Task: IT-Grundschutz

Über den Greenbone Security Manager können automatische Prüfungen zu den IT-Grundschutz-Katalogen des Bundesamt für Sicherheit in der Informationstechnik (BSI) ausgeführt werden.

Unterstützt wird die aktuelle 12. Ergänzungslieferung mit Prüfungen für über 100 Maßnahmen. Das ist die maximale Zahl von Maßnahmen die sich überhaupt mit automatischen Test unterstützen lassen.

Einige Maßahmen sind recht umfangreich, so dass weitaus mehr als 100 Einzeltests pro System ausgeführt werden. Die Anzahl der geprüften Systeme spielt für den Greenbone Security Manager dabei keine Rolle.

Damit wird der Greenbone Security Manager zum schnellen Mitarbeiter bei der Durchführung eines IT-Grundschutz Audits und erlaubt überhaupt erst eine automatische Prüfung auf Verstöße als regelmäßiger Vorgang im Hintergrund.

Prüfung IT-Grundschutz

Dieses Beispiel führt eine einfache Prüfung gemäß der IT-Grundschutz-Kataloge durch.

1. Importieren Sie die Scan Configuration IT-Grundschutz Scan (12. EL)
   (veraltet: IT-Grundschutz Scan für 11. EL)

   

   Sie beinhaltet die Einstellungen um sämtliche Prüfungen auszuführen. Die eigentlichen Prüfungen sind nicht direkt einzeln ausgewählt sondern es wird ein Gesamtresultat erstellt.

   

2. Der größte Teil der Maßnahmenprüfungen basiert auf lokalen Sicherheitstests. Dafür muss ein entsprechender Zugang konfiguriert werden. Falls noch nicht geschehen, erstellen Sie dafür einen ensprechenden Anwender auf den Zielsystemen (je höher das Benutzer-Konto privilegiert ist, desto mehr Maßnahmen können geprüft werden).

   

3. Legen Sie die Zielsysteme (Targets) fest und verknüpfen Sie sie ggf. mit den eben erstellten Credentials.

   

4. Nun können Sie die Aufgabe (Task) erstellen. Dafür kombinieren Sie die oben importierte Scan Configuration mit den entsprechend erstellten Zielsystemen.

   

5. Die Prüfung wird gestartet in dem Sie für den eben erstellten Task auf klicken. Es kann einige Zeit dauern, bis der Scan abgeschlossen ist. Den aktuellen Stand des Scans erhalten Sie indem Sie auf klicken.

   

6. Sobald der Status auf "Done" wechselt, ist der vollständige Bericht verfügbar. Sie können aber auch schon während des Scans die bereits gefundenen Ergebnisse einsehen. Beachten Sie, dass für die Textform des Berichtes im Filter die Kategorie "Low" eingeschaltet werden muss.

   Mit der importierten Scan Configuration werden 2 Varianten des Ergebnisses erstellt: eine Übersicht in Textform (unter "general/IT-Grundschutz") und eine Tabelle für weitere Verarbeitung (unter "general/IT-Grundschutz-T"). Für letztere muss im Filter die Kategorie "Log" eingeschaltet werden.

   

   

Übernahme der Ergebnisse in eine Tabellenkalkulation

1. Wählen Sie entweder im Report-Filter oder in der Task-Übersicht das Download-Format "ITG". Hinweis: Bei Verwendung über den Report-Filter muss unbedingt die Kategorie "Log" aktiviert sein.

   

   Bei diesem Download werden die Tabellarischen Ergebnisse für sämtliche Zielsysteme automatisch herausgesucht und zusammengeführt.

2. Importieren Sie nun die ITG-Datei als sogennante CSV-Tabelle in Ihre Tabellenkalkulation.

   

   Obiges Beispiel zeigt den Import in OpenOffice 3.2. Beachten Sie insbesondere, dass Sie folgende Einstellungen vornehmen sofern nicht bereits vorausgewählt:

   • Zeichensatz: UTF-8
   • Trenner: Das "Pipe"-Symbol (senkrechter Strich)
   • Texttrenner: Das doppelte Anführungszeichen
   • Letzte Spalte vom Typ "Text"

3. Nun stehen die Ergebnisse in der Tabellenkalkulation zur Verfügung:

   

4. Daraus lassen sich je nach belieben einfache (wie im folgenden Screenshot) oder natürlich auch recht umfangreiche, individuelle Analysen oder Berichte gestalten.

