TightGate-Pro

Dediziertes Remote-Controlled Browser System
zum Schutz vor Gefahren aus dem Internet

Automatisch generierter Auszug aus dem Administrationshandbuch

Datum: 11.04.2019

Herausgeber:

m-privacy GmbH

Technische Redaktion

Werner-Voß-Damm 62

12101 Berlin

Fon: +49 30 243423-34

support@m-privacy.de

www.help.m-privacy.de

Allgemeine Hinweise zu diesem Handbuch

Alle Materialien und Ausführungen wurden mit Sorgfalt erarbeitet und zusammengestellt. Den­noch sind Fehler nicht auszuschließen. Die m-privacy GmbH übernimmt keine Haftung für Schäden, die aus Unrichtigkeit einzelner Angaben entstehen.

Im Sinne einer raschen Orientierung und zur Vermeidung von Sicherheitsrisiken werden besonders wichtige Aspekte durch wiederkehrende Stichworte gekennzeichnet. Diese sind:

Hinweis
Unter diesem Stichwort werden nützliche Details zur rationellen Verwendung von TightGate-Pro er­läutert.

Achtung
Unter diesem Stichwort erfolgen Hinweise zur Problemvermeidung bzw. zur Vorbeugung von Betriebs­störungen bei TightGate-Pro.

Warnung
Unter diesem Stichwort erfolgen Hinweise auf mögliche Fehler bei der Konfiguration und Verwendung von TightGate-Pro, die weitreichende Sicherheitsrisiken bergen oder zu schwerwiegenden Betriebs­störungen führen können.

Inhaltsverzeichnis

Das Sicherheitskonzept

Einleitung
Der vorrangige Einsatzbereich der mp-Firewall ist die Sicherung der internen Arbeitsplätze gegenüber dem Internet.

Das Konzept
Das Konzept der mp-Firewall zur Erreichung eines hohen Sicherheitsniveaus basiert auf dem Zusammenspiel mehrerer Sicherheitskomponenten und Prinzipien, deren wichtigste im Folgenden kurz skizziert werden sollen:

Gehärtetes Server-Betriebssystem

Bereits bei der sorgfältigen Zusammenstellung der Software wurde die Auswahl auf notwendige Funktionalitäten und Dienste beschränkt

Die Auswahl fiel dabei bevorzugt auf Daemons, welche auf Sicherheit optimiert wurden

Der Kern des Linux-basierten Betriebssystems wurde um ein feingranulares Rechtemanagement erweitert. Das dabei eingesetzte RSBAC-System ist eines der weltweit anerkanntesten und umfangreichsten. Es folgt dem Generalized Framework for Access Control (GFAC)-Standard.

Die Kern-Sicherheitserweiterung PaX bietet generischen Schutz gegen die meisten Buffer-Overflow-basierten Angriffe.

Eine weitere Ergänzung des Kerns sorgt für eine zufällige Vergabe von Prozess-IDs – deren übliche Vorhersagbarkeit ermöglicht die Ausnutzung vieler Programmschwächen insbesondere bei Temporär-Dateien.

Alle quelloffenen Programme wurden mit sicherheitsoptimiertem Compiler neu übersetzt.

Abbildung organisatorischer und rechtlicher Vorgaben

Alle Daemons laufen mit angepassten RSBAC-Rollenrechten, welche u.a. für Netzwerkzugriffe nur positiv definierte Aktionen zulassen.

Die Administrationsrechte wurden in bereichsspezifische Rollen aufgeteilt – es gibt keinen allmächtigen Superuser mehr.

Lokale Firewall-Regeln verhindern IP-Spoofing, unerwünschte Verbindungsaufbauten und Sicherheitsrisiken durch vertauschte Netzwerkkabel.

Bereits implementierte zweckgebundene Rollen (z.B. Revision/DSB) erleichtern die Aufgabenerfüllung und setzen organisatorische und rechtliche Vorgaben verbindlich um. („Abbildung von Recht in Technik“). Ein Hilfsmenü erlaubt eine zielgerichtete Inspektion ohne viel Lernaufwand.

Revisionssichere Protokollierung aller sicherheitsrelevanten Änderungen von Systemeinstellungen.

Eingeschränkter Zugriff auf Backup-Daten und optionale Verschlüsselung des Backups, sobald es das gesicherte System verlässt.

Unterstützung von Log-Pseudonymisierung und (optional) externem Logserver.

Fazit: Durch die strikte Kapselung der ausführbaren Programme lässt sich auf der mp-Firewall im Allgemeinen ein höheres Sicherheitsniveau erreichen als es im internen Netz (Intranet) möglich ist.