Bundesamt für Sicherheit in der Informationstechnik

B 3.211 Client unter Mac OS X

Logo MacOS X

Beschreibung

Dieser Baustein behandelt das Client-Betriebssystem Mac OS X der Firma Apple. Das X in Mac OS X steht für die römische Ziffer 10, kann aber auch als eine Anlehnung an das X in Unix, Linux, AIX und anderen Unix-Derivaten gesehen werden.

Mac OS X basiert auf Darwin, dem frei verfügbaren Unix-Betriebssystem der Firma Apple. Darwin ist ein Open Source-Kernel, der auf FreeBSD basiert. Der größte Unterschied zwischen FreeBSD und Mac OS X ist die in FreeBSD fehlende grafische Oberfläche "Aqua".

Mac OS X kann und darf nur auf IT -Systemen der Firma Apple installiert werden. In abgewandelter Form wird Mac OS auch in anderen Apple-Produkten wie dem iPhone, iPad oder iPod touch eingesetzt. Die Grundlage dieses Bausteins ist die Client-Version "Snow Leopard" (Mac OS 10.6), jedoch kann er auf alle Versionen von Mac OS X angewendet werden, in denen die behandelten Softwarekomponenten ( z. B. FileVault ab Version 10.3, Dashboard ab Version 10.4 oder Time Machine ab Version 10.5) vertreten sind.

Die Sicherheit eines Betriebssystems spielt eine wichtige Rolle für die Sicherheit in einem Informationsverbund. Schwachstellen auf der Betriebssystemebene können die Sicherheit aller Anwendungen und des gesamten Netzes beeinträchtigen. Der Schwerpunkt in diesem Baustein liegt auf der Absicherung eines IT-Systems unter Mac OS X, das als Stand-Alone-System oder als Client in einem Client-Server-Netz betrieben wird.

Gefährdungslage

Für den IT-Grundschutz einzelner IT-Systeme unter dem Betriebssystem Mac OS X werden folgende typische Gefährdungen angenommen:

Höhere Gewalt

G 1.2 Ausfall von IT-Systemen
G 1.4 Feuer
G 1.5 Wasser
G 1.8 Staub, Verschmutzung

Organisatorische Mängel

G 2.1 Fehlende oder unzureichende Regelungen
G 2.9 Mangelhafte Anpassung an Veränderungen beim IT-Einsatz
G 2.19 Unzureichendes Schlüsselmanagement bei Verschlüsselung

Menschliche Fehlhandlungen

G 3.2 Fahrlässige Zerstörung von Gerät oder Daten
G 3.3 Nichtbeachtung von Sicherheitsmaßnahmen
G 3.6 Gefährdung durch Reinigungs- oder Fremdpersonal
G 3.8 Fehlerhafte Nutzung von IT-Systemen
G 3.9 Fehlerhafte Administration von IT-Systemen
G 3.108 Fehlerhafte Konfiguration von Mac OS X
G 3.109 Unsachgemäßer Umgang mit FileVault-Verschlüsselung

Technisches Versagen

G 4.7 Defekte Datenträger

Vorsätzliche Handlungen

G 5.2 Manipulation an Informationen oder Software
G 5.7 Abhören von Leitungen
G 5.9 Unberechtigte IT-Nutzung
G 5.18 Systematisches Ausprobieren von Passwörtern
G 5.21 Trojanische Pferde
G 5.23 Schadprogramme
G 5.40 Abhören von Räumen mittels Rechner mit Mikrofon und Kamera
G 5.71 Vertraulichkeitsverlust schützenswerter Informationen
G 5.83 Kompromittierung kryptographischer Schlüssel
G 5.85 Integritätsverlust schützenswerter Informationen

Maßnahmenempfehlungen

Um den betrachteten Informationsverbund abzusichern, müssen zusätzlich zu diesem Baustein gemäß den Ergebnissen der Modellierung nach IT-Grundschutz weitere Bausteine umgesetzt werden. Dazu zählt der Baustein B 3.201 Allgemeiner Client . Wird Mac OS X auf einem Laptop betrieben, muss auch der Baustein B 3.203 Laptop angewendet werden.

