https://wiki.ixheim.de/index.php?action=history&feed=atom&title=Rocky_Sicherheitsprofile
Rocky Sicherheitsprofile - Versionsgeschichte
2026-07-10T10:17:48Z
Versionsgeschichte dieser Seite in Xinux Wiki
MediaWiki 1.35.1
https://wiki.ixheim.de/index.php?title=Rocky_Sicherheitsprofile&diff=71856&oldid=prev
Thomas.will am 7. Juli 2026 um 11:58 Uhr
2026-07-07T11:58:35Z
<p></p>
<table class="diff diff-contentalign-left diff-editfont-monospace" data-mw="interface">
<col class="diff-marker" />
<col class="diff-content" />
<col class="diff-marker" />
<col class="diff-content" />
<tr class="diff-title" lang="de">
<td colspan="2" style="background-color: #fff; color: #202122; text-align: center;">← Nächstältere Version</td>
<td colspan="2" style="background-color: #fff; color: #202122; text-align: center;">Version vom 7. Juli 2026, 11:58 Uhr</td>
</tr><tr><td colspan="2" class="diff-lineno" id="mw-diff-left-l1" >Zeile 1:</td>
<td colspan="2" class="diff-lineno">Zeile 1:</td></tr>
<tr><td class='diff-marker'>−</td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #ffe49c; vertical-align: top; white-space: pre-wrap;"><div>== CIS Security Policy bei der Rocky-Linux-Installation ==</div></td><td class='diff-marker'>+</td><td style="color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #a3d3ff; vertical-align: top; white-space: pre-wrap;"><div><ins class="diffchange diffchange-inline">=</ins>== CIS Security Policy bei der Rocky-Linux-Installation <ins class="diffchange diffchange-inline">=</ins>==</div></td></tr>
<tr><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"></td><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"></td></tr>
<tr><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><div>Rocky Linux bietet im Anaconda-Installer unter '''SECURITY POLICY''' die Möglichkeit, CIS-Härtungsprofile (Center for Internet Security) direkt während der Installation via OpenSCAP anzuwenden. Die Profile stammen aus dem Paket <code>scap-security-guide</code>.</div></td><td class='diff-marker'> </td><td style="background-color: #f8f9fa; color: #202122; font-size: 88%; border-style: solid; border-width: 1px 1px 1px 4px; border-radius: 0.33em; border-color: #eaecf0; vertical-align: top; white-space: pre-wrap;"><div>Rocky Linux bietet im Anaconda-Installer unter '''SECURITY POLICY''' die Möglichkeit, CIS-Härtungsprofile (Center for Internet Security) direkt während der Installation via OpenSCAP anzuwenden. Die Profile stammen aus dem Paket <code>scap-security-guide</code>.</div></td></tr>
<!-- diff cache key my_wiki:diff::1.12:old-71855:rev-71856 -->
</table>
Thomas.will
https://wiki.ixheim.de/index.php?title=Rocky_Sicherheitsprofile&diff=71855&oldid=prev
Thomas.will: Die Seite wurde neu angelegt: „== CIS Security Policy bei der Rocky-Linux-Installation == Rocky Linux bietet im Anaconda-Installer unter '''SECURITY POLICY''' die Möglichkeit, CIS-Härtung…“
2026-07-07T11:58:23Z
<p>Die Seite wurde neu angelegt: „== CIS Security Policy bei der Rocky-Linux-Installation == Rocky Linux bietet im Anaconda-Installer unter '''SECURITY POLICY''' die Möglichkeit, CIS-Härtung…“</p>
<p><b>Neue Seite</b></p><div>== CIS Security Policy bei der Rocky-Linux-Installation ==<br />
<br />
Rocky Linux bietet im Anaconda-Installer unter '''SECURITY POLICY''' die Möglichkeit, CIS-Härtungsprofile (Center for Internet Security) direkt während der Installation via OpenSCAP anzuwenden. Die Profile stammen aus dem Paket <code>scap-security-guide</code>.<br />
<br />
=== Verfügbare CIS-Profile ===<br />
<br />
* <code>xccdf_org.ssgproject.content_profile_cis</code> – CIS Level 1 – Server<br />
* <code>xccdf_org.ssgproject.content_profile_cis_server_l2</code> – CIS Level 2 – Server<br />
* <code>xccdf_org.ssgproject.content_profile_cis_workstation_l1</code> – CIS Level 1 – Workstation<br />
