Härtung des Basis-Systems

Die Fujitsu Server BS2000 SE Serie mit Management Unit, HNC und Server Unit x86 sind Systeme, die hohen Sicherheitsansprüchen genügen. Dabei handelt es sich um die statisch implementierte Sicherheit eines gehärteten Systems, welche durch Administrationstätigkeiten nicht beeinflusst werden kann.

Das Basis-System von Management Unit, HNC und Server Unit x86 ist jeweils ein Linux-System, basierend auf SUSE Linux Enterprise Server (SLES) 15.

Das Basis-System dient ausschließlich der Administration der Systeme selbst. Es findet kein normaler Benutzerbetrieb mit Kundenapplikationen statt.

Folgende Eigenschaften kennzeichnen diese Systeme:

• Es sind nur für den Betrieb erforderliche, signierte Softwarekomponenten installiert.

• Die an den Systemen zum Einsatz kommende Basis-System-Software wird auf einer CD/DVD ausgeliefert, die eine Prüfsumme enthält. Anhand der Prüfsumme wird bei der Installation überprüft, ob sich alle Pakete der CD in einem unverfälschten, d.h. der Produktion entsprechenden Zustand befinden.

• Für den Benutzerzugang werden nichtprivilegierte Kennungen genutzt.

• Diese Kennungen sind im Rahmen eines differenzierten Rollenkonzepts mit klar definierten (und beschränkten) Funktionen und Zugriffsrechten ausgestattet.

• Außerhalb dieses Rollenkonzepts ist kein Zugang zum System möglich.

• Eine Rechteeskalation ist im Rahmen des Rollenkonzepts nicht möglich. Der Zugang zur Kennung root ist gesperrt. Notwendige Rechte für Service/Diagnose oder für Updates durch den Service von Fujitsu sind durch erweiterte Rechte der Rolle Service realisiert.

• Das Rollen- und Benutzerkonzept erlaubt es, personalisierte Kennungen einzurichten sowie Passwörter und Passworteigenschaften zu verwalten.

• Aktionen, welche zu Konfigurations- oder Zustandsänderungen führen, werden protokolliert und können den sie ausführenden Personen zugeordnet werden.
• Der Datenverkehr zwischen Administrations-PCs und Basis-System erfolgt ausschließlich verschlüsselt.
• Alle nicht benutzten Netzwerk-Dienste sind deaktiviert.
• Der Netzwerkzugang ist durch die jeweilige systeminterne Firewall auf die benötigten Netzwerk-Ports eingeschränkt.

Die Konfiguration der Basis-Systeme orientiert sich an den Empfehlungen des Center for Internet Security (CIS, http://www.cisecurity.org).
Abweichungen von diesen Empfehlungen ergeben sich nur durch Funktionen, die für den Betrieb der Basis-Systeme erforderlich sind (z.B. ist für den SE Manager im Basisbetriebssystem immer ein Webserver aktiv, der die Benutzeroberfläche bereitstellt). Diese Abweichungen von den CIS-Empfehlungen führen nicht zu Sicherheitslücken.

Die Basis-Systeme der SE Server werden von Fujitsu regelmäßig auf potentiell sicherheitsrelevante Schwachstellen untersucht. Einbezogen werden dabei insbesondere die vom Fujitsu PSIRT (Product Security Incident Response Team) publizierten Security Advisories und Notices und die Ergebnisse von Security Scans. Die potentiellen Schwachstellen werden unter Berücksichtigung der Härtung und der Einsatzszenarien der SE Appliances bewertet und unter Einbeziehung ihres Gefahrenpotentials bei Bedarf im Rahmen des Updateprozesses für die SE Systeme behoben.

Eine SE-Infrastruktur ist grundsätzlich immer entsprechend den vom Bundesamt für Sicherheit in der Informationstechnik (BSI) herausgegebenen Regeln IT-Grundschutz-zertifizierbar und kann deshalb auch in Umgebungen, die KRITIS-konform betrieben werden müssen (Kritische Infrastrukturen), eingefügt werden.

• Die Systemkomponenten sind bei Lieferung weitestgehend so vorkonfiguriert bzw. können im Rahmen eines tatsächlichen Aufbaus einer SE-Infrastruktur so konfiguriert werden, dass die technischen Anforderungen, die sich aus den relevanten System-Bausteinen des IT-Grundschutz-Kompendiums ergeben, erfüllt werden.
• Eine SE-Infrastruktur unterstützt mit ihren Eigenschaften damit auch grundsätzlich die Umsetzung von Anforderungen, die sich aus relevanten Prozess-Bausteinen des IT-Grundschutz-Kompendiums ergeben.
• Die interne Netzwerk-Architektur einer SE-Infrastruktur enthält allerdings selbst keine P-A-P-Struktur (Paketfilter – Application Layer Gateway – Paketfilter) und stellt kein DMZ-Konzept (Demilitarisierte Zone) bereit.
  • Eine SE-Infrastruktur stellt bewusst kein „Datacenter-in-a-Box“-Konzept dar, fügt sich jedoch nahtlos in BSI-IT-Grundschutz-konforme Rechenzentrumsnetzwerk-Architekturen ein.
  • In der Grundkonfiguration präsentiert sich eine SE-Infrastruktur dem Rechenzentrumsnetzwerk gegenüber als einfacher „Compute-Node“.
  • Optional kann eine SE-Infrastruktur aber auch mehrere virtuelle Netzwerksegmente mit Hilfe des internen Netzwerks im Rahmen des Rechenzentrumsnetzwerks realisieren. Die Net Unit repräsentiert dabei dann einen „Top-of-Rack-Switch“.