<!-- CVS revision of original english document "1.7" -->

<chapt id="automatic-harden">Automatisches Abhärten von Debian-Systemen

<p>Nachdem Sie nun all die Informationen aus den vorherigen Kapiteln
gelesen haben, fragen Sie sich vielleicht: "Ich habe sehr viele Dinge zu
erledigen, um mein System abzusichern. Könnte man das nicht
automatisieren?" Die Antwort lautet: "Ja, aber seien Sie vorsichtig mit
automatischen Werkzeugen." Manche Leute denken, dass ein Absicherungswerkzeug
nicht die Notwendigkeit einer guten Systemadministration abschafft.
Täuschen Sie sich also nicht selbst, indem Sie denken, dass Sie all
die Prozesse automatisieren könnten, und sich alle betreffenden
Angelegenheiten von selbst erledigen würden. Sicherheit ist ein
andauernder Prozess, an dem der Administrator teilnehmen muss. Er kann nicht
einfach wegbleiben und irgendwelche Werkzeuge die Arbeit erledigen lassen, weil
kein einzelnes Werkzeug die Umsetzung aller Sicherheitsrichtlinien, aller
Angriffe oder aller Umgebungen
bewältigen kann.

<p>Seit Woody (Debian 3.0) gibt es zwei unterschiedliche Pakete, die
zur Erhöhung der Sicherheit nützlich sind. Das Paket
<package>harden</package> versucht auf Basis der
Paket-Abhängigkeiten schnell, wertvolle Sicherheitspakete zu
installieren und Pakete mit Mängeln zu entfernen. Die Konfiguration
der Pakete muss der Administrator erledigen. Das Paket
<package>bastille</package> implementiert gegebene Sicherheitsregeln
für das lokale System, die auf einer vorhergehenden
Konfiguration durch den Administrator  basieren (Sie können auch mit einfachen
Ja/Nein-Fragen durch die Konfiguration geführt werden).


<sect>Harden

<p>Das Paket <package>harden</package> versucht es einfacher zu machen,
Rechner, die gute Sicherheit benötigen, zu installieren und zu
administrieren. Dieses Paket sollte von Leuten benutzt werden, die eine
schnelle Hilfe bei der Erhöhung der Systemsicherheit haben wollen. <!-- Hierzu
entfernt es Pakete mit bekannten Mängeln, einschließlich (aber
nicht beschränkt auf): Paketen mit bekannten Sicherheitsfehlern (zum
Beispiel Pufferüberläufe), Paketen die
Klartext-Passwörter verwenden, fehlende Zugangskontrollen, usw. --> Es
installiert <!-- außerdem --> automatisch einige Werkzeuge, die die Sicherheit auf
unterschiedliche Art und Weise erhöhen: Werkzeuge zur
Eindringlingserkennung, Werkzeuge zur Sicherheitsanalyse und mehr. <package>harden</package>
installiert die folgenden <em>virtuellen</em> Pakete (d.h. sie enthalten
nichts, hängen aber von anderen Paketen ab oder empfehlen diese):

<list>

<item><package>harden-tools</package>: Werkzeuge, die die Sicherheit des
Systems erhöhen (Integritätsprüfung, Eindringlingserkennung, Kernel-Patches, ...)

<item><package>harden-environment</package>: Hilft eine abgesicherte
Umgebung zu konfigurieren (derzeit leer)

<item><package>harden-servers</package>: entfernt Server, die aus
irgendeinem Grund als unsicher gelten

<item><package>harden-clients</package>: entfernt Clients, die aus
irgendeinem Grund als unsicher gelten

<item><package>harden-remoteaudit</package>: Werkzeuge, um Systeme aus der
Ferne zu überprüfen.

<item><package>harden-nids</package>: hilft bei der Installation eines Systems
zur Entdeckung von Netzwerkeindringlingen.

<item><package>harden-surveillance</package>: hilft bei der Installation von
Werkzeugen zum Überwachen von Netzwerken und Diensten.

</list>

Nützliche Pakete, für die keine Abhängigkeit besteht:

<list>

<item><package>harden-doc</package>: Stellt dieses und andere
sicherheitsrelevante Dokumente zur Verfügung.

<item><package>harden-development</package>: Entwicklungswerkzeuge, um
sicherere Programme zu erstellen.

</list>

<p>Seien Sie vorsichtig, wenn Sie Software installiert haben, die Sie
brauchen (und aus bestimmten Gründen nicht deinstallieren
wollen), und die aufgrund eines Konflikts mit einem der oben
aufgeführten Pakete nicht installiert werden kann. In diesem Fall
können Sie <package>harden</package> nicht vollständig nutzen.

<p>Die harden Pakete machen eigentlich gar nichts. Zumindest nicht
unmittelbar. Sie haben jedoch absichtliche Paketkonflikte mit bekannten,
unsicheren Paketen. Auf diese Art wird die Paketverwaltung von Debian
die Installation dieser Paketen nicht erlauben. Wenn Sie zum Beispiel
bei installiertem <package>harden-servers</package>-Paket versuchen, einen
telnet-Daemon zu installieren, wird Ihnen <package>apt</package> Folgendes
sagen:

<example>
# apt-get install telnetd 
Die folgenden Pakete werden ENTFERNT:
  harden-servers
Die folgenden NEUEN Pakete werden installiert:
  telnetd 
Möchten Sie fortfahren? [J/n]
</example>

<p>Dies sollte im Kopf des Administrators eine Alarmglocke auslösen,
der sein Vorgehen überdenken sollte.


<sect>Bastille Linux

<p><url name="Bastille Linux" id="http://www.bastille-unix.org"> ist ein
Werkzeug zur
automatischen Abhärtung, das ursprünglich für die Linux-Distributionen
Red Hat und Mandrake gedacht war. Wie auch immer: Das
Paket <package>bastille</package> aus Debian (seit Woody) ist durch Patches
angepasst, um dieselbe Funktionalität unter Debian GNU/Linux
Systemen zur Verfügung zu stellen.

<p>Bastille kann mit verschiedenen Oberflächen bedient werden (alle sind in
ihrem eigenen Handbuch dokumentiert), die dem Administrator erlauben:

<list>

<item>Schritt für Schritt Fragen zur erwünschten Sicherheit
Ihres Systems zu beantworten (siehe <manref name="InteractiveBastille"
section="8">),

<item>Standardeinstellungen zur Sicherheit (zwischen locker, moderat und
paranoid) für eine bestimmte Einrichtung (Server oder Arbeitsplatz-Rechner) zu
benutzen, und Bastille entscheiden zu lassen, welche
Sicherheitsregelungen eingeführt werden sollen (siehe <manref
name="BastilleChooser" section="8">),

<item>eine vorgefertigte Konfigurationsdatei (von Bastille oder vom
Administrator) zu nehmen und eine vorgegebene
Sicherheitsregelung zu benutzen (siehe <manref name="AutomatedBastille"
section="8">).

</list>

