Mobile-Menu

Kernel-Härtung, Überwachung und Sandboxing erhöhen die Sicherheit So verbessern Sie die Sicherheit Ihrer Linux-Systeme

Von Thomas Joos 4 min Lesedauer

Anbieter zum Thema

Vogel IT-Medien GmbH
sysob IT-Distribution GmbH & Co. KG
FTAPI Software GmbH

Mit einigen wenigen Tricks können Admins die Sicherheit ihrer Linux-Computer verbessern. Neben dem Einsatz von SELinux empfiehlt sich eine Kombinationen aus Bordmitteln, Kernel-Härtung und praktischen Tools.

Im Fokus dieses Artikels steht die Verbesserung der Systemsicherheit von Linux und die Optimierung von dessen Security-Funktionen.(Bild: Antonio - stock.adobe.com)
Im Fokus dieses Artikels steht die Verbesserung der Systemsicherheit von Linux und die Optimierung von dessen Security-Funktionen.
(Bild: Antonio - stock.adobe.com)

Um Linux-Systeme effektiv abzusichern, empfiehlt sich die Kombination aus Bordmitteln und bewährten Zusatztools. Nachfolgend stellen wir spezifische Maßnahmen vor, die relevant für die Herausforderungen in 2024 sind.

Einsatz von Security-Enhanced Linux (SELinux)

Generell spielt SELinux auch in 2024 eine wesentliche Rolle, um das Betriebssystem so gut wie nur möglich vor Angreifern zu schützen. SELinux bietet eine zusätzliche Sicherheitsebene durch die Implementierung einer Mandatory Access Control (MAC) über die Standard Unix/Linux Discretionary Access Controls (DAC) hinaus. Durch die Konfiguration von SELinux-Policies lässt sich der Zugriff von Prozessen auf Dateien, Netzwerkports und andere Ressourcen feingranular steuern. Wichtig ist dabei:

  • Regelmäßiges Überprüfen der SELinux-Logs zur Identifizierung und Anpassung unerwünschter Policy-Verletzungen.
  • Einsatz von Tools wie semanage, setroubleshoot und audit2allow zur Verwaltung und Fehlerbehebung.
Bildergalerie

Absicherung mit Firewalld und nftables

Um Linux-Rechner richtig abzusichern ist der Weg über IPTables der am meisten verbreitete. Es gibt aber auch den Nachfolger Nftables. Um Firewalls auf Basis von IPTables oder Nftables zu verwalten, steht zum Beispiel das Tool firewalld zur Verfügung. Dieses Tool kann in zahlreichen Linux-Distributionen einheitlich für Sicherheit sorgen und dabei helfen IPTables und Nftables einfacher zu verwalten.

Die Kombination von firewalld und nftables bietet eine robuste Firewall-Lösung für Linux-Systeme. nftables ersetzt ältere Systeme wie iptables und bietet eine effizientere und benutzerfreundlichere Syntax für die Definition von Regeln. Ebenfalls wichtig dabei sind:

  • Organisation des Netzwerkverkehrs in Zonen und Zuweisung spezifischer Regeln, um den Schutz zu optimieren.
  • Für komplexe Szenarien direkt nftables verwenden, um präzise Kontrolle über den Datenverkehr zu erhalten.

Einsatz von Advanced Intrusion Detection System (AIDE)

AIDE ist ein Host-basiertes Intrusion Detection System (IDS), das Änderungen am System überwacht und dokumentiert. Es ist besonders nützlich, um unautorisierte Änderungen an Dateien, Verzeichnissen und Systemkonfigurationen zu erkennen. Das Tool erstellt eine Basislinie von Dateisystem-Daten, einschließlich Hashwerten und Berechtigungen, und vergleicht anschließend regelmäßig den aktuellen Zustand gegen diese Basislinie, um Abweichungen zu identifizieren.

Nach jedem gesicherten Update oder bewussten Änderung am System, sollte die AIDE-Basislinie aktualisiert werden, um Falschmeldungen zu vermeiden. Dies erfordert ein diszipliniertes Vorgehen bei der Pflege der Basislinie, um die Genauigkeit der Erkennung zu gewährleisten. Die Implementierung automatisierter AIDE-Scans, vorzugsweise außerhalb der Geschäftszeiten, minimiert die Performance-Auswirkungen auf das System. Zudem sollten Berichte automatisch generiert und an das Sicherheitsteam versendet werden, um eine schnelle Reaktion auf entdeckte Anomalien zu ermöglichen.

AIDE sollte nicht isoliert betrachtet werden. Eine Integration in bestehende Sicherheitsinfrastrukturen, wie SIEM-Systeme, ermöglicht eine umfassende Sicht auf Sicherheitsvorfälle und erleichtert die Korrelation von Ereignissen über verschiedene Systeme hinweg. Neben der Überwachung von Dateiintegrität ermöglicht AIDE auch die Definition spezifischer Regeln für das Monitoring von Zugriffsrechten, Inode-Attributen und mehr. Diese erweiterten Konfigurationen bieten tiefere Einblicke und verbessern die Erkennungsfähigkeiten von AIDE.

