Sicherheit als Schichten, nicht als Mauer
Was am offenen Internet hängt, wird rund um die Uhr gescannt — das ist keine Bedrohungslage, sondern der Normalzustand. Die Antwort darauf ist keine einzelne Mauer, sondern eine Kette voneinander unabhängiger Kontrollen: filtern, bevor gerechnet wird, prüfen, bevor ausgerollt wird, und regelmäßig nachsehen, was man übersehen hat. Diese Seite beschreibt bewusst nur die Prinzipien — die Konfiguration bleibt drinnen.
Härtungs-Leitfaden
16 Schritte, nach D3FEND geordnet, jeweils mit Prüffrage. Für die eigene Website oder das eigene Homelab.
Öffnen →D3FEND erklärt
Was der Katalog von MITRE ist, wie er aufgebaut ist und wie man damit die eigene Abwehr misst.
Öffnen →D3FEND-Würfel
272 Techniken als 3D-Stadt. Beispiel ansehen oder in wenigen Minuten den eigenen Stand bewerten.
Öffnen →Mehrere unabhängige Schichten
Jede Anfrage passiert nacheinander die Filterung am Rand, die Transportverschlüsselung, den Reverse Proxy und das Login-Gate. Keine dieser Schichten muss perfekt sein — sie müssen nur unabhängig voneinander versagen, damit ein Fehler in einer die nächste nicht mitreißt.
Filtern, bevor gerechnet wird
Ganz vorne stehen eine Ratenbegrenzung und ein Reputationsfilter, der bekannte Scanner- und Angreiferadressen abweist, bevor eine Anwendung sie überhaupt sieht. Eingeführt wurde er zuerst dort, wo ein Fehlalarm nichts kostet — und ausdrücklich nicht dort, wo er den Weg zur eigenen Behebung abschneiden könnte.
Strikte Regeln im Browser
Der Browser bekommt gesagt, welche Inhalte er überhaupt laden darf: nichts von fremden Servern, keine eingebetteten Skripte. Schriftarten liegen deshalb selbst gehostet auf demselben Server — nebenbei verlässt beim Aufruf dieser Seite keine IP-Adresse das Haus in Richtung eines Fremdanbieters.
Geprüft, bevor es ausgerollt wird
Jede Änderung läuft durch eine Pipeline, die Konfiguration und Container-Images automatisch auf bekannte Schwachstellen prüft. Derselbe Bestand wird zusätzlich im laufenden Betrieb erneut untersucht — sonst bliebe eine Lücke unsichtbar, die erst nach dem Rollout bekannt wird.
Geheimnisse gehören nicht in Git
Zugangsdaten liegen im eigenen Passwort-Tresor und werden von dort in dateibasierte Geheimnisse verteilt, statt als Umgebungsvariablen in jedem Container zu stehen. In der Versionskontrolle steht nie ein Passwort, sondern immer nur der Verweis darauf.
Gemessen statt geschätzt
Die eigene Abwehr wird regelmäßig gegen einen anerkannten Katalog von Verteidigungsmaßnahmen abgeglichen. Was fehlt, wird als Aufgabe geführt und abgearbeitet — inklusive des unbequemen Teils, blinde Flecken überhaupt erst sichtbar zu machen.