Zurück zu den Anforderungen

Server nach Sicherheits-Baseline gehärtet

Infrastruktur & Endgeräte

Stand 20.01.2026nicht erfülltmittel

Bewertung durch HoliSec (alle Quellen) · Lauf vom 20.01.2026 · Verantwortlich: IT-Leitung (Daniel Steiner)

IST-Zustand

Keine Baseline: auf allen Servern lokale Passwortrichtlinie leer, SMB-Signing nicht erzwungen, Built-in-Administrator aktiv, Firewall-Profile auf fünf Servern deaktiviert; MetaBDE ohne Security-Header.

Soll-Zustand

Server nach Sicherheits-Baseline gehärtet

Empfehlung

Security-Baseline per GPO für alle Server.

Aussage aus dem Gespräch

  • Neue Server werden aus der VMware-Vorlage geklont und manuell eingerichtet; keine Baseline, keine zentralen Härtungsrichtlinien.

Aussagen belegen den Ist-Zustand; die Bewertung erfolgt aus der Erhebung.

Evidenz

Dokumente

Noch keine Dokumente zu dieser Anforderung – z. B. Richtlinie, Netzplan, Vertrag oder Foto als Nachweis.

Technische Prüfpunkte

VMware ESXi esx01ESXi-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltLockdown-Modus aktivNormalNormal oder Strict
erfülltSSH-Dienst deaktiviertgestoppt (Policy off)gestoppt (Policy off)
erfülltESXi-Shell deaktiviertgestoppt (Policy off)gestoppt (Policy off)
erfülltESXi-Shell-Timeout gesetzt600s> 0 (automatische Abmeldung)
erfülltShell-Idle-Timeout gesetzt300s> 0 (automatische Abmeldung)
erfülltZeitsynchronisation (NTP) konfiguriertat.pool.ntp.org (ntpd läuft)NTP-Server konfiguriert und aktiv
erfülltZentrales Syslog (Log-Weiterleitung)udp://10.20.20.15:514 (Checkmk)zentrales Syslog konfiguriert
erfülltMOB (Managed Object Browser) deaktiviertdeaktiviertdeaktiviert
erfülltAccount-Lockout aktiv5 Fehlversuche> 0 (z. B. 5)
iLO ilo-bkp01iLO-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltiLO Mindest-Passwortlänge16 Zeichen>= 12 Zeichen
erfülltKein Default-iLO-Konto (Administrator)Konten: mmadmin (Default 'Administrator' deaktiviert)kein aktives Default-Konto 'Administrator'
iLO ilo-esx01iLO-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltiLO Mindest-Passwortlänge16 Zeichen>= 12 Zeichen
erfülltKein Default-iLO-Konto (Administrator)Konten: mmadmin (Default 'Administrator' deaktiviert)kein aktives Default-Konto 'Administrator'
checkmk (Linux)Linux-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltPermitRootLoginnono / prohibit-password
erfülltPasswordAuthenticationnono (Key-basiert)
erfülltPermitEmptyPasswordsdefaultno
erfülltHost-Firewall aktiv (ufw/firewalld/nftables)active/inactive/inactivemind. eine active
teilweiseExtern lauschende TCP-Ports8minimal
zabbix (Linux)Linux-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltPermitRootLoginnono / prohibit-password
erfülltPasswordAuthenticationnono (Key-basiert)
erfülltPermitEmptyPasswordsdefaultno
erfülltHost-Firewall aktiv (ufw/firewalld/nftables)active/inactive/inactivemind. eine active
teilweiseExtern lauschende TCP-Ports10minimal
NAS nas-bkp01-clientNAS-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltMFA für Admin-Konten (NAS)2FA (TOTP) für admin-mm aktiv2FA für administrative NAS-Konten
erfülltMinimale Dienst-Expositionnur SMB (445/139) + Web (8080) offen; FTP/Telnet/AFP/NFS/SSH deaktiviertnur benötigte Dienste aktiv
NAS nas-bkp01NAS-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltMFA für Admin-Konten (NAS)2FA (TOTP) für admin-mm aktiv2FA für administrative NAS-Konten
