Server-Baseline per GPO
mittelVerantwortlich IT-Leitung (Daniel Steiner)Fällig —Angelegt 20.10.2026
Stand 20.01.2026geplant
Microsoft-Security-Baseline (SMB-Signing, Firewall, Built-in-Admin, LmCompat 5, Audit) als GPO auf alle Server; Vorlage für neue VMs.
Anforderung
Server nach Sicherheits-Baseline gehärtet- IST
- Keine Baseline: auf allen Servern lokale Passwortrichtlinie leer, SMB-Signing nicht erzwungen, Built-in-Administrator aktiv, Firewall-Profile auf fünf Servern deaktiviert; MetaBDE ohne Security-Header.
- Empfehlung
- Security-Baseline per GPO für alle Server.
Konkret zu ändern
Web-Anwendung metabdeWeb-Audit
- HTTP-Security-Header gesetzt (HSTS/CSP/X-Frame/X-Content-Type)– ist: KEINE Security-Header vorhanden (kein HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy)· soll: HSTS + X-Frame-Options/CSP frame-ancestors + X-Content-Type-Options: nosniff
- Technologie-/Versions-Disclosure unterdrückt– ist: Server: Microsoft-IIS/10.0; X-Powered-By: ASP.NET; X-AspNet-Version: 4.0.30319; Legacy ASP.NET Web Forms· soll: Server-/Framework-Header entfernt
- Antiforgery-Cookie mit Secure-Flag– ist: .AspNetCore.Antiforgery: httponly + samesite=strict, aber OHNE Secure-Flag· soll: Secure-Flag auch auf Antiforgery-Cookie
- Integrität externer Skripte (SRI) / Supply-Chain– ist: jQuery 3.6.0 von code.jquery.com OHNE integrity/SRI-Hash (zusammen mit fehlender CSP)· soll: externe Skripte mit SRI + CSP, oder lokal gehostet
checkmk (Linux)Linux-Audit
- Extern lauschende TCP-Ports– ist: 8· soll: minimal
zabbix (Linux)Linux-Audit
- Extern lauschende TCP-Ports– ist: 10· soll: minimal
Nachweise
Noch kein Nachweis – z. B. Protokoll, Screenshot oder Abnahme der Umsetzung.
Kommentare
Noch keine Kommentare.