TC Blog » IT-Grundschutz

M 4.286 Verwendung der Softwareeinschränkungsrichtlinie unter Windows Server 2003

Simon Bieber — Tue, 20 Jul 2010 08:20:03 +0000

Im Kundenumfeld bekommt man immer wieder mit, dass die Umsetzung dieser Maßnahme auf wehemente Gegenwehr stößt. Aussagen wie “Es gibt andere Tools die das weitaus besser können / nicht so einfach umgangen werden können” und “Das Bringt doch sowieso nichts” sind des öfteren zu hören. Doch gerade dem Argument in der letzteren Aussage kann mit diesem Beispiel der Wind aus den Segeln genommen werden:

Die aktuelle Windows-Schwachstelle, bei der sich über .LNK-Dateien Schadcode aus DLL-Dateien beim Laden der Icons nachladen lässt, kann u. A. mit Hilfe einer Softwareeinschränkungsrichtlinie eingedämmt werden. Eine Anleitung dazu gibt es hier.

Was man mit Softwareeinschränkungsrichtlinien noch so alles treiben kann beschreibt der Autor ebenfalls in mehreren Artikeln. Will man ein paar Basics, dann kann man aber auch hier nachsehen

/sb

Neues Jahr – neuer Grundschutz

sfritsch — Fri, 05 Feb 2010 15:23:20 +0000

Vor einigen Tagen hat das BSI die neuen Grundschutzkataloge veröffentlicht, also die Version 2009 (mit Bezug auf den Erstellungszeitraum). Wir freuen uns der Grundschutz-Community wie schon im letzten Jahr einen Vergleich aller Änderungen bereitstellen zu können.

Das Archiv befindet sich auf unserem Webserver und enthält alle Maßnahmen als PDF Dokumente, sortiert nach den üblichen Schichten des IT-Grundschutz. Alle Änderungen zur vorherigen Version 2008 sind mit Änderungsmarkierungen hervorgehoben.

Wir danken dem BSI für die Erlaubnis die Daten bereitstellen zu dürfen und wünschen allen Anwendern viel Spaß beim Lesen nach Änderungen.

Update 09.03.: Wir haben eine neue Version des GSK-Vergleichs bereitgestellt, dieser beinhaltet jetzt auch den Vergleich der Baustein-Übersichten.

Update 14.04.: Noch einmal wurde der GSK-Vergleich verbessert.

Update 12.05.: Leider stolpert der Batchjob bei der Verarbeitung ab und zu. Dadurch können leere Änderungsmarkierungen vorkommen (vielen Dank für das Feedback). Wir haben versucht diesen Fehler weitestgehend zu behebn. Vereinzelt kann es aber noch vorkommen.

/sf

M 4.64 Verifizieren der zu übertragenden Daten vor Weitergabe / Beseitigung von Restinformationen

Simon Bieber — Wed, 25 Nov 2009 15:58:44 +0000

Ein Artikel auf Heise hat mir gestern die oben genannte Maßnahme ins Gedächtnis gerufen. Grund war die ungewollte Preisgabe von Informationen in PDF-Dokumenten. Aber nicht nur in PDF-Dokumenten stecken manchmal mehr oder weniger sensible Informationen, die im Falle einer Weitergabe eigentlich nicht für den Empfänger bestimmt sind – auch Dateien, die mit Office erstellt wurden, geben manchmal mehr Preis, als dem Verfasser lieb ist. Abhilfe könnte im hier wohl ein Office-Add-In schaffen. Aber die Maßnahme gibt noch mehr her…

Zurück zum Artikel auf heise. Neugierig habe ich das dort Beschriebene ausprobiert: mit dem IE eine Seite als PDF-Dokument drucken. Zuvor noch die Kopf- und Fußzeile angepasst, sodass die URL verschwindet (ja ich weis, das war nicht erwähnt) und siehe da: Entgegen der Behauptung des Autors ist der Pfad nicht im Dokument aufgetaucht (zum Einsatz kamen IE 8 und FreePDF XP). Ich frage mich, wie der Autor darauf kam… Schuld daran könnte der von ihm verwendete PDF-Drucker gewesen sein, who knows

/sb

M 4.93 Regelmäßige Integritätsprüfung

Simon Bieber — Wed, 30 Sep 2009 10:34:24 +0000

Nagios übernimmt Grundschutzaufgaben?
Ich bin bei einer Recherche auf einen interessanten Wiki-Eintrag im deutschen Nagios-Wiki gestoßen. Ingo von Itter beschreibt in seinem Bericht über “Datei Integrationscheck unter Windows” (neben dem Textzitat aus der Maßnahme 4.93), wie er auf einem Windows-System mit Nagios eine Integritätsprüfung anstößt und Auswertungen vornimmt. Dazu bedient er sich dem in der Maßnahme beschriebenen Microsoft-Tool File Checksum Integrity Verifyer oder kurz: FCIV. Ich möchte hier nicht nähers auf das Tool eingehen, jeder der die Maßnahme gelesen hat weiß, was es damit auf sich hat.

Doch was ist jetzt so besonders daran? Ganz einfach: viele Unternehmen setzen zur Maßnahmenumsetzung mehr oder weniger kostspielige Software für die Integritätsprüfung ein. Warum nicht also auf das Kommandozeilen-Tool der Redmonder zurückgreifen (kostenlos) und mit ein paar Tweaks den Funktionsumfang (vor allem Alerting) erweitern? Wenn man sowieso eine Überwachungsinstanz (Nagios) am Laufen hat, ist das im Handumdrehen gemacht. Ich hätte früher darauf kommen sollen – wir setzen selbst zur Überwachung unter anderem Nagios ein und sind stetig dabei, die Überwachung der IT-Landschaft zu verbessern.
Die Eigenschaft des FCIV-Tools, es für Scripte zu verwenden, wurde sich hier zu Nutze gemacht. In der Anleitung sind die dazu benötigten Scripte aufgeführt. Alles was Nagios hierbei macht ist: Start des Scripts zum Checksummenvergleich. Als Rückgabewert erhält Nagios dafür die von ihm benötigten Rückgabewerte des Scripts: entweder ein “OK” oder eben ein “Critical”, was wiederum bei entsprechender Konfiguration Nagios dazu veranlasst seinen Admin zu kontaktieren und ihn darüber in Kenntnis zu setzen. Hier nochmal ein Ablaufschaubild

: Schaubild Integritätscheck mit Nagios

An dieser Stelle sei noch einmal gesagt, dass dies nicht die einzige Möglichkeit darstellt, um regelmäßige Integritätsüberprüfungen durchzuführen, aber eine für den Anfang ausreichende.

/sb