Unterschiede

Hier werden die Unterschiede zwischen zwei Versionen angezeigt.

Link zu dieser Vergleichsansicht

Beide Seiten der vorigen Revision Vorhergehende Überarbeitung
it-sec:websec [2016/08/31 12:45]
pilawa [Aspekte bei Konfiguration und Betrieb von Webservern]
it-sec:websec [2016/08/31 12:51] (aktuell)
pilawa [Konfigurationsvalidierung und Verwendung von Testwerkzeugen]
Zeile 27: Zeile 27:
 IT-Administratoren sollten daher allgemein anerkannte Testwerkzeuge verwenden, um daraus Hinweise zur gebotenen Konfiguration und deren Kompatibilität zu Clients und Betriebssystemen abzuleiten. Da die meisten eigenen Dienste weltweit über das Internet angeboten werden, bieten sich hier auch online-Tests verschiedener Anbieter an. Unter anderem wurden positive Erfahrungen berichtet zu den SSL-Tests von Qualys [[https://​www.ssllabs.com/​ssltest/​]]. Der Fokus liegt dabei auf Web-Anwendungen. Ein „A-Rating“ ist anzustreben. ​ IT-Administratoren sollten daher allgemein anerkannte Testwerkzeuge verwenden, um daraus Hinweise zur gebotenen Konfiguration und deren Kompatibilität zu Clients und Betriebssystemen abzuleiten. Da die meisten eigenen Dienste weltweit über das Internet angeboten werden, bieten sich hier auch online-Tests verschiedener Anbieter an. Unter anderem wurden positive Erfahrungen berichtet zu den SSL-Tests von Qualys [[https://​www.ssllabs.com/​ssltest/​]]. Der Fokus liegt dabei auf Web-Anwendungen. Ein „A-Rating“ ist anzustreben. ​
  
-Die Mozilla-Foundation als einer der wichtigsten Browser-Hersteller bietet einen Generator für TLS-Konfigurationen unter dem URL [[https://​mozilla.github.io/​server-side-tls/​ssl-config-generator/​]] an, die als Ausgangspunkt für eigene Konfigurationen dienen können. Ferner steht unter [[https://​observatory.mozilla.org]] ein weiteres Testwerkzeug zur Verfügung, dass Hinweise und Empfehlungen für viele zusätzliche Aspekte liefert und unter anderem auch Hinweise von anderen Seiten wie beispielsweise .... in seinen Ergebnissen mit integriert.+Die Mozilla-Foundation als einer der wichtigsten Browser-Hersteller bietet einen Generator für TLS-Konfigurationen unter dem URL [[https://​mozilla.github.io/​server-side-tls/​ssl-config-generator/​]] an, die als Ausgangspunkt für eigene Konfigurationen dienen können. Ferner steht unter [[https://​observatory.mozilla.org]] ein weiteres Testwerkzeug zur Verfügung, dass Hinweise und Empfehlungen für viele zusätzliche Aspekte liefert und unter anderem auch Hinweise von anderen Seiten wie beispielsweise ​[[https://​securityheaders.io]]  ​in seinen Ergebnissen mit integriert.  
 + 
 +In diesem Zusammenhang muss aber auch erwähnt werden, dass die Kategorisierung in einem ABC-System immer nur alle in den genannten Tests verwendeten Merkmale auswertet, auch wenn dies gewichtet geschieht. Ob ein Merkmal im konkreten Einsatzszenario sinnvoll in einer bestimmten Art und Weise umgesetzt werden kann, steht dabei auf einem anderen Blatt.
  
 Bei Microsoft erfolgt die Konfiguration über Registry-Keys. Die vorhandenen Registry-Keys sind unter dem URL [[https://​technet.microsoft.com/​en-us/​library/​dn786418.aspx]] referenziert. Einerseits ist die Konfiguration über Registry-Keys den Microsoft-Produkten innewohnend,​ andererseits stellt es an die IT-Administratoren besondere Anforderungen,​ den Überblick zu bewahren. Ferner liefert Microsoft einige Änderungen auch über automatische Updates aus, so dass tendenziell weniger Eingriffe nötig sind aber andererseits auch ohne Zutun des Administrators Änderungen seitens Microsoft Betriebsstörungen hervorrufen können. Im Fall Microsoft liefert der URL  Bei Microsoft erfolgt die Konfiguration über Registry-Keys. Die vorhandenen Registry-Keys sind unter dem URL [[https://​technet.microsoft.com/​en-us/​library/​dn786418.aspx]] referenziert. Einerseits ist die Konfiguration über Registry-Keys den Microsoft-Produkten innewohnend,​ andererseits stellt es an die IT-Administratoren besondere Anforderungen,​ den Überblick zu bewahren. Ferner liefert Microsoft einige Änderungen auch über automatische Updates aus, so dass tendenziell weniger Eingriffe nötig sind aber andererseits auch ohne Zutun des Administrators Änderungen seitens Microsoft Betriebsstörungen hervorrufen können. Im Fall Microsoft liefert der URL 
it-sec/websec.txt · Zuletzt geändert: 2016/08/31 12:51 von pilawa
Gau-IT-Zentrum