* <code>xccdf_org.ssgproject.content_profile_cis_workstation_l2</code> – CIS Level 2 – Workstation<br />
<br />
'''Level 1''' = Baseline, praxistauglich, geringe Funktionseinschränkung.<br />
'''Level 2''' = "Defense in depth", deutlich restriktiver – hier treten die meisten Kompatibilitätsprobleme auf.<br />
<br />
=== Was CIS Level 1 (Server) konkret setzt ===<br />
<br />
* Erzwungenes Partitionsschema: separate <code>/tmp</code>, <code>/var</code>, <code>/var/tmp</code>, <code>/var/log</code>, <code>/var/log/audit</code>, <code>/home</code> – <code>/tmp</code> zusätzlich mit <code>nodev,nosuid,noexec</code><br />
* Deaktivierung nicht benötigter Filesystem-Kernel-Module (<code>cramfs</code>, <code>freevxfs</code>, <code>squashfs</code> u. a.)<br />
* Aktivierung von <code>auditd</code> mit CIS-konformem Regelsatz (Login/Logout, <code>sudo</code>-Nutzung, Änderungen an <code>/etc/passwd</code>, Zeitänderungen)<br />
* Passwort-Policy via <code>pwquality</code>: Mindestlänge 14, Komplexität erzwungen, Wiederholungssperre<br />
* SSH-Härtung: <code>PermitRootLogin no</code>, restriktive <code>Ciphers</code>/<code>MACs</code>, begrenzte <code>MaxAuthTries</code><br />
* Deaktivierung unsicherer Dienste, falls installiert (<code>telnet</code>, <code>rsh</code>, teils <code>nfs</code>)<br />
* <code>firewalld</code> muss aktiv sein (Voraussetzung, wird nicht automatisch installiert)<br />
<br />
=== Was CIS Level 2 zusätzlich macht ===<br />
<br />
* Weitere Kernel-Module deaktiviert, teils auch Netzwerktreiber-relevante Module<br />
* USB-Storage komplett blockiert (Modul-Blacklist für <code>usb-storage</code>)<br />
* Deutlich aggressivere Audit-Regeln → hohes Log-Volumen<br />
<br />
=== Typische Fehler im Kursumfeld (VirtualBox / it2XX-Setup) ===<br />
<br />
* '''Partitionierungskonflikt''' – CIS erzwingt ein eigenes Partitionsschema, das mit einem manuell geplanten Schema (z. B. ext4 ohne LVM vs. XFS+LVM) kollidiert<br />
* '''SSH-Verbindungsabbruch''' – restriktive Cipher-/MAC-Liste, ältere Clients (z. B. veraltete PuTTY-Versionen) scheitern am Verbindungsaufbau<br />
* '''<code>/var/log/audit</code> läuft voll''' – bei knapp bemessener VM-Disk füllt sich die Audit-Partition schnell; je nach <code>space_left_action</code> in <code>auditd.conf</code> kann das System sogar anhalten<br />
* '''<code>dnf</code>-Installationen brechen ab''' – bei aktivierten FIPS-nahen Vorgaben oder Paket-Signaturpflicht, relevant bei späterer Nachinstallation (z. B. Wazuh-Agent, Ansible-Rollen)<br />
<br />
=== Empfehlungen ===<br />
<br />
* Im Grundkurs (ns/www/ldap/client/fw) '''kein CIS-Profil aktivieren''' – manuelle Partitionierung bleibt didaktisch sauber und kollisionsfrei<br />
* Falls CIS als eigenständiges Compliance-Thema behandelt werden soll: separate VM verwenden, nur '''Level 1 – Server''', nicht Level 2<br />
* <code>/var/log/audit</code> bei aktiviertem Profil auf ein eigenes, ausreichend großes LV legen (mind. 2–4 GB)<br />
* Nach der Installation Compliance gezielt prüfen:<br />
<br />
<syntaxhighlight lang="bash"><br />
oscap xccdf eval \<br />
--profile xccdf_org.ssgproject.content_profile_cis \<br />
--results /root/cis-results-it2XX.xml \<br />
--report /root/cis-report-it2XX.html \<br />
/usr/share/xml/scap/ssg/content/ssg-rl9-ds.xml<br />
</syntaxhighlight><br />
<br />
* Bei SSH-Problemen nach Profilanwendung <code>sshd_config</code> gegenprüfen und Cipher-/MAC-Zeile bei Bedarf gezielt lockern (mit dem Hinweis, dass dies die Compliance bricht)<br />
<br />
=== Merksatz ===<br />
<br />
'''CIS-Profil = automatisierte Härtung zur Installationszeit → verändert Partitionierung, Passwortregeln, Dienste und Audit-Konfiguration. Level 1 = praxistauglich, Level 2 = restriktiv mit Kollisionsrisiko. Nicht mit manueller Partitionierung kombinieren, wenn diese Kursinhalt ist.'''</div>
Thomas.will