Linux härten: Updates, Rechte und Lynis

Kurz: Härten heißt, ein System so einzurichten, dass es möglichst wenig Angriffsfläche bietet. Die Grundlagen sind überraschend einfach: aktuell halten, wenig Dienste, wenig Rechte, gute Anmeldung.

Die Checkliste

1. Updates automatisch: Sicherheitsupdates regelmäßig einspielen (unattended-upgrades bei Debian/Ubuntu, dnf-automatic bei Fedora/RHEL), siehe Paketverwaltung unter Linux im Überblick.
2. Nur nötige Dienste: systemctl list-unit-files --state=enabled, Überflüssiges abschalten (systemd und Init-Systeme).
3. Firewall: standardmäßig alles blockieren, nur Nötiges öffnen (Firewall unter Linux: nftables, ufw und firewalld).
4. SSH absichern: Schlüssel statt Passwort, Root-Login aus, siehe SSH unter Linux: Schlüssel und Absicherung.
5. Wenig Rechte: normale Benutzer, sudo nur wo nötig, Dienste mit eigenem Benutzer (Benutzer, Gruppen und Dateirechte unter Linux).
6. Mandatory Access Control: SELinux und AppArmor eingeschaltet lassen.
7. Verschlüsselung: Platte mit LUKS (Partitionen, LVM und Verschlüsselung (LUKS)), Verkehr mit HTTPS.
8. Brute-Force bremsen: fail2ban sperrt Adressen nach vielen Fehlversuchen.
9. Protokolle ansehen: Logs und Zeitsteuerung: journald, rsyslog, cron und Timer.
10. Backups testen (Backups unter Linux: rsync, restic und Timeshift).

Lynis

lynis audit system prüft das System und liefert eine Liste mit Warnungen und Vorschlägen und einen Härtungs-Index. Nicht blind jeden Vorschlag umsetzen, aber als Merkliste sehr nützlich.

Haltung

Sicherheit ist Daueraufgabe, kein Zustand. Jede zusätzliche Software ist mehr Angriffsfläche, jedes Geheimnis im Klartext ein Risiko.

Siehe auch: Linux im Rechenzentrum: RHEL, Ubuntu LTS und Debian