Publikation von Christoph Puppe
IT-Sicherheit: Neuer Entwurf des BSI-Bausteins zu Containern
Das IT-Grundschutz-Kompendium enthält Anforderungen, die Bundesbehörden einhalten müssen. Nach zahlreichen Kommentaren zum ersten Entwurf von 2018 legte das BSI den Container-Baustein SYS.1.6 als überarbeiteten Public Draft für die Edition 2021 vor. CI/CD und Orchestrierung rückten in den Fokus und brachten sieben neue Anforderungen. Wie alle Bausteine seit 2017 gliedert er sich in Basis, Standard und erhöhten Schutzbedarf, dazu kommen die 47 elementaren Gefährdungen. Container-spezifisch sind vor allem Schwachstellen in Images, ungesicherte administrative Zugänge, fehlende Persistenz und neu der Ausbruch aus einem Container. Grundlage bleiben die Server-Bausteine, ergänzt um „SYS.1.6.A4 Härtung des Host-Systems" und „SYS.1.6.A7 Härtung der Software im Container". Die Planungsanforderungen verlangen, den Separierungsgrad am eigenen Schutzbedarf festzumachen, denn seit Rowhammer, Meltdown und Spectre sollte jedem klar sein, dass geteilte Hardware immer ein Risiko bleibt. „SYS.1.6.A15 Unveränderlichkeit der Container" und „SYS.1.6.A12 Nur eine Anwendung bzw. ein Dienst pro Container" erschweren das Ausnutzen von Schwachstellen erheblich; wer SECCOMP, SELinux und AppArmor ausschöpft, muss den Vergleich mit einem Typ-1-Hypervisor nicht mehr fürchten. Für erhöhten Schutzbedarf fordert „SYS.1.6.A33 Mikro-Segmentierung von Containern" die regelbasierte Steuerung per mTLS im Service Mesh. Das Urteil: Der Draft deckt Planung, Betrieb und Orchestrierung vollständig ab, ist aber noch nicht bindend, und die Umsetzungshinweise fehlen weiterhin; die finale Entscheidung über die angemessene Separierung bleibt beim Inhaber der Daten.
heise online · iX 5/2020 · PDF · Permalink