Bundesamt für Sicherheit in der Informationstechnik

M 2.479 Planung der Sicherheitsrichtlinien von Mac OS X

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator, Leiter IT

Eine der wichtigsten organisatorischen Aufgaben bei der Einführung von Mac OS X ist es, eine entsprechende Sicherheitsrichtlinie für Mac OS X zu planen und zu definieren. Diese Richtlinie sollte auf M 2.322 Festlegen einer Sicherheitsrichtlinie für ein Client-Server-Netz und legt die später umzusetzenden Sicherheitsbestimmungen für Mac OS X Clients fest.

Die Sicherheitsrichtlinie muss allen Anwendern und anderen Personen, die an der Beschaffung und dem Betrieb der Clients beteiligt sind, bekannt und Grundlage für deren Arbeit sein. Wie bei allen Richtlinien sind ihre Inhalte und ihre Umsetzung im Rahmen einer übergeordneten Revision regelmäßig zu prüfen.

Die in der Mac OS X Sicherheitsrichtlinie definierten Anforderungen werden durch die entsprechenden Sicherheitseinstellungen auf Betriebssystemebene umgesetzt. In Fällen, in denen technische Maßnahmen nicht ausreichen, müssen sie durch zusätzliche organisatorische Maßnahmen begleitet und unterstützt werden. Nach Möglichkeit sollte eine technische Lösung gegenüber einer organisatorischen den Vorzug bekommen.

Die zu erstellende Sicherheitsrichtlinie hat sich an den bisher geltenden Sicherheitsrichtlinien der jeweiligen Institution zu orientieren und darf diesen nicht widersprechen. In der Regel werden die existierenden Regelungen für Mac OS X angepasst oder sinngemäß erweitert. Dabei sind insbesondere spezifische Technologien von Mac OS X wie beispielsweise FileVault und Time Machine zu berücksichtigen. Generell gilt, dass sich die Planung der Mac OS X Infrastruktur an der jeweiligen übergreifenden Sicherheitsrichtlinie orientiert. Die Infrastruktur besitzt jedoch über einen Feedback-Prozess Einfluss auf diese übergreifende Sicherheitsrichtlinie. Nicht zuletzt ist beim Erstellen der Sicherheitsrichtlinie darauf zu achten, dass geltende rechtliche Bestimmungen berücksichtigt werden. Die Sicherheitsrichtlinie für Mac OS X ist zu dokumentieren und den Benutzern des Client-Server-Netzes im erforderlichen Umfang mitzuteilen. Alle Administratoren sollten die Sicherheitsrichtlinie kennen und umsetzen.

Die folgenden Themenbereiche geben einen Überblick über die abzudeckenden Bereiche einer solchen Richtlinie. Je nach Institution und umzusetzenden Einsatzszenarien müssen weitere Aspekte in Betracht gezogen werden.

Konfigurations- und Administrationsstrategie

Als erstes sollte die allgemeine Konfigurations- und Administrationsstrategie ("Liberal" oder "Restriktiv") festgelegt werden, da die weiteren Entscheidungen wesentlich von dieser Festlegung abhängen.

Für Clients mit normalem Schutzbedarf kann eine relativ liberale Strategie gewählt werden, was in vielen Fällen die Konfiguration und Administration vereinfacht. Aber auch in diesen Fällen ist es empfehlenswert, die Strategie nur so liberal wie nötig auszulegen.

Bei Clients mit hohem Schutzbedarf wird grundsätzlich eine restriktive Strategie empfohlen. Für Clients mit besonderem Schutzbedarf bezüglich einem der drei Grundwerte Vertraulichkeit, Verfügbarkeit und Integrität sollte unbedingt eine restriktive Konfigurations- und Administrationsstrategie umgesetzt werden.

Physische Sicherheit

Die physische Sicherheit muss bei der Planung der Mac OS X Sicherheitsrichtlinie berücksichtigt werden, da diese Betriebssysteme auch auf mobilen Rechnern zum Einsatz kommen können. Es müssen die generellen Empfehlungen zu physischen Sicherheit aus den Baustein B 3.201 Allgemeiner Client umgesetzt werden.

Verantwortlichkeiten

Die Verantwortlichkeiten für den Betrieb der Mac OS X Systemen müssen durch die Mac OS X Sicherheitsrichtlinie geregelt werden.

Es ist festzulegen, welche Verantwortung die einzelnen Administratoren übernehmen müssen. Dies können zum Beispiel Verantwortlichkeiten sein, um:

  • Sicherheitsparameter zu ändern,
  • Protokolldaten auszuwerten,
  • Zugriffsrechte und Systemberechtigungen zu vergeben,
  • Passwörtern zu wechseln und zu hinterlegen sowie
  • Datensicherungen und Datenwiederherstellungen durchzuführen.

