Härtung ist das Verkleinern der Angriffsfläche eines Systems durch Abschalten und Einschränken. Was nicht da ist, kann nicht angegriffen werden.
- Härtung
Das Verkleinern der Angriffsfläche eines Systems durch Abschalten und Einschränken.
Beispiel: „Zur Härtung gehörte, die ungenutzten Dienste auf dem Server abzuschalten.“Auch: Hardening. Eine Sammlung von Vorgaben dafür heißt Härtungsrichtlinie oder Benchmark.
Abgrenzung zum Patch-Management: Das hält vorhandene Software aktuell. Die Härtung fragt zuerst, ob sie überhaupt da sein muss.
Die vier Schritte einer Härtung
Entfernen, abschalten, einschränken, überwachen. Entfernt wird Software, die niemand braucht; abgeschaltet werden Dienste und Schnittstellen, die nicht erreichbar sein müssen. Eingeschränkt wird alles Übrige auf die nötigen Rechte, siehe Least Privilege; und überwacht wird, was danach noch läuft. Die ersten beiden Schritte bringen den größten Teil der Wirkung.
Wo die Grenze der Härtung liegt
Beim Betrieb. Ein System, das so eng eingestellt ist, dass die tägliche Arbeit daran scheitert, wird nach zwei Wochen wieder aufgemacht, meist pauschal und ohne Dokumentation. Härtung ist deshalb keine Einmalaktion mit maximaler Strenge, sondern eine Abwägung, die begründet und aufgeschrieben wird.
Welche Vorlagen helfen
Die veröffentlichten Härtungsrichtlinien für das jeweilige System. Für die verbreiteten Betriebssysteme, Webserver und Datenbanken gibt es ausgearbeitete Kataloge mit begründeten Einzelpunkten, und für viele davon fertige Skripte, die den Ist-Zustand prüfen. Der sinnvolle Weg ist, den Katalog durchzugehen und bewusst zu entscheiden, statt ihn blind anzuwenden.
Für eine Website heißt Härtung meist vier konkrete Dinge: nicht benutzte Erweiterungen entfernen statt nur abzuschalten, Verwaltungsoberflächen aus dem offenen Netz nehmen, Dateirechte so eng setzen, dass der Webserver nur dort schreiben kann, wo er es muss, und die Kopfzeilen setzen, die der Browser auswertet, siehe Security Headers.