NSA veröffentlicht Automatisierungstool zur Systemsicherheit
Mit SIMP hat die NSA einen Betriebssystem-Aufsatz zum Härten von RHEL und CentOS entwickelt, den sie nun unter der Apache-Lizenz freigibt.
- Susanne Nolte
Zum automatisierten Einrichten sicherer Systeme hatte die NSA das Ruby-Programm SIMP (System Integrity Management Platform) entwickelt, nun will sie es als Open Source anderen zur Verfügung stellen. SIMP ist ein Aufsatz für Red Hat Enterprise Linux (RHEL) und das Community Enterprise Operating System (CentOS) und deshalb ausschließlich auf die Linux-Distributionen aus dem Hause Red Hat ausgelegt.
Es übernimmt und automatisiert das Einrichten und Konfigurieren der Systeme so weit wie möglich und überwacht die Einhaltung der Sicherheitsvorgaben, lässt sich aber durch die Ruby-Skripte anpassen. Für Multi-Host-Konfigurationen verwendet es Puppet - 2.7.13 oder höher. Für die Benutzerverwaltung setzt es auf OpenLDAP. Darüber hinaus benötigt es den Domain Name Server Bind 9, ISC DHCP, PXELinux, Apache IPtables, Auditd, AIDE (Advanced Intrusion Detection Environment), Rsyslog Version 3+, TFTP (Trivial File Transfer Protocol), YUM (Yellowdog Updater, Modified), RedHat Kickstart und das X.509-Key-Management.
Vom Systemverwalter verlangt es Kentnisse aller dieser System und Dienste, einschließlich Erfahrung an der Kommandozeile, da es keine GUI bietet. Für Anpassungen oder um die erweiterten Fähigkeiten von Puppet zu nutzen, sind Ruby-Kenntnisse unabdinglich.
Als Sicherheitsrichtlinien verwendet SIMP die Guidelines des SCAP Security Guide Project (SSG), das auf das Security Content Automation Protocol (SCAP) des NIST (National Institute of Standards and Technology) fußt. Das Projekt bietet derzeit Leitfäden und Validierungsmechanismen für RHEL 5, 6 und 7, Fedora, Java (JRE), Chromium, Firefox, OpenStack, JBoss Enterprise Application Server 5 (JBoss EAP5), JBossFuse6 und Webmin. Ein Toolkit zum Umgang mit den SCAP-Dokumenten bietet das Projekt OpenSCAP.
Erste Teile des Codes sind bereits unter die Apache-Lizenz 2.0 gestellt und auf Github veröffentlicht. Die SIMP-Version 4.2.0 setzt auf die RHEL- und CentOS-Version 6.6 auf, die SIMP-Version 5.1.0 auf RHEL und CentOS 7.1. Der Fortschritt der Veröffentlichung lässt sich auf der beim Jira- und Confluence-Anbieter Atlassian gehosteten SIMP Development Homepage verfolgen. (sun)