   

Übernahme der Ergebnisse in IT-Grundschutz Tools

Es gibt eine Reihe von Anwendungen die dabei Helfen das Vorgehen gemäß IT Grundschutz zu strukturieren, zu erfassen und zu steuern.

Das Bundesamt für Sicherheit in der Informationstechnik bietet auf dessen Website eine Übersicht über IT-Grundschutz Tools an.

Für einen Import der Resultate des IT-Grundschutz-Scans in das jeweilige Tool kontaktieren Sie bitte den Hersteller des Tools und bei weitergehenden Fragen auch gerne den Support von Greenbone.

Ergebnis-Klassen der IT-Grundschutz Prüfung

Die folgenden Ergebnis-Klassen können bei der Prüfung entstehen:

• nicht erfüllt (FAIL): Für das Zielsystem wurde festgestellt, dass die Maßnahme nicht erfüllt ist.

• erfüllt (OK): Für das Zielsystem wurde festgestellt, dass die Maßnahme erfüllt ist.

• Fehler (ERR): Die Prüfroutine konnte nicht ordnungsgemäß ausgeführt werden. Z.B. benötigen die Prüfungen einiger Maßnahmen wie etwa M4.001 einen installierten Agenten auf den Zielsystemen. Ist der Agent nicht installiert, kann die Prüfung aus technischen Gründen nicht ausgeführt werden. Falls keine Credentials mitgegeben werden, dann werden recht viele Prüfungen diesen Status haben.

• Prüfung für diese Maßnahme ist nicht verfügbar (NI): Grundsätzlich wird davon ausgegangen, dass diese Maßnahme automatisiert prüfbar ist. Es ist jedoch noch keine Implementierung erfolgt. Bei neu erschienenen Ergänzungslieferungen gilt dies zunächst für eine Reihe von Maßnahmen. Der Greenbone Security Feed wird jedoch zügig aktualisiert bis diese Ergebnis-Klasse nicht mehr vorkommt.

• Prüfung dieser Maßnahme ist nicht implementierbar (NA): Eine Reihe von Maßnahmen der IT-Grundschutzkataloge sind zu allgemein gehalten um eine konkrete automatische Prüfung durchzuführen. Andere Maßnahmen beschreiben eine rein manuell machbare Prüfung und fallen damit ebenfalls in die Klasse der nicht implementierbaren Tests.

• Prüfung für das Zielsystem nicht passend (NS): Einige Maßnahmen beziehen sich ausschließlich auf einen konkreten Betriebssystem-Typ. Ist das Zielsystem ein anderes, so wird die Kennzeichnung NS gesetzt.

• Diese Maßnahme ist entfallen (DEP): Im Rahmen neuer Ergänzungslieferungen kommt es vor, dass einige Maßnahmen ersatzlos entfallen. Maßnahmen-Nummern werden dabei prinzipiell nicht neu vergeben. Mit DEP gekennzeichnete Einträge sind also nur der Vollständigkeit halber vorhanden und können ansonsten ignoriert werden.

Unterstützte Maßnahmen

Die Übersicht bezieht sich auf die 11. Ergänzungslieferung. Die Maßnahmen-Kennungen verweisen auf die auf den Webseiten des BSI angebotenen Detailinformationen.

Folgende Test-Typen werden unterschieden:

• Remote: Für Prüfung ist lediglich eine Netzwerkverbindung zum Zielsystem notwendig.

• Credentials: Für Prüfung ist ein Zugangskonto auf dem Zielsystem notwendig.

• Agent: Für Prüfung ist die Installation eines Agenten (SLAD oder WinSLAD) auf dem Zielsystem notwendig.