Härtung
Jeder Vorfall wird zu einer Regel, die danach überall gilt.
Für jeden Container, den wir selbst betreiben, gilt dieselbe Härtungs-Baseline: unveränderbares Dateisystem, keine Rechte-Eskalation, kein Root-Betrieb, gedeckelte Ressourcen. Entstanden aus einem realen Vorfall. Seitdem läuft der typische Angriff ins Leere.
backupalle Kundensysteme gestartet
backupabgeschlossen · Integrität geprüft
diskSpeicher 82 % · beobachtet
tls2 Zertifikate erneuert
restoreProbe-Wiederherstellung bestanden
vorfälleheute: 0
Was die Baseline festlegt
Ein Container, der wenig darf.
Das Dateisystem ist unveränderbar: Die Anwendung kann sich nichts Fremdes dazwischen schreiben. Die wenigen Pfade, in die sie schreiben muss, sind so gesetzt, dass dort nichts ausgeführt werden kann. Das nimmt der häufigsten Angriffsform den Boden, denn die will etwas ablegen und dann starten.
Dazu läuft keine Anwendung als Root, keine kann sich zusätzliche Rechte holen, und Speicher wie Prozesszahl sind gedeckelt. Ein Prozess, der Amok läuft, wird für sich gestoppt, statt den ganzen Host mitzureißen und fremde Dienste daneben zu treffen.
Aus einem Vorfall wurde eine Prüfregel
Genau dieser Angriff läuft jetzt überall ins Leere.
Auf einem System, das wir betreiben, nutzte ein Angreifer eine Lücke, schrieb sich einen fremden Prozess in einen beschreibbaren Pfad und startete ihn. Ein unveränderbares Dateisystem und ein Schreibpfad, auf dem nichts ausgeführt werden kann, hätten das im Ansatz verhindert.
Daraus wurde nicht nur ein Fix an dieser einen Stelle. Daraus wurde die Baseline, die seitdem auf jedem Container gilt, den wir betreiben. Genau dieser Angriff läuft jetzt überall ins Leere.
Spuren bleiben lesbar
Zugriffs-Protokolle als Grundlage.
Über die Flotte laufen die Zugriffs-Protokolle der Eingangs-Router mit. Wenn wir einer Auffälligkeit nachgehen, sehen wir, was angeklopft hat und wann. Das ist die Grundlage, um einen Weg nachzuvollziehen, statt im Dunkeln zu raten.
Was Sie davon haben
- Selbst wenn eine Anwendung eine Lücke hat, findet der typische Angriff keinen Boden, auf dem er sich einnisten kann.
- Ein Prozess, der Amok läuft, wird für sich gestoppt und reißt nicht die Dienste daneben mit.
- Die Härtung gilt überall gleich, nicht nur dort, wo gerade jemand daran gedacht hat.
- Wenn doch etwas passiert, sind die Spuren lesbar, statt sich im Nachhinein rekonstruieren zu müssen.