Anforderungen für Verzeichnisdienste
This content is not available in your language yet.
(Server-)Anwendungen, zur zentralen Verwaltung und Bereitstellung von Informationen.
Beispiele: DNS,X.500, LDAP.
Teil von Anwendungen.
84 Anforderungen gelten für ein Asset dieser Kategorie: 3 direkt zugeordnet, 81 geerbt. Dazu kommen die 364 Anforderungen ohne Zielobjektkategorie, die in jedes Anforderungspaket gehören: zusammen 448. Nach STM.2.1.4.1 erhält ein Asset auch die Kategorien über seiner eigenen, so rechnet die Übersicht.
Dieses Paket weitergeben: Im Export öffnen als Excel, CSV oder Checkliste für Tickets und Wikis. Dort lassen sich weitere Kategorien dazunehmen.
Anforderungen mit zwei Kategorien stehen bei beiden. Der Katalog sagt nicht, ob „oder“ oder „und“ gemeint ist; wir lesen es als „oder“. Das ist unsere Lesart, keine Aussage des BSI.
Direkt zugeordnet (3)
Abschnitt betitelt „Direkt zugeordnet (3)“| Anforderung | Pflicht | Stufe |
|---|---|---|
| BER.3.23 Notfallzugang Verzeichnisdienst | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.12.1.8 Duplikate im Verzeichnisbaum | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.6.1 Verhaltensanalyse von Zugangskonten | KANN | Erhöhte SicherheitsstufeErhöht |
Geerbt von Anwendungen (81)
Abschnitt betitelt „Geerbt von Anwendungen (81)“Gilt für ein Asset dieser Kategorie, weil Verzeichnisdienste unter Anwendungen steht.
| Anforderung | Pflicht | Stufe |
|---|---|---|
| ARCH.7.1 Dedizierte Hostsysteme für Server | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.2.3.2 Software Bill of Materials (SBOM) | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.7.1 Nicht mehr benötigte Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.3.7 Single-Sign-On | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.3.8 Hinweise bei Anmeldefehlern | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.3.11 Anmeldeversuchsgrenze an der Anwendung | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.3.13 Sperre der Anwendung bei Inaktivität | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.4.6 Anwendungsfunktionen ohne Authentifizierung | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.5.7 Vorkonfigurierte Authentisierungsmittel von Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.5.8 Mehr-Faktor-Authentisierung am Perimeter (auch für Externe Netzanschlüsse) | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.5.11 Zugriffsbeschränkung pro Anwendung | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1 Protokollierung sicherheitsrelevanter Ereignisse | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1.7 Was, Wann, Wo | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1.8 Privilegierte Ereignisse | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1.9 Fehler der Anwendung | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.14 Verfügbarkeit der Anwendung | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.2.2 Dokumentation der (Software-)Architektur | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.2.3 Ausführbarkeit mit minimalen Rechten | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.2.5 Einschränkung des Zugriffs auf Zugangsdaten | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.2.6 Widerstandsfähigkeit gegen gängige Angriffsmuster | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.2.6.1 Eingabevalidierung | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.2.6.2 Ausgabekodierung | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.3.1 Replay-Angriffe | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.3.2 Routinen zur Fehlerbehandlung | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.3.3 Deaktivierung der Ausgabe schützenswerter Daten durch Fehlermeldungen | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.3.4 Passwort-Hashing | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.1 Nutzerinformation bei kritischen Ereignissen | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.2 Einbindung externer Software | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.3 Softwarebestandteile (SBOM) | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.4 Integrität externer Software | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.5 Updates externer Software | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.6 Compileroptionen | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.8 Default-Zugangsdaten | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.9 Voreinstellungen nach dem Prinzip “Security by Default” | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.10 Protokollierung von Codeänderungen | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.4.11 Test bei Änderungen am Quellcode | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.5.1 Verankerung des Zeitraums für Updates | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.5.2 Information über Zeitraum für Updates | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.5.3 Integritätsprüfung | SOLLTE | Standard-SicherheitsstufeStandard |
