Anforderungen für Hostsysteme
IT-Systeme die anderen IT-Systemen Dienste bereitstellen.
Auch genannt: Server.
Beispiele: Server, Router, Core-Switch, Firewall.
Teil von IT-Systeme.
102 Anforderungen gelten für ein Asset dieser Kategorie: 9 direkt zugeordnet, 93 geerbt. Dazu kommen die 364 Anforderungen ohne Zielobjektkategorie, die in jedes Anforderungspaket gehören: zusammen 466. Nach STM.2.1.4.1 erhält ein Asset auch die Kategorien über seiner eigenen, so rechnet die Übersicht.
Dieses Paket weitergeben: Im Export öffnen als Excel, CSV oder Checkliste für Tickets und Wikis. Dort lassen sich weitere Kategorien dazunehmen.
Anforderungen mit zwei Kategorien stehen bei beiden. Der Katalog sagt nicht, ob „oder“ oder „und“ gemeint ist; wir lesen es als „oder“. Das ist unsere Lesart, keine Aussage des BSI.
Direkt zugeordnet (9)
Abschnitt betitelt „Direkt zugeordnet (9)“| Anforderung | Pflicht | Stufe |
|---|---|---|
| BER.3.21 Dienstekonten | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.13 Verfügbarkeit des Hostsystems | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.15 Ressourcenauslastung von Hostsystemen | SOLLTE | Standard-SicherheitsstufeStandard |
| GEB.6.2.1 Hostsysteme | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.7.2 Dedizierte Hardware | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.9.2 Begrenzung der Hostleistung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.15.1 Begrenzung des Speicherplatzes (auch für Anwendungen) | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.15.2 Begrenzung der Rechenleistung (auch für Anwendungen) | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.15.3 Schutz gegen Denial of Service (auch für Anwendungen) | KANN | Erhöhte SicherheitsstufeErhöht |
Geerbt von IT-Systeme (93)
Abschnitt betitelt „Geerbt von IT-Systeme (93)“Gilt für ein Asset dieser Kategorie, weil Hostsysteme unter IT-Systeme steht.
| Anforderung | Pflicht | Stufe |
|---|---|---|
| ARCH.5.2 Blockieren direkter öffentlicher Verbindungen | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.2.3.1 Autorisierung von Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.3.4 Kennzeichnung ohne vertrauliche Daten | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.5.1 Wartungsbedarf dokumentieren | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.5.2 Geregelte Wartungen | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.5.4 Behandlung als Änderungen und Tests | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.5.5 Wartungsfenster | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.5.7 Dokumentation von Wartungen | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.6.4 Zurücksetzen auf Ausgangszustand | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.3.10 Anmeldeversuchsgrenze am System | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.3.12 Systemsperre bei Inaktivität | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.3.20 Zwischenspeicherung von Zugangsdaten | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.4.5 Systemfunktionen ohne Authentifizierung | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.5.5 Deaktivierung einfacher Biometrie auf IT-Systemen | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.5.6 Vorkonfigurierte Authentisierungsmittel von IT-Systemen | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.5.10 Zugriffsbeschränkung pro IT-System | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1.1 Authentifizierungen | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1.2 Ausgeführte Kommandozeilenbefehle | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1.3 Anbindung von Peripheriegeräten | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.3.1.4 Systemfehler | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.2 Automatische Angriffserkennung | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.5.10.2 Automatisierte Überwachung von Systemupdates | SOLLTE | Standard-SicherheitsstufeStandard |
| GEB.6.1 Zugang zu Ausgabesystemen | SOLLTE | Standard-SicherheitsstufeStandard |
| GEB.6.2 Geschützte Aufstellung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.1 Grundkonfiguration für Systeme | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.1.1 Versionierung der Systemkonfiguration | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.2 Kryptographische Verfahren in IT-Systemen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.3 Default-Zugangsdaten in IT-Systemen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.4 Deaktivierung nicht benötigter Systemfunktionen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.4.1 Nicht benötigte Zertifikate | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.4.2 Externe Cloud-Anbindungen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.2.5 Überprüfung der Systemkonfiguration | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.3.1 Kryptographischer Hardwarespeicher | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.3.2 Speicherverschlüsselung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.3.3 SIM-PIN | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.3.7 Einschränkung angeschlossener Peripherie | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.3.8 Einschränkung von Wechselmedien | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.4.1 Anbindung an Verzeichnisdienst | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.4.1.1 Weiterleitung von Anmeldeinformationen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.4.2 DNS-Anbindung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.4.2.1 DNS-Verschlüsselung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.4.3 Authentifizierung von Fernwartungsfunktionen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.4.4 Einschränkung von Fernwartungsfunktionen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.4.5 Zeitquellen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.5.1 Authentifizierung am System | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.5.1.1 Authentifizierung an der Firmware | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.5.2 Keine Mehrfachanmeldung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.6.1 Minimal erforderliche Berechtigungen für Anwendungen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.6.4 Privilegierte Systemfunktionen | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.1 Echtzeitscanner | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.2 Regelmäßige Scans | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.5 Alarmierung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.6 Automatische Updates | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.9 Einschränkung der Installation | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.10 Einschränkung der Ausführung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.14 Code-Signierung im Betriebssystemkern | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.15 Lokale Firewall | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.16 Anti-Exploit | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.7.16.1 Anti-Exploit für den Arbeitsspeicher | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.8.1 Automatische Überprüfung | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.8.1.1 Automatische Sicherheitsupdates | SOLLTE | Standard-SicherheitsstufeStandard |
| KONF.9.1 Speicherplatzbegrenzung | SOLLTE | Standard-SicherheitsstufeStandard |
| NOT.4.2 Sicherung des Systems | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.3 Mikrosegmentierung | KANN | Erhöhte SicherheitsstufeErhöht |
| ASST.5.3 Autorisierung von Wartungen | KANN | Erhöhte SicherheitsstufeErhöht |
| ASST.6.3 Konformitätsprüfung | KANN | Erhöhte SicherheitsstufeErhöht |
| BER.3.24 Alternative Authentifizierung am IT-System | KANN | Erhöhte SicherheitsstufeErhöht |
| BER.4.7 IT-System-Zugangskonto | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.3.1.5 Störungen der Netzerreichbarkeit | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.3.1.6 Systemspezifische Ereignisse | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.9 Manipulations-Checkup | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.10 Host-basierte Köder | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.4 Regelmäßige Penetrationstests | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.5.5 Red Teaming | KANN | Erhöhte SicherheitsstufeErhöht |
| GEB.5.2 Schutz gegen Manipulation | KANN | Erhöhte SicherheitsