den sich viele Frameworks, insbesondere PCI-DSS, stützen, sind die CIS-Benchmarks, die vom Center for Internet Security (CIS) herausgegeben werden. Die CIS-Richtlinien bieten nicht nur Anleitungen für Betriebssysteme wie Windows, Linux, AIX, sondern auch Härtungsrichtlinien für viele der von ihnen ausgeführten Dienste wie Apache, MySQL, Oracle, Weblogic, SQL Server, IIS usw. Kommerzielle Tools verwenden ihre Plug-Ins auch, wenn sie Schwachstellen- und Sicherheitsprüfungen mit Scanprodukten durchführen. Es gibt auch sicherheitsspezifische Elemente, die für verschiedene Aufgaben geladen werden können, wie z. B. IDS/IPS im Netzwerk oder HIDS auf dem Host. Installierte Tools zum Erkennen von Konfigurationen und nicht autorisierten Änderungen, zum Analysieren und Überprüfen von Protokollen auf ungewöhnliche Aktivitäten usw. Ich baue und härte seit über 20 Jahren Server. Wenn Sie also detailliertere Fragen haben, würde ich gerne versuchen, sie zu beantworten.