Patterns

Patterns basieren auf wissenschaftlichen Quellen.

Standardmäßiges Deaktivieren von Funktionen

Name Standardmäßiges Deaktivieren von Funktionen
Quellen (Garfinkel, 2005), (Microsoft, 2003)
Synonyme Keine
Kontext Moderne Betriebssysteme beinhalten komplexe Funktionen und Services. Ohne das Beachten von Disable Services by Default sind diese Services aktiv und stellen ein akutes Sicherheitsrisiko dar. Das Risiko ist umso größer, wenn dem System durch die Installation neuer Software oder durch ein Upgrade neue Services hinzugefügt werden. In diesen Fällen müssen die neuen Services automatisch deaktiviert werden, um keine neuen Sicherheitsrisiken einzuführen.
Problem Wie verhindert man Sicherheitsrisiken durch ungenutzte, aber aktive Services?
Lösung Stelle sicher, dass Systeme keine Services, Server oder andere potentiell unsichere Funktionalitäten automatisch aktivieren, es sei denn, es gibt einen Grund dafür.
Beispiele Windows Advanced Server 2003 benutzt Disable Services by Default mittels einer rollenbasierten Zugriffskontrolle. Diese deaktiviert automatisch Netzwerk Server, die nicht für die bei der Installation spezifizierte Rolle benötigt werden (Microsoft, 2003). MacOS benutzt ebenfalls Disable Services by Default und stellt dem Nutzer ein Control Panel zur Verfügung, das sowohl verifiziert, ob ein Server momentan aktiv ist, als auch erlaubt, den Server zu starten. Beispiel. Source: (Garfinkel, 2005)
Implementierung Automatische Default-Werte müssen festgelegt werden, damit Server standardmäßig deaktiviert, statt aktiviert sind.
Konsequenzen Dadurch sind sich Nutzer eher im Klaren, ob und welche Server aktiv sind. Zusätzlich bieten die Systeme generell eine kleinere “Angriffsfläche” (Howard, 2004).
Abhängigkeiten Keine
Beziehungen [Deaktivieren von Sicherheitsfunktionen]
[Opt-in]
Prinzipien [Least Surprise]
Least Common Mechanisms (Saltzer und Schroeder, 1975)
Richtlinien Keine
Check Listen Keine
Use cases Keine
Tags Disable by Default, Opt-in
Log history [03/02/2016]: Translated to German

Referenzen

Garfinkel, S.L., 2005. Design principles and patterns for computer systems that are simultaneously secure and usable (PhD thesis). Massachusetts Institute of Technology.

Howard, M., 2004. Attack surface: Mitigate security risks by minimizing the code you expose to untrusted users. IMSDN Magazine.

Microsoft, 2003. Windows server 2003 security guide. Microsoft TechNet.

Saltzer, J.H., Schroeder, M.D., 1975. The protection of information in computer systems. Proceedings of the IEEE 63, 1278–1308. doi:10.1109/PROC.1975.9939