Systemsicherheit implementieren

Ein frisch installiertes Betriebssystem ist auf Bequemlichkeit, nicht auf Sicherheit eingestellt. In diesem Modul analysierst du Windows- und Linux-Systeme auf Schwachstellen und härtest sie nach anerkannten Vorlagen. Du setzt Updates kontrolliert durch, trennst administrative Rechte sauber, verschlüsselst Datenträger und schützt Anmeldungen. Zum Schluss sorgst du dafür, dass sicherheitsrelevante Ereignisse protokolliert und ausgewertet werden, damit ein Angriff nicht unbemerkt bleibt.

Das sind die Fähigkeiten, die am Ende des Moduls sitzen sollten. Jedes Ziel mit einem Beispiel aus dem Lehrbetrieb.

1. 1

   Systeme auf Schwachstellen und Fehlkonfigurationen prüfen

   Kompetenz A

   Du findest mit Scannern und Prüfskripten heraus, wo ein System angreifbar ist: fehlende Patches, unsichere Dienste, schwache Einstellungen. Die Funde bewertest du nach Schweregrad und Ausnutzbarkeit, statt einfach alles als dringend zu melden.

   Situation

   Eine Gemeinde betreibt 18 Windows-Server und 4 Linux-Server. Seit dem letzten Audit vor zwei Jahren wurde nichts überprüft.

   Deine Aufgabe

   Führe einen Schwachstellenscan durch und priorisiere die Ergebnisse.

   Gutes Ergebnis

   Greenbone-Scan mit authentifiziertem Zugang: 6 kritische, 23 hohe Funde. Top 3: SMBv1 auf dem alten Druckserver, ungepatchter Apache auf dem Intranet-Server (CVE mit öffentlichem Exploit), RDP ohne NLA auf zwei Servern. Massnahmenliste mit Termin und Verantwortlichem.

   SchwachstellenscanCVE / CVSSauthentifizierter ScanPriorisierungAngriffsfläche
2. 2

   Windows- und Linux-Systeme nach einer Vorlage härten

   Kompetenz B

   Du setzt anerkannte Empfehlungen wie CIS Benchmarks oder Microsoft Security Baselines um: unnötige Dienste deaktivieren, sichere Protokolle erzwingen, Anmelde- und Kennwortrichtlinien setzen. Abweichungen, die der Betrieb braucht, dokumentierst du begründet.

   Situation

   Ein neuer Fileserver (Windows Server 2022) soll vor der Inbetriebnahme gehärtet werden.

   Deine Aufgabe

   Wende die Microsoft Security Baseline an und dokumentiere Ausnahmen.

   Gutes Ergebnis

   Baseline als GPO auf die OU 'Server-Tier1' verknüpft. SMBv1 entfernt, SMB-Signierung erzwungen, Druckwarteschlange deaktiviert, NTLMv1 verboten. Ausnahme: alter Scanner braucht SMB2 ohne Verschlüsselung, Freigabe dafür eingeschränkt auf eine IP, dokumentiert mit Ablaufdatum.

   CIS BenchmarkSecurity BaselineGPODienstminimierungdokumentierte Ausnahme
3. 3

   Updates geplant und nachweisbar verteilen

   Kompetenz C

   Du baust einen Patch-Prozess mit Testgruppe, Freigabe, Verteilung und Kontrolle auf. Kritische Sicherheitslücken behandelst du schneller als normale Updates, und du weisst jederzeit, welche Systeme noch ungepatcht sind.

   Situation

   Im Spital werden Updates unregelmässig installiert, weil man Angst hat, dass medizinische Anwendungen danach nicht mehr laufen.

   Deine Aufgabe

   Entwirf einen Patch-Prozess, der Sicherheit und Stabilität verbindet.

   Gutes Ergebnis

   Drei Ringe: Ring 0 (IT-Testsysteme) am Patchday, Ring 1 (15 Prozent der Clients, je ein Gerät pro Anwendung) nach 3 Tagen, Ring 2 (Rest) nach 7 Tagen. Kritische Lücken mit aktivem Exploit innert 72 Stunden. Server im Wartungsfenster Mittwoch 22:00. Wöchentlicher Compliance-Bericht aus Intune/WSUS.