| DEV.7.2 Zertifikatsmonitoring | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.6.6 Getrennte Datenhaltung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.6.6.1 Mandantenfähigkeit | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.6.7 Privilegierte Funktionen der Anwendung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.8.2 Automatische Updates der Anwendung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.10.1 Grundkonfiguration für Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.10.1.1 Versionierung der Anwendungskonfiguration | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.10.2 Kryptographische Verfahren in Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.10.3 Default-Zugangsdaten in Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.10.4 Deaktivierung nicht benötigter Anwendungsfunktionen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.10.5 Überprüfung der Konfiguration | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.11.1 Authentifizierung vor dem Zugriff | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.11.1.2 Authentifizierung von Netzverbindungen - clientseitig | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.11.7 Einschränkung von Schnittstellen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.12.1 Eingabevalidierung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.14.1 Verschlüsselung beim Transport | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.14.1.1 Obligatorische Verschlüsselung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.14.5 Zeitüberschreitung von Netzverbindungen | SOLLTE | Standard-SicherheitsstufeStandard |
| NOT.4.3 Sicherung der Anwendung | SOLLTE | Standard-SicherheitsstufeStandard |
| SENS.2.3 Verschlüsselung und Signatur (auch für Nutzende) | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.8.3 Redundante Server | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.9.2 Lastverteilung | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.9.3 Automatische Skalierung | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.9.4 Content Delivery Network | KANN | Erhöhte SicherheitsstufeErhöht |
| BER.3.25 Alternative Authentifizierung an der Anwendung | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.3.1.10 Nutzungsstatistik | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.3.1.11 Anwendungsspezifische Ereignisse | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.6 Anomale Nutzung der Anwendung | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.16 Ressourcenauslastung der Server-Dienste | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.17 Anwendungsbasiertes Kapazitätsmanagement | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.10.3 Automatisierte Überwachung von Anwendungsupdates | KANN | Erhöhte SicherheitsstufeErhöht |
| DEV.4.7 Deterministischer Binärcode | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.6.13 Dynamische Zugriffskontrolle in der Anwendung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.10.5.1 Automatisierte Überprüfung der Konfiguration | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.11.6 Übersicht angemeldeter Verbindungen | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.11.8 Verschlüsselung schützenswerter Daten (at-rest) | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.14.1.2 Ende-zu-Ende-Verschlüsselung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.14.4 Caching (auch für Mobile Endgeräte) | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.15.1 Begrenzung des Speicherplatzes (auch für Hostsysteme) | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.15.2 Begrenzung der Rechenleistung (auch für Hostsysteme) | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.15.3 Schutz gegen Denial of Service (auch für Hostsysteme) | KANN | Erhöhte SicherheitsstufeErhöht |
| NOT.4.17 Anwendungstest | KANN | Erhöhte SicherheitsstufeErhöht |
Dokumente zu diesen Anforderungen (13)
Abschnitt betitelt „Dokumente zu diesen Anforderungen (13)“Diese Anforderungen nennen 13 Dokumenttypen, in denen das Ergebnis festzuhalten ist. Die Anforderungen ohne Zielobjektkategorie und die der Methodik-Praktiken nennen weitere, alle stehen unter Dokumente im Katalog.
| Dokument | Anforderungen | davon MUSS |
|---|---|---|
| Konfigurationshistorie | 36 | 0 |
| Freigabeplan | 13 | 0 |
| Detektions-Konzept | 9 | 0 |
| Entwicklungsdokumentation | 7 | 0 |
| Audit Log | 5 | 0 |
| IT-Betriebskonzept | 3 | 0 |
| Anwendungsdokumentation | 2 | 0 |
| Codehistorie | 2 | 0 |
| Datensicherungskonzept | 2 | 0 |
| Inventar Berechtigungen | 2 | 0 |
| Arbeitsanweisung | 1 | 0 |
| Inventar Anwendungen | 1 | 0 |
| Schulungsplan | 1 | 0 |
Ohne Zielobjektkategorie (364)
Abschnitt betitelt „Ohne Zielobjektkategorie (364)“364 Anforderungen nennen keine Kategorie. Nach dem BSI-Standard 300-1 (3.4.1) gehören sie in jedes Anforderungspaket. Sie stehen hier nicht einzeln, die Liste gibt es im Export (Auswahl: „ohne Zielobjektkategorie“).