In diesem Baustein werden Maßnahmen beschrieben, um einen Client unter Mac OS X mit einem normalen Schutzbedarf abzusichern. Es werden ausschließlich Anwendungen betrachtet, die im Standardfunktionsumfang von Mac OS X enthalten sind.

Für die sichere Konfiguration von Clients unter Mac OS X sind eine Reihe von Maßnahmen umzusetzen, beginnend mit der Planung und Konzeption über die Installation bis zum Betrieb. Die Schritte, die dabei zu durchlaufen sind, sowie die Maßnahmen, die in den jeweiligen Schritten beachtet werden sollten, sind im Folgenden aufgeführt.

Planung und Konzeption

Clients unter Mac OS X sollten in einer Institution nicht eingesetzt werden, ohne dass deren Einsatz geplant und mit den internen Sicherheitsvorgaben abgestimmt wurde, wie in M 2.478 Planung des sicheren Einsatzes von Mac OS X beschrieben. Dazu müssen die unter anderem die Voraussetzungen für die Nutzung von Mac OS X geklärt und Hinweise zum Benutzer- und Administrationskonzept sowie Ratschläge zu einem angemessenen Umfang von Datensicherung und Verschlüsselung erstellt werden. In M 4.375 Einsatz der Sandbox-Funktion unter Mac OS X wird eine Methode beschrieben, um die Rechte von Anwendungen unter Mac OS X einzuschränken. Im Vorfeld muss dazu geklärt werden, welche Anwendungen in einer Sandbox ausgeführt und welche Zugriffsrechte diesen Anwendungen gewährt werden sollen. Ebenfalls muss der Einsatz der Programmzugriffs-Steuerung unter Mac OS X geplant werden, da je nach Einsatzgebiet eine striktere Client-Konfiguration vorgenommen werden muss. Hinweise sind in M 4.378 Einschränkung der Programmzugriffe unter Mac OS X zu finden. Da die Passwortstärke einen hohen Beitrag zur Sicherheit eines IT-Systems leistet, muss im Vorfeld geplant werden, welche Eigenschaften ein Passwort haben muss. Es sollten mindestens die Empfehlungen in M 4.376 Festlegung von Passwortrichtlinien unter Mac OS X umgesetzt werden.

Umsetzung

Bei der Installation eines Clients unter Mac OS X ist eine Reihe von Maßnahmen umzusetzen, die die Sicherheit des Systems erhöhen. Das "Härten" des Systems erhöht die Sicherheit, indem Lücken geschlossen werden, die im Regelfall nach einer Standardinstallation vorhanden sind. Unter M 4.371 Konfiguration von Mac OS X Clients sind entsprechende Empfehlungen zu finden. Im Anschluss sollte für jedes Benutzerkonto die Maßnahme M 4.374 Zugriffschutz der Benutzerkonten unter Mac OS X umgesetzt werden, um das Sicherheitsniveau für jedes Konto anzuheben. Der Einsatz der Personal Firewall von Mac OS X ist in keinem Fall ein Ersatz für ein Sicherheitsgateway, sie sollte aber dennoch aktiviert und angemessen konfiguriert werden. Informationen dazu sind in der Maßnahme M 5.166 Konfiguration der Mac OS X Personal Firewall enthalten. Um den Benutzerordner zu verschlüsseln, kann die Maßnahme M 4.372 Einsatz von FileVault unter Mac OS X angewendet werden.

Damit ein Client unter Mac OS X im Netz möglichst wenig Dienste anbietet und dadurch weniger Angriffsmöglichkeiten bietet, sollten möglichst viele Netzdienste deaktiviert werden (siehe M 5.165 Deaktivieren nicht benötigter Mac OS X-Netzdienste ). Ebenso kann es sinnvoll sein, nicht benötigte Hardware zu deaktivieren, beispielsweise um den Missbrauch von Rechner-Mikrofonen oder Kameras zu verhindern (siehe M 4.373 Deaktivierung nicht benötigter Hardware unter Mac OS X ).