   PatchdayUpdate-RingWartungsfensterCompliance-BerichtNotfall-Patch
4. 4

   Administrative Rechte nach dem Minimalprinzip trennen

   Kompetenz D

   Niemand arbeitet im Alltag mit Admin-Rechten. Du trennst Benutzer- und Admin-Konten, beschränkst Domain-Admins auf das Nötigste, verwaltest lokale Admin-Passwörter automatisch und vermeidest, dass hochprivilegierte Konten sich auf unsicheren Geräten anmelden.

   Situation

   Bei einem KMU mit 50 Mitarbeitenden haben alle Clients dasselbe lokale Admin-Passwort, und drei Informatiker sind mit ihrem normalen Konto Domain-Admin.

   Deine Aufgabe

   Baue ein sauberes Rechtemodell auf.

   Gutes Ergebnis

   Windows LAPS ausgerollt: jedes Gerät hat ein eigenes, rotierendes Passwort im AD. Separate Konten 'adm-vorname' für Administration, Domain-Admins nur noch 2 Notfallkonten im Safe. GPO verhindert Anmeldung von Tier-0-Konten auf Clients. Mitglieder privilegierter Gruppen werden monatlich geprüft.

   Least PrivilegeTiering-ModellWindows LAPSprivilegiertes KontoRezertifizierung
5. 5

   Anmeldungen schützen und Datenträger verschlüsseln

   Kompetenz E

   Du sicherst den Zugang zu Systemen ab, etwa mit SSH-Schlüsseln statt Passwörtern, Schutz vor Brute-Force und Mehrfaktor-Authentifizierung für Fernzugriffe. Mobile Geräte und Server ausserhalb geschützter Räume verschlüsselst du, damit ein Diebstahl keine Datenpanne wird.

   Situation

   Ein Treuhandbüro hat 20 Laptops ohne Verschlüsselung. Ein Linux-Webserver akzeptiert SSH-Logins mit Passwort und zeigt tausende Fehlversuche im Log.

   Deine Aufgabe

   Sichere Laptops und Server ab.

   Gutes Ergebnis

   BitLocker mit TPM per Intune erzwungen, Wiederherstellungsschlüssel in Entra ID. Auf dem Webserver: PasswordAuthentication no, PermitRootLogin no, ed25519-Schlüssel pro Admin, fail2ban sperrt nach 5 Fehlversuchen für 1 Stunde. Fehlversuche sinken im Log auf nahezu null.

   BitLocker / LUKSTPMSSH-Schlüsselfail2banMFAWiederherstellungsschlüssel
6. 6

   Sicherheitsrelevante Ereignisse protokollieren und auswerten

   Kompetenz F

   Du legst fest, welche Ereignisse wichtig sind (Anmeldungen, Rechteänderungen, neue Dienste), aktivierst die nötigen Audit-Richtlinien und sammelst Logs zentral. Für verdächtige Muster richtest du Alarme ein.

   Situation

   Nach einem Vorfall in einer Nachbargemeinde fragt der Gemeindeschreiber: 'Würden wir merken, wenn jemand bei uns ein Admin-Konto anlegt?'

   Deine Aufgabe

   Richte eine Überwachung für kritische AD-Ereignisse ein.

   Gutes Ergebnis

   Erweiterte Audit-Richtlinie per GPO, Sysmon auf Servern, Weiterleitung an Wazuh. Alarme für Ereignis-IDs 4720 (Konto erstellt), 4728/4732 (zu Admin-Gruppe hinzugefügt) und 4625-Häufungen. Test: Testkonto in Domain-Admins aufgenommen, Mail-Alarm nach 40 Sekunden.

   Audit-RichtlinieEvent-IDSysmon / auditdSIEMLog-Aufbewahrung

Die Kompetenzmatrix zerlegt das Modul in Themenstränge und drei Stufen. Für den Kompetenznachweis solltest du überall mindestens Stufe 2 erreichen. Dein Stand bleibt in diesem Browser gespeichert und färbt Lernweg und Übungen ein.