Auch die Endbenutzer müssen in einem Client-Server-Netz Verantwortlichkeiten übernehmen, sofern sie administrative Tätigkeiten ausführen sollen. In der Regel beschränken sich diese Verantwortlichkeiten auf die Vergabe von Zugriffsrechten auf die eigenen Dateien, sofern diese explizit festgelegt und nicht von den Voreinstellungen des übergeordneten Verzeichnisses übernommen werden. Die Endbenutzer müssen in der Anwendung der administrativen Tätigkeiten im Rahmen ihrer Verantwortlichkeit geschult werden.

Die Administration der Systeme sollte durch geschulte Netzadministratoren erfolgen, wobei im Rahmen der Notfallvorsorge für eine geeignete Stellvertreterregelung zu sorgen ist.

Kommunikationssicherheit

Auch Anforderungen an die Sicherheit bei der Datenübertragung müssen ein Bestandteil der Sicherheitsrichtlinie sein. Es ist empfehlenswert, Grundanforderungen an die Übertragungssicherheit in der Sicherheitsrichtlinie zu formulieren (Sollzustand) und anschließend Ausnahmen zu erfassen, die aufgrund lokaler Gegebenheiten notwendig sind. Dabei sind vor allem die Fragen der erforderlichen Authentizität, Vertraulichkeit, Integrität und Verfügbarkeit zu berücksichtigen.

Es muss entschieden werden, welche Netzdienste des Mac OS X Systems für andere IT-Systeme bereitgestellt werden sollen. Jeder aktivierte Netzdienst kann ein Angriffsziel darstellen, daher sollte die Auswahl auf notwendige Netzdienste beschränkt werden. In M 5.165 Deaktivieren nicht benötigter Mac OS X-Netzdienste sind Empfehlungen zu finden, wie die nicht benötigten Netzdienste ausgeschaltet werden können.

Bei der Umsetzung der Anforderungen ist auch der mögliche Einsatz der Mac OS X-eigenen Desktop Firewall zu berücksichtigen (siehe M 5.166 Konfiguration der Mac OS X Personal Firewall ).

Verschlüsselung

Es muss entschieden werden, ob und welche Informationen wie verschlüsselt werden sollen. Insbesondere auf mobilen IT -Systemen wird empfohlen, die Informationen zu verschlüsseln. Bestandteil von Mac OS X ist die Software FileVault, mit der Benutzerverzeichnisse durch Verschlüsselung geschützt werden können. Vertiefende Informationen zu FileVault sind in M 4.372 Einsatz von FileVault unter Mac OS X zu finden. Alternativ könnte die Festplatte durch Software von Drittanbietern vollständig verschlüsselt werden.

Beim Einsatz verschlüsselter Dateisysteme sollte ein eigenes Konzept erstellt und die Details der Konfiguration besonders sorgfältig dokumentiert werden. Im Fall von Problemen wie dem Verlust des Schlüssels oder der Passphrase zum Schlüssel, inkorrekter Konfiguration oder Ähnlichem, könnten die Daten auf den verschlüsselten Dateisystemen sonst vollständig verloren sein.

Datensicherung

Um Datenverlusten entgegenzuwirken, müssen regelmäßig alle relevanten Informationen des Mac OS X Clients gesichert werden. Dazu sind Ort und Häufigkeit der Sicherung festzulegen. Diese Entscheidungen müssen in das organisationsweite Datensicherungskonzept eingebunden werden, beziehungsweise dürfen diesem nicht widersprechen. Die erstellten Datensicherungen müssen regelmäßig auf Fehler überprüft werden. Vertiefende Informationen zur Datensicherung unter Mac OS X sind unter M 6.146 Datensicherung und Wiederherstellung von Mac OS X Clients zu finden.

Protokollierung

Wie viele Unix-Systeme stellt Mac OS X sehr ausführliche Möglichkeiten zur Protokollierung sicherheitsrelevanter Ereignisse (erfolgreiche und/oder fehlgeschlagene Versuche) zur Verfügung. Im Vorfeld müssen folgende Fragen entschieden werden:

  • Welche Ereignisse werden protokolliert?
  • Wo werden die Protokolldateien gespeichert?
  • Wie und in welchen Abständen werden die Protokolle ausgewertet?

Bei der Definition der Protokolleinstellungen ist das Gesamtkonzept der Systemüberwachung zu berücksichtigen. Vertiefende Informationen zur Protokollierung unter Unix-Systemen sind in M 4.106 Aktivieren der Systemprotokollierung und M 4.25 Einsatz der Protokollierung im Unix-System zu finden.

Prüffragen:

  • Existiert eine Sicherheitsrichtlinie für Mac OS X?

  • Orientiert sich die Sicherheitsrichtlinie für Mac OS X an den bisher geltenden Sicherheitsrichtlinien des jeweiligen Unternehmens bzw. der jeweiligen Behörde?

  • Wurde die Sicherheitsrichtlinie im erforderlichen Umfang Mac OS X Benutzern bekannt gegeben?

  • Sind alle relevanten Bereiche durch die Mac OS X Sicherheitsrichtlinie abgedeckt?

Stand: 13. EL Stand 2013