Die CIS Benchmarks sind Leitfäden für sichere Konfiguration, veröffentlicht vom Center for Internet Security und im Expertenkonsens erarbeitet. Sie decken Betriebssysteme ab —Amazon Linux, Ubuntu, RHEL, Windows— mit Hunderten konkreter Empfehlungen: Dateirechte, Kernelparameter, Passwortrichtlinien, zu deaktivierende Dienste oder Audit-Konfiguration.
Die Härtung am AMI anzuwenden —und nicht an jedem bereits ausgerollten Server— ist am effizientesten: Sie härten einmal, und jede Instanz wird sicher geboren. Das ist der „secure by default"-Ansatz, den Rahmenwerke wie ISO 27001, SOC 2, PCI DSS oder nationale Sicherheitsvorgaben verlangen.
Stufen L1 und L2: wie fest anziehen
CIS definiert Profile nach Stufen. Die richtige Wahl verhindert, dass Anwendungen aus Übereifer kaputtgehen.
| Profil | Ziel | Wann einsetzen |
|---|---|---|
| Level 1 (L1) | Grundlegende Sicherheit ohne relevante funktionale Auswirkung | Ausgangspunkt für die meisten Lasten |
| Level 2 (L2) | Tiefenverteidigung für sensible Umgebungen | Regulierte Daten, hohes Risiko; kann Anpassungen erfordern |
| STIG | Vorgaben des US-Verteidigungsministeriums | Regierungs- oder Verteidigungsaufträge |
CIS-Härtungsprofile und ihr Anwendungsbereich.
So automatisieren Sie die Härtung im Image
Manuelles Härten skaliert nicht und ist nicht prüfbar. Das sind die drei gängigsten Wege, es in die Build-Pipeline zu holen:
- EC2 Image Builder mit CIS-Komponenten: AWS bietet Integration mit verwalteten CIS-Stufen, die das Benchmark während des Builds anwenden und validieren – optional mit CIS-Hardened-Images aus dem Marketplace.
- Ansible mit einer Hardening-Rolle: CIS-basierte Rollen für Linux innerhalb eines Packer-Provisioners wiederverwenden; cloudübergreifend portabel.
- Eigene idempotente Skripte: für Spezialfälle, mit dem Vorteil voller Kontrolle und dem Nachteil der Pflege.
Wirkungsstarke Kontrollen, die nicht fehlen dürfen
Wenn Sie priorisieren müssten, bringen diese CIS-Kontrollen die größte Risikoreduktion bei geringstem Aufwand:
- Direkten Root-Zugriff per SSH deaktivieren und Schlüsselzugriff erzwingen, nie Passwörter.
- Unnötige Pakete und Dienste entfernen, um die Angriffsfläche zu verkleinern.
- Host-Firewall konfigurieren (firewalld oder nftables) mit Default Deny.
- Auditing aktivieren (
auditd) und Ereignisse zentral protokollieren. - Sichere Kernelparameter anwenden (
sysctl) gegen Spoofing und Netzwerkangriffe. - Strikte Passwortrichtlinien und Kontosperrung.
- Korrekte Rechte an kritischen Dateien:
/etc/passwd,/etc/shadowund die Boot-Verzeichnisse.
Prüfen, ob die Härtung wirklich griff
Härten ohne Verifikation ist Glaubenssache. Bauen Sie eine automatisierte Validierungsstufe ein, die das Image gegen das Benchmark bewertet und den Build scheitern lässt, wenn der Schwellwert verfehlt wird.
- CIS-CAT, InSpec oder OpenSCAP scannen die frisch gebackene Instanz und erzeugen einen Compliance-Bericht.
- Bestehensschwelle: definieren Sie etwa „≥ 95 % der L1-Kontrollen bestanden" als Qualitäts-Gate.
- Nachweis fürs Audit: Bewahren Sie den Bericht als Build-Artefakt auf; er ist Gold wert beim nächsten SOC-2- oder ISO-Audit.
Die Balance: Sicherheit, ohne die Anwendung zu brechen
Der klassische Fehler ist, L2 blind anzuwenden und dann festzustellen, dass die Anwendung nicht mehr startet. Die vernünftige Strategie: mit L1 beginnen, messen und L2-Kontrollen gezielt hochziehen, getestet in einer Staging-Umgebung. Dokumentieren Sie jede begründete Ausnahme; eine mit festgehaltener Begründung deaktivierte Kontrolle ist im Audit akzeptabel, eine stillschweigend deaktivierte nicht.
Häufig gestellte Fragen
Bremst CIS-Härtung meine Instanzen aus?
Die Leistungsauswirkung des L1-Profils ist praktisch null. Einige intensive Audit-Kontrollen von L2 können Overhead erzeugen, deshalb werden sie gezielt angewendet und gemessen.
Muss ich CIS-Hardened-Images kaufen oder kann ich das selbst machen?
Sie können selbst härten – mit Ansible, OpenSCAP oder den Komponenten von EC2 Image Builder. Die CIS-Hardened-Images aus dem Marketplace sparen Arbeit und bringen Validierung mit, sind aber nicht zwingend.
Erfülle ich mit Härtung schon ISO 27001 oder PCI DSS?
Härtung ist eine wichtige technische Kontrolle, doch Compliance umfasst auch Prozesse, Richtlinien und Nachweise. Gehärtete AMIs bringen Sie weit, ersetzen aber nicht den Rest des Compliance-Rahmens.
Bei imaxe.cloud starten wir von Images, die nach guten Branchenpraktiken gehärtet sind, damit Sie auf sicherer Basis ausrollen.
