Host Hardening - administrator-tutorials

In der heutigen Zeit, in der Cyberbedrohungen ständig zunehmen, ist es unerlässlich, sicherzustellen, dass dein Linux-Server ausreichend geschützt ist. Eine der effektivsten Methoden zur Steigerung der Sicherheit deines Systems ist das sogenannte Host Hardening. Dabei handelt es sich um die Anwendung von Sicherheitsmaßnahmen, um den Angriffsspielraum auf einem Host zu minimieren. In diesem Blogbeitrag zeige ich dir, wie du deinen Linux-Server absichern kannst und welche Schritte dafür notwendig sind.

1. Minimalistisches Setup

Ein sicherer Server beginnt bei der Installation. Beim Installieren eines Linux-Servers solltest du stets eine minimalistische Konfiguration wählen. Je weniger Software installiert ist, desto kleiner ist die Angriffsfläche.

Tipp:

Installiere nur die Pakete, die du wirklich benötigst.
Entferne ungenutzte Dienste und Programme.
Setze auf Distributionen, die für den Servereinsatz optimiert sind, wie Ubuntu Server oder CentOS.

2. Benutzerrechte einschränken

Root-Zugriff sollte nur in Ausnahmefällen verwendet werden, da der Root-Benutzer Zugriff auf das gesamte System hat. Nutze stattdessen Benutzer mit eingeschränkten Rechten und setze Tools wie sudo, um bei Bedarf vorübergehende Root-Rechte zu gewähren.

Empfohlene Maßnahmen:

Erstelle Benutzerkonten für alle Admins.
Verwende starke Passwörter oder noch besser: SSH-Schlüssel.
Deaktiviere die direkte Anmeldung als Root über SSH (in der Datei /etc/ssh/sshd_config die Zeile PermitRootLogin no setzen).

3. SSH absichern

Da SSH oft der primäre Zugang zu einem Linux-Server ist, sollte dieser besonders gut geschützt werden. Hier einige Schritte, um SSH zu härten:

Konfigurationstipps:

Ändere den Standardport von 22 auf einen anderen, um einfache Scans zu erschweren (Ändere in /etc/ssh/sshd_config die Zeile Port 22).
Verwende Public-Key-Authentifizierung anstelle von Passwörtern, um Brute-Force-Angriffe zu erschweren.
Setze ein Rate-Limiting-Tool wie fail2ban ein, um wiederholte Login-Versuche zu blockieren.
Deaktiviere SSH-Version 1, indem du in der Konfigurationsdatei Protocol 2 verwendest.

4. Firewall einrichten

Eine gut konfigurierte Firewall kann unerwünschten Datenverkehr blockieren und deine Angriffsfläche erheblich reduzieren. Unter Linux bietet sich die Nutzung von iptables oder UFW (Uncomplicated Firewall) an, um Netzwerkschnittstellen zu schützen.

Schritte zur Konfiguration:

Installiere UFW (falls nicht vorhanden) mit sudo apt install ufw.
Konfiguriere grundlegende Regeln, z. B. nur SSH-Verbindungen zuzulassen:
sudo ufw allow ssh
Aktiviere die Firewall:
sudo ufw enable
Überprüfe den Status:
sudo ufw status

5. Security Patches und Updates

Regelmäßige Updates sind ein essenzieller Bestandteil des Host Hardenings. Sicherheitslücken in Softwarepaketen können durch Patches behoben werden. Ein veraltetes System stellt ein hohes Risiko dar.

Empfohlene Vorgehensweise:

Nutze ein Tool wie unattended-upgrades, um automatische Sicherheitsupdates zu aktivieren.
Überwache regelmäßig die Update-Logs, um sicherzustellen, dass alle sicherheitskritischen Patches eingespielt wurden.

Befehl zur Installation wichtiger Updates:
sudo apt update && sudo apt upgrade

6. Logging und Überwachung

Ein effektives Monitoring und Logging sind entscheidend, um ungewöhnliche Aktivitäten auf deinem Server frühzeitig zu erkennen.

Empfohlene Tools:

Syslog zur zentralen Protokollierung von Systemereignissen.
auditd zur Protokollierung sicherheitsrelevanter Systemereignisse.
fail2ban zur automatischen Erkennung und Blockierung von verdächtigen IP-Adressen.

Zusätzlich solltest du Tools wie Tripwire oder AIDE nutzen, um die Integrität deines Dateisystems zu überwachen und Änderungen sofort zu erkennen.

7. Dateisystem-Hardening

Ein weiterer wichtiger Schritt ist das Hardening des Dateisystems. Das Ziel hierbei ist, sensible Bereiche deines Systems nur den wirklich notwendigen Berechtigungen auszuliefern.

Empfohlene Maßnahmen:

Setze noexec, nodev und nosuid-Optionen für sensible Verzeichnisse wie /tmp und /var/tmp.
Nutze AppArmor oder SELinux, um sicherzustellen, dass Programme nur auf die Bereiche des Systems zugreifen, die sie wirklich benötigen.

Beispiel:
In /etc/fstab könntest du folgendes für /tmp setzen:

bashKopierenBearbeitentmpfs /tmp tmpfs defaults,noexec,nosuid 0 0

Fazit

Host Hardening ist kein einmaliger Vorgang, sondern ein kontinuierlicher Prozess. Indem du dein System von Anfang an sicher konfigurierst und regelmäßig pflegst, reduzierst du das Risiko eines Angriffs erheblich. Mit den in diesem Beitrag beschriebenen Maßnahmen legst du die Grundlagen für eine sichere Umgebung und schützt deinen Linux-Server vor vielen gängigen Bedrohungen.

Bleib wachsam, halte dein System aktuell und überlege stets, wie du es noch weiter absichern kannst.