Mara ist im 4. Lehrjahr als Informatikerin Plattformentwicklung bei der EW Rheintal AG in Buchs SG, einem Energieversorger mit 110 Mitarbeitenden. Ein externes Audit hat gezeigt: Admins arbeiten im Alltag mit vollen Rechten, alle lokalen Admin-Passwörter sind gleich, Linux-Server sind seit Monaten nicht gepatcht, und Anmeldungen werden kaum protokolliert. Mara soll 12 Windows- und 4 Linux-Server härten und einen Bericht für die Geschäftsleitung erstellen.

1. Kapitel 1

   Was der Scanner findet

   Mara richtet in Greenbone einen authentifizierten Scan ein und erhält 214 Funde, davon 9 kritische. Sie sortiert nicht nur nach CVSS, sondern auch danach, wer das System erreichen kann. Ganz oben landet ein Linux-Server mit veraltetem OpenSSH, der aus dem Netz der Leittechnik erreichbar ist. Ein kritischer Fund auf einer isolierten Test-VM rutscht dafür weiter nach unten.

   Ziel 1

2. Kapitel 2

   Baseline statt Bauchgefühl

   Mara setzt den CIS Benchmark Level 1 per GPO zuerst auf zwei Testservern um, schaltet SMBv1 ab und deaktiviert den Druckspooler auf Servern ohne Drucker. Die Software zum Auslesen der Stromzähler funktioniert danach nicht mehr, weil sie ein altes Anmeldeverfahren braucht. Mara dokumentiert eine Ausnahme mit Begründung und Ablaufdatum und meldet dem Hersteller das Problem. Auf den Linux-Servern erlaubt sie nur noch SSH-Schlüssel, aktiviert fail2ban und verschlüsselt den Server im Unterwerk mit BitLocker.

   Ziel 2Ziel 5

3. Kapitel 3

   Ein Admin ist nicht genug

   Alle Admins bekommen ein zweites Konto für administrative Arbeiten, und die Gruppe der Domänen-Admins schrumpft von 9 auf 3 Mitglieder. Windows LAPS setzt auf jedem Server ein eigenes lokales Admin-Passwort. Updates laufen jetzt in Ringen: Testserver am Tag nach dem Patchday, Produktion am Samstag darauf, mit einem Compliance-Bericht von 98 Prozent. Der Server der Netzleittechnik darf nicht wöchentlich neu starten, deshalb vereinbart Mara mit dem Lieferanten ein monatliches Wartungsfenster.

   Ziel 4Ziel 3

4. Kapitel 4

   Wer hat sich um 3 Uhr angemeldet?

   Mara aktiviert die erweiterte Audit-Richtlinie, installiert Sysmon mit einer bewährten Konfiguration und schickt die Logs an Wazuh. Alarme gibt es, wenn jemand einer privilegierten Gruppe hinzugefügt wird oder mehr als 10 Anmeldungen in 5 Minuten fehlschlagen. In der ersten Nacht kommen 600 Alarme. Ein Dienstkonto mit abgelaufenem Passwort versucht sich ständig anzumelden, und nach der Korrektur ist es ruhig.

   Ziel 6

5. Kapitel 5

   Der Bericht an die Geschäftsleitung

   Nach sechs Wochen wiederholt Mara den Scan: Die kritischen Funde sind von 9 auf 0 gesunken, die hohen von 41 auf 6. In ihrem Härtungskonzept beschreibt sie die umgesetzte Baseline, die offenen Ausnahmen und die verbleibenden Risiken. Die Geschäftsleitung bewilligt daraufhin das Budget, um Wazuh dauerhaft zu betreiben.

   Ziel 1Ziel 2

1. 1

   Angreifer verstehen

   ca. 3 Std.

   Du lernst, wie typische Angriffe auf Systeme ablaufen, damit du weisst, wogegen du härtest.