erfülltMinimale Dienst-Expositionnur SMB (445/139) + Web (443/8080) offen; FTP/Telnet/AFP/NFS/SSH deaktiviertnur benötigte Dienste aktiv
srv-bde01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltUAC (EnableLUA)11
erfülltRDP NLA (UserAuthentication)11
srv-bkp01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltUAC (EnableLUA)11
erfülltRDP NLA (UserAuthentication)11
srv-erp01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltUAC (EnableLUA)11
erfülltRDP NLA (UserAuthentication)11
srv-file01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltUAC (EnableLUA)11
erfülltRDP NLA (UserAuthentication)11
srv-pwd01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltUAC (EnableLUA)11
erfülltRDP NLA (UserAuthentication)11
srv-pwddb01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltUAC (EnableLUA)11
erfülltRDP NLA (UserAuthentication)11
srv-sync01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltUAC (EnableLUA)11
erfülltRDP NLA (UserAuthentication)11
srv-ts01Server-Audit
StatusPrüfpunktIst-ZustandSoll
erfülltUAC (EnableLUA)11
erfülltRDP NLA (UserAuthentication)11
Web-Anwendung metabdeWeb-Audit
StatusPrüfpunktIst-ZustandSoll
nicht erfülltHTTP-Security-Header gesetzt (HSTS/CSP/X-Frame/X-Content-Type)KEINE Security-Header vorhanden (kein HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy)HSTS + X-Frame-Options/CSP frame-ancestors + X-Content-Type-Options: nosniff
teilweiseTechnologie-/Versions-Disclosure unterdrücktServer: Microsoft-IIS/10.0; X-Powered-By: ASP.NET; X-AspNet-Version: 4.0.30319; Legacy ASP.NET Web FormsServer-/Framework-Header entfernt
erfülltHTTP erzwingt HTTPS (Redirect)Port 80 -> 302/307 auf https:// (metabde + login)automatischer HTTPS-Redirect
erfülltAuth-Session-Cookie gehärtet.AspNet.SharedCookie: secure + httponly + samesite=lax (SSO domain=muster-metall.at)Secure + HttpOnly + SameSite
teilweiseAntiforgery-Cookie mit Secure-Flag.AspNetCore.Antiforgery: httponly + samesite=strict, aber OHNE Secure-FlagSecure-Flag auch auf Antiforgery-Cookie
erfülltZentralisierte Authentifizierung (SSO) + CSRF-SchutzASP.NET Core Identity, zentrales login.muster-metall.at; Antiforgery-Token im Login; Cache-Control: no-store; keine offene Registrierung (Register 404)zentrale, CSRF-geschützte Authentifizierung
erfülltViewState-Schutz (Web Forms)__VIEWSTATE verschlüsselt/MAC'd (hohe Entropie), __EVENTVALIDATION aktiv — aber sehr groß (3,9 MB, Performance)ViewState verschlüsselt + MAC, moderate Größe
erfülltKeine Fehlkonfiguration / Info-Disclosurekein /swagger, /appsettings.json, /web.config, /.env, /api (alle 404); keine Stack-Traces; Path-Traversal geblockt; TRACE->501; trace.axd-Handler noch vorhanden (403)keine exponierten Config-/Debug-Endpunkte
teilweiseIntegrität externer Skripte (SRI) / Supply-ChainjQuery 3.6.0 von code.jquery.com OHNE integrity/SRI-Hash (zusammen mit fehlender CSP)externe Skripte mit SRI + CSP, oder lokal gehostet

Maßnahmen

Verlauf

  1. Lauf vom 20.1.2026: nicht erfüllt
    20.10.2026, 07:15
  2. Lauf vom 16.12.2025: nicht erfüllt
    20.10.2026, 07:15
  3. Lauf vom 18.11.2025: nicht erfüllt
    20.10.2026, 07:15
  4. Lauf vom 14.10.2025: nicht erfüllt
    20.10.2026, 07:15
  5. Maßnahme angelegt: Server-Baseline per GPO
    20.10.2026, 07:15

Kommentare

Noch keine Kommentare.