Infrastruktur-Härtung
Sicher als Grundzustand – und das bleibt so.
Ein Bericht voller Befunde ändert von allein nichts. Härtung ist die Arbeit, die daraus eine Baseline macht, an der Ihre Systeme gemessen werden – als Code geschrieben, damit sie bei jeder Auslieferung erzwungen wird und nicht davon abhängt, wer gerade da war.
Das Problem
Konfiguration driftet zurück.
Im März härtet jemand einen Server. Im Juli braucht ein Vorfall eine schnelle Lösung, im September kopiert ein neuer Kollege eine alte Vorlage, und im Dezember steht die Maschine ungefähr da, wo sie angefangen hat. Niemand hat etwas falsch gemacht – die Baseline hatte nur keinen Ort zum Wohnen.
Die Lösung ist unspektakulär: den Sollzustand als Code beschreiben, ihn automatisch anwenden und die Abweichung sichtbar machen, sobald sie auftritt. Dann ist Härtung eine Eigenschaft des Systems und kein Ereignis in seiner Geschichte.
Erzwungen, nicht dokumentiert. Wenn eine Kontrolle nur als Absatz in einer Richtlinie existiert, gilt sie bis zum ersten Mal, dass jemand in Eile ist. Wir messen Härtung daran, ob eine abweichende Änderung abgelehnt wird – nicht daran, ob sie unerwünscht ist.
Umfang
Die Schichten, die wir durchgehen.
Von aussen nach innen. Jede Schicht hat einen definierten Sollzustand und einen Weg, ihn automatisch zu prüfen.
- Identitäten und ZugriffLeast Privilege in der Praxis: Rollenentwurf, Eintritt-Wechsel-Austritt, Notfallkonten und Mehrfaktor dort, wo es wirklich zählt.
- NetzsegmentierungErreichbarkeit auf das Nötige reduziert, geprüft durch das Testen der Pfade statt durch das Lesen des Regelwerks.
- Secrets-ManagementZugangsdaten raus aus Repositories und Umgebungsdateien, planmässig gewechselt, mit einem Verzeichnis dessen, was existiert.
- Patch- und Update-DisziplinEin Takt, der zu Ihrem Betrieb passt, plus ein Weg für den Notfall, der ohne Heldentaten auskommt.
- Protokollierung und ErkennungAbdeckung dort, wo sie zählt, Aufbewahrung, die eine Untersuchung übersteht, und Meldungen, die ein Mensch auch im sechsten Monat noch liest.
- Sicherung und WiederherstellungGeprüftes Zurückspielen, nicht bloss erfolgreiche Sicherungen. Den Unterschied merkt man im denkbar schlechtesten Moment.
Ablauf
Vom Befund zur erzwungenen Baseline.
Sollzustand festlegen
Baseline wählen, an Ihre Wirklichkeit anpassen und jede bewusste Ausnahme mit Begründung und verantwortlicher Person aufschreiben.
In Code fassen
Den Sollzustand in Infrastruktur- und Konfigurationscode beschreiben, in Ihrer bestehenden Werkzeugkette statt in einer neuen.
In Wellen ausrollen
Erst ausserhalb der Produktion, dann in Stufen produktiv, jede mit Rückweg. Härtung, die den Betrieb lahmlegt, überlebt nicht.
Ehrlich halten
Laufende Prüfung gegen die Baseline, Abweichung melden, sobald sie auftritt, und die Ausnahmeliste vierteljährlich durchgehen.
Ergebnisse
Was am Ende auf dem Tisch liegt.
Baseline als Code
In Ihrem Repository, in Ihrer Auslieferungsstrecke, prüfbar und umkehrbar wie jede andere Änderung.
Abgleichbericht
Ein automatischer Bericht darüber, wo die Wirklichkeit der Baseline entspricht und wo nicht – jederzeit ausführbar.
Ausnahmeverzeichnis
Jede akzeptierte Abweichung mit Begründung, verantwortlicher Person und dem Datum der nächsten Durchsicht.
Einen Bericht und keinen Plan?
Schicken Sie uns die Befunde – unsere oder fremde. Wir sagen Ihnen, welche davon eine Konfigurationsänderung sind, welche ein Projekt und welche den Aufwand nicht wert sind.