   • Ablauf eines Ransomware-Angriffs von der Phishing-Mail bis zur Verschlüsselung skizzieren
   • Die aktuellen Warnungen und Halbjahresberichte des BACS lesen und drei häufige Einfallstore notieren
   • Zu jedem Einfallstor eine Härtungsmassnahme zuordnen

   Trainiert Kompetenz A1

   Lernziel1

2. 2

   Scannen und bewerten im Heimlabor

   ca. 6 Std.

   Du baust eine kleine Laborumgebung mit absichtlich unsicheren Systemen und scannst sie.

   • Greenbone Community Edition als VM oder Container installieren
   • Eine ungepatchte Windows-VM und Metasploitable 2 als Ziele scannen
   • Ergebnisse nach CVSS und Ausnutzbarkeit priorisieren und drei Funde beheben

   Trainiert Kompetenz A1A2

   Lernziel1

3. 3

   Härten nach Baseline

   ca. 7 Std.

   Du härtest einen Windows-Server und einen Linux-Server und vergleichst vorher und nachher.

   • Microsoft Security Compliance Toolkit herunterladen, Baseline in eine Test-GPO importieren und anwenden
   • Linux nach CIS-Empfehlungen härten, Fortschritt mit Lynis messen (Hardening Index vorher und nachher)
   • SSH auf Schlüssel umstellen und fail2ban einrichten

   Trainiert Kompetenz B1B2E1E2

   Lernziel25

4. 4

   Rechte und Updates organisieren

   ca. 6 Std.

   Du baust in deiner Labor-Domäne ein sauberes Rechtemodell und einen Patch-Prozess auf.

   • Windows LAPS aktivieren und das Passwort eines Clients auslesen
   • Separate Admin-Konten und eine GPO mit Anmeldebeschränkungen für Tier 0 einrichten
   • Einen Patch-Prozess mit Ringen auf einer Seite beschreiben und mit WSUS oder Intune umsetzen

   Trainiert Kompetenz D1D2C1C2

   Lernziel43

5. 5

   Sehen, was passiert

   ca. 6 Std.

   Du richtest zentrales Logging ein und prüfst, ob du einen simulierten Angriff erkennst.

   • Erweiterte Audit-Richtlinien und Sysmon auf einem Server aktivieren
   • Wazuh-Server in Docker starten und Agents verbinden
   • Einen Angriff simulieren (Brute-Force, neues Admin-Konto) und prüfen, ob ein Alarm kommt

   Trainiert Kompetenz F1F2

   Lernziel6

6. 6

   Härtungskonzept als Gesamtauftrag

   ca. 5 Std.

   Du fasst alles in einem Härtungskonzept für eine kleine Umgebung zusammen, wie im Kompetenznachweis.

   • Ist-Analyse mit Scan, Massnahmen nach Priorität, Umsetzung, Nachweis per erneutem Scan
   • Ausnahmen mit Begründung und Ablaufdatum dokumentieren
   • Ergebnis in einem Vorher-nachher-Vergleich präsentieren

   Trainiert Kompetenz A3B3D3F3

   Lernziel1246

Härtung

Reduktion der Angriffsfläche eines Systems durch sichere Konfiguration und das Entfernen unnötiger Funktionen.

CIS Benchmark

Frei verfügbare, detaillierte Härtungsempfehlungen des Center for Internet Security für viele Systeme.

CVE

Common Vulnerabilities and Exposures: weltweit eindeutige Kennung einer Schwachstelle.

LAPS

Local Administrator Password Solution: automatische Verwaltung einzigartiger lokaler Admin-Passwörter.

Tiering

Trennung der Administration in Ebenen (z.B. Domäne, Server, Clients), damit Konten höherer Ebenen nicht auf unsicheren Geräten verwendet werden.

SIEM

System, das Logs zentral sammelt, auswertet und bei verdächtigen Mustern alarmiert.

Lateral Movement

Seitliche Ausbreitung eines Angreifers von einem kompromittierten System auf weitere.

TPM

Sicherheitschip im Gerät, der unter anderem Schlüssel für die Laufwerksverschlüsselung schützt.

Passende Module