Durch die strategische Anwendung und Konfiguration von AIDE können Administratoren und Sicherheitsexperten ein hohes Maß an Überwachung und Reaktionsfähigkeit auf potenzielle Bedrohungen erreichen, was die Sicherheitspostur von Linux-Systemen erheblich stärkt.

Bildergalerie

Sicherung durch Kernel-Härtung

Die Härtung des Linux-Kernels reduziert die Angriffsfläche des Systems. Techniken und Tools wie grsecurity und PaX bieten Möglichkeiten zur Kernel-Härtung, sind jedoch teilweise in ihren Distributionen spezifisch. Wichtige Maßnahmen umfassen:

  • Anwendung von Kernel-Sicherheitspatches: Regelmäßiges Anwenden von Sicherheitsupdates und -patches für den Kernel.
  • Verwendung von Kernel-Härtungspatches: Einsatz von zusätzlichen Sicherheitspatches, die über die Standard-Distribution hinausgehen, um Schwachstellen zu minimieren.

Einsatz von Systemd-Sicherheitsfeatures

Systemd, das init-System und System- und Service-Manager für Linux, bietet verschiedene Mechanismen zur Verbesserung der Systemsicherheit:

  • Sandboxing von Diensten: Nutzung von systemd-Unit-File-Optionen, um den Zugriff von Diensten auf das Dateisystem, Netzwerk und andere Ressourcen einzuschränken.
  • PrivateTmp: Isolierung temporärer Dateien von Diensten, um die Auswirkungen von Sicherheitslücken zu minimieren.

Einsatz von Linux Security Modules (LSM): SELinux und AppArmor

Linux Security Modules (LSM) bieten einen flexiblen Rahmen für die Unterstützung verschiedener Sicherheitsmodelle. SELinux und AppArmor sind die prominentesten Beispiele, die bereits angesprochen wurden. Eine weiterführende Maßnahme ist die Feinabstimmung dieser Sicherheitsmodule. Neben dem erzwingenden Modus (Enforcing) und dem permissiven Modus (Permissive) kann der Modus "Disabled" vermieden werden, um Sicherheitsrichtlinien durchzusetzen. Mit iptables lässt sich Rate Limiting nutzen. Das kann bei Servern, die über das Internet erreicht werden können dabei helfen, DDoS-Angriffe zu mildern. Durch die Konfiguration von Rate-Limit-Regeln lässt sich die Anzahl der Verbindungen oder Pakete begrenzen, die von einer Quelle in einem bestimmten Zeitraum akzeptiert werden:

iptables -A INPUT -p tcp --dport 80 -m limit --limit 25/minute --limit-burst 100 -j ACCEPT

Diese Regel begrenzt neue Anfragen auf Port 80 auf 25 pro Minute nach einem initialen Burst von 100 Anfragen.

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung. Die Einwilligungserklärung bezieht sich u. a. auf die Zusendung von redaktionellen Newslettern per E-Mail und auf den Datenabgleich zu Marketingzwecken mit ausgewählten Werbepartnern (z. B. LinkedIn, Google, Meta).

Aufklappen für Details zu Ihrer Einwilligung

Einsatz von Linux-Kernel-Sicherheitsfeatures: Kernel Self Protection Project (KSPP)

Das Kernel Self Protection Project zielt darauf ab, den Linux-Kernel durch verschiedene Schutzmechanismen zu härten. Dazu gehören Techniken wie:

  • Strikte Kernel-Pointer-Validierung: Umsetzung von Compiler-basierten Sicherheitschecks, die sicherstellen, dass nur gültige Pointer dereferenziert werden.
  • Schutz vor Stack-Überläufen: Einsatz von Stack Canaries und anderen Mechanismen zur Erkennung und Verhinderung von Stack-Overflow-Angriffen.

Sicherung von Netzwerkdiensten durch Chroot-Umgebungen und Container

Die Isolierung von Netzwerkdiensten in Chroot-Umgebungen oder Containern wie Docker oder Podman kann die Sicherheit signifikant erhöhen:

  • Chroot für Dienste: Anwendung des Chroot-Befehls, um den Root-Verzeichnisbaum für kritische Dienste zu ändern und so das Risiko einer Systemkompromittierung zu verringern.
  • Containerisierung: Einsatz von Containertechnologien zur Isolation von Anwendungen und Diensten, was die Angriffsfläche reduziert und die Verwaltung von Sicherheitspatches vereinfacht.
Bildergalerie

Verwendung von Security Information and Event Management (SIEM)-Systemen

SIEM-Systeme ermöglichen eine zentrale Sammlung, Analyse und Korrelation von Sicherheitslogs aus verschiedenen Quellen innerhalb der IT-Infrastruktur. Dies unterstützt die frühzeitige Erkennung von Sicherheitsvorfällen und Bedrohungen:

  • Integration von Log-Daten: Konfiguration der Log-Übertragung von Linux-Servern zu einem SIEM-System, um eine umfassende Sicht auf sicherheitsrelevante Ereignisse zu erhalten.
  • Regelbasierte Analyse: Entwicklung und Implementierung von Analyse-Regeln, die auf spezifische Anzeichen von Kompromittierungen oder Angriffen innerhalb der gesammelten Daten hinweisen.

(ID:49996963)

Weiterführende Inhalte