Thomas.will: Die Seite wurde neu angelegt: „= Linux Sicherheit - Systemhärtung = *Die Systemhärtung (Hardening) umfasst alle Maßnahmen, die ein Linux-System auf das notwendige Minimum reduzieren und s…“

2025-11-11T18:41:36Z

Die Seite wurde neu angelegt: „= Linux Sicherheit - Systemhärtung = *Die Systemhärtung (Hardening) umfasst alle Maßnahmen, die ein Linux-System auf das notwendige Minimum reduzieren und s…“

Neue Seite

= Linux Sicherheit - Systemhärtung =
*Die Systemhärtung (Hardening) umfasst alle Maßnahmen, die ein Linux-System auf das notwendige Minimum reduzieren und seine Angriffsfläche minimieren. Ziel ist ein stabiler, wartbarer und sicher konfigurierter Zustand mit klar kontrollierten Schnittstellen.*

= Grundlagen =
:*Systemhärtung bedeutet, alle nicht benötigten Dienste, Benutzer, Ports und Funktionen zu entfernen oder zu deaktivieren.
:*Jede installierte Software und jeder offene Port ist potenziell ein Risiko.
:*Ein gehärtetes System folgt dem Prinzip: „Alles ist verboten, was nicht ausdrücklich erlaubt ist.“

= Paketverwaltung und Systembasis =
*apt update && apt upgrade -y
*dnf update -y
*zypper update -y
:*System stets aktuell halten, insbesondere Kernel- und Sicherheitsupdates.
:*Nur benötigte Pakete installieren – jede zusätzliche Software erhöht die Angriffsfläche.
*apt autoremove --purge -y
*dnf remove --noautoremove <paketname>
:*Entferne Entwicklungs- und Debugtools, wenn nicht erforderlich.

= Benutzer- und Rechtehärtung =
:*Nur dedizierte Benutzerkonten, keine gemeinsamen Logins.
:*Root-Login über SSH deaktivieren:
<pre>
PermitRootLogin no
</pre>
:*Sudo nur gezielt freigeben:
*visudo
*sudo -l
:*Home-Verzeichnisse mit restriktiven Rechten (700) konfigurieren.
:*Unnötige Systemkonten sperren:
*passwd -l daemon
*usermod -s /usr/sbin/nologin nobody

= Dienstekontrolle und Minimierung =
*systemctl list-unit-files --type=service
*systemctl disable --now avahi-daemon
*systemctl disable --now cups
*systemctl disable --now bluetooth
:*Nur benötigte Dienste aktivieren.
:*Netzwerkdienste wie Telnet, FTP oder rsh sind veraltet und unsicher – entfernen.
:*Anstatt von FTP → sftp oder scp.
:*Für Administration SSH mit Key-Authentifizierung einsetzen.

= Kernel- und Netzwerkschutz =
*sysctl -a | grep net.ipv4
:*Einstellungen in /etc/sysctl.conf oder /etc/sysctl.d/hardening.conf:
<pre>
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.conf.all.accept_redirects = 0
net.ipv4.conf.all.send_redirects = 0
net.ipv4.conf.all.rp_filter = 1
net.ipv4.tcp_syncookies = 1
net.ipv6.conf.all.accept_redirects = 0
</pre>
*sysctl -p
:*Redirects, Source Routing und ICMP-Broadcasts deaktivieren.
:*TCP-SYN-Cookies aktivieren schützt vor DoS-SYN-Floods.

= Dateisystem-Härtung =
:*Separate Partitionen für /boot, /var, /tmp und /home mit restriktiven Mount-Optionen.
:/etc/fstab:
<pre>
/tmp tmpfs defaults,noexec,nosuid,nodev 0 0
/var ext4 defaults,relatime,nodev 0 2
</pre>
:*Mit „noexec“ wird die Ausführung von Binärdateien in /tmp verhindert.
:*Mit „nosuid“ und „nodev“ werden SUID-Bits und Gerätedateien blockiert.
:*Optional: Dateisysteme mit Integrity-Unterstützung (z. B. dm-verity) nutzen.

= Logging und Überwachung =
*journalctl -p 3 -xb
*journalctl -u ssh
*ausearch -m USER_LOGIN
*last
:*Sicherheitsrelevante Logs zentralisieren (z. B. mit rsyslog, syslog-ng oder journald-Forwarding).
:*Regelmäßige Auswertung ist Pflicht, nicht optional.
:*Integritätsprüfungen mit aide oder tripwire regelmäßig durchführen.

= Kernelmodule und Laufzeitüberwachung =
*lsmod
*modprobe -r <modulname>
*echo "install usb-storage /bin/true" >> /etc/modprobe.d/blacklist.conf
:*Nicht benötigte Kernelmodule deaktivieren oder blockieren.
:*Blacklisting sensibler Module wie FireWire, USB-Speicher, Bluetooth etc.
:*Kernel selbst regelmäßig auf CVEs prüfen:
*uname -r
*apt list --upgradable | grep linux-image

= SSH-Härtung =
*vi /etc/ssh/sshd_config
<pre>
PermitRootLogin no
PasswordAuthentication no
PubkeyAuthentication yes
MaxAuthTries 3
LoginGraceTime 30
AllowUsers admin backup
</pre>
*systemctl restart ssh
:*Passwortlogin ausschalten, nur Key-Authentifizierung.
:*MaxAuthTries begrenzen, um Brute-Force-Angriffe zu verhindern.

= Zeit- und Integritätssicherung =
*apt install ntp -y
*systemctl enable --now ntp
:*Systemzeit synchron halten (NTP/PTP), da Logs sonst unglaubwürdig werden.
:*Integritätsprüfungen mit aide:
*aideinit
*aide --check
:*Änderungen in Systemdateien frühzeitig erkennen.

= Boot- und BIOS-Sicherheit =
:*Grub mit Passwort schützen:
*grub-mkpasswd-pbkdf2
:*Eintrag in /etc/grub.d/40_custom:
<pre>
set superusers="admin"
password_pbkdf2 admin <HASH>
</pre>
*update-grub
:*Bootreihenfolge im BIOS sperren, Secure Boot aktivieren.
:*USB-Boot deaktivieren, falls physischer Zugriff möglich.

= Firewall-Basisregeln =
*apt install nftables -y
*systemctl enable --now nftables
*vi /etc/nftables.conf
<pre>
table inet filter {
chain input {
type filter hook input priority 0;
policy drop;
ct state established,related accept
iif lo accept
tcp dport {22,443} accept
}
}
</pre>
*systemctl reload nftables
:*Standardregel: Alles blocken, nur explizit benötigte Ports erlauben.

= Automatisierung und Compliance =
:*Härtungsrichtlinien nach Standards prüfen:
:*CIS Benchmark, BSI Grundschutz, DISA STIG.
:*Tools: Lynis, OpenSCAP, Tiger.
*lynis audit system
*oscap xccdf eval --profile xccdf_org.ssgproject.content_profile_standard /usr/share/xml/scap/ssg/content/ssg-debian12-ds.xml
:*Ergebnisse dokumentieren und regelmäßig reviewen.

= Quick Checklist =
:*Alle ungenutzten Dienste und Ports deaktivieren.
:*SSH-Zugang nur mit Keys, Root-Login sperren.
:*noexec/nosuid/nodev auf /tmp, /var/tmp, /home aktivieren.
:*Regelmäßige Updates einspielen.
:*sudo restriktiv konfigurieren.
:*Integrität (AIDE) regelmäßig prüfen.
:*Firewall aktiv und Logging eingeschaltet.
:*Kernelparameter gemäß Hardening-Guide setzen.
:*Systemhärtung regelmäßig überprüfen und dokumentieren.

= Zusammenfassung =
:*Systemhärtung ist kein einmaliger Vorgang, sondern ein kontinuierlicher Prozess.
:*Jede installierte Komponente ist potenziell ein Risiko.
:*Durch gezieltes Deaktivieren, Isolieren und Protokollieren lässt sich ein Linux-System effektiv absichern.
:*Ziel: M*

Linux Sicherheit - Systemhärtung - Versionsgeschichte

Thomas.will: Die Seite wurde neu angelegt: „= Linux Sicherheit - Systemhärtung = *Die Systemhärtung (Hardening) umfasst alle Maßnahmen, die ein Linux-System auf das notwendige Minimum reduzieren und s…“