Betrieb

Der reibungslose Betrieb von Mac OS X Clients sollte durch regelmäßige Kontrollen und Auswertungen der Protokolldateien sichergestellt werden. Hierbei sollten vor allem Unregelmäßigkeiten genauer betrachtet werden. Informationen dazu sind in den Maßnahmen M 4.26 Regelmäßiger Sicherheitscheck des Unix-Systems und M 4.25 Einsatz der Protokollierung im Unix-System zu finden. Sollen vertrauliche Informationen transportiert oder außerhalb des Benutzerordners gespeichert werden, müssen die Benutzer über die Maßnahme M 4.379 Sichere Datenhaltung und sicherer Transport unter Mac OS X informiert und geschult werden. Die Administratoren müssen zusätzlich über die Maßnahme M 4.377 Überprüfung der Signaturen von Mac OS X Anwendungen Anwendungen informiert werden, um jede neue Anwendung auf ihre gültige Signatur überprüfen zu können.

Aussonderung

Bei der Aussonderung oder Stilllegung eines Systems ist sicherzustellen, dass Dritte keinen Zugriff auf sicherheitsrelevante Informationen erhalten. Daher sind nicht nur Wechseldatenträger, sondern auch lokal gespeicherte Benutzerdaten zuverlässig zu löschen, wenn das Speichermedium oder das IT-System ausgesondert wird. Um Informationen unter Mac OS X sicher zu löschen, ist die Maßnahme M 6.148 Aussonderung eines Mac OS X Systems umzusetzen.

Notfallvorsorge

Um nach einem Hardwareausfall oder Datenverlust möglichst zeitnah in den Normalbetrieb zurückkehren zu können, sollten die Empfehlungen der Maßnahmen M 6.146 Datensicherung und Wiederherstellung von Mac OS X Clients und M 6.147 Wiederherstellung von Systemparametern beim Einsatz von Mac OS X umgesetzt werden. Die Maßnahme M 4.380 Einsatz von Apple-Software-Restore unter Mac OS X enthält zusätzliche Informationen, um eine identische Kopie von einem System zu erzeugen. Dieses Systemabbild kann dazu verwendet werden, um einen Client unter Mac OS X wiederherzustellen oder um ein Standard-Image über das Netz auf alle Mac OS X Clients aufzuspielen.

Nachfolgend wird das Maßnahmenbündel für den Baustein "Mac OS X" vorgestellt:

Planung und Konzeption

M 2.478 (A) Planung des sicheren Einsatzes von Mac OS X
M 2.479 (A) Planung der Sicherheitsrichtlinien von Mac OS X
M 4.374 (C) Zugriffschutz der Benutzerkonten unter Mac OS X
M 4.375 (Z) Einsatz der Sandbox-Funktion unter Mac OS X
M 4.376 (C) Festlegung von Passwortrichtlinien unter Mac OS X
M 4.378 (Z) Einschränkung der Programmzugriffe unter Mac OS X
M 5.64 (Z) Secure Shell

Umsetzung

M 4.106 (A) Aktivieren der Systemprotokollierung
M 4.371 (C) Konfiguration von Mac OS X Clients
M 4.372 (C) Einsatz von FileVault unter Mac OS X
M 4.373 (C) Deaktivierung nicht benötigter Hardware unter Mac OS X
M 5.165 (C) Deaktivieren nicht benötigter Mac OS X-Netzdienste
M 5.166 (Z) Konfiguration der Mac OS X Personal Firewall
M 5.167 (C) Sicherheit beim Fernzugriff unter Mac OS X

Betrieb

M 4.25 (A) Einsatz der Protokollierung im Unix-System
M 4.26 (C) Regelmäßiger Sicherheitscheck des Unix-Systems
M 4.377 (Z) Überprüfung der Signaturen von Mac OS X Anwendungen
M 4.379 (B) Sichere Datenhaltung und sicherer Transport unter Mac OS X

Aussonderung

M 6.148 (C) Aussonderung eines Mac OS X Systems

Notfallvorsorge

M 4.380 (Z) Einsatz von Apple-Software-Restore unter Mac OS X
M 6.31 (A) Verhaltensregeln nach Verlust der Systemintegrität
M 6.146 (A) Datensicherung und Wiederherstellung von Mac OS X Clients
M 6.147 (A) Wiederherstellung von Systemparametern beim Einsatz von Mac OS X

Stand: 13. EL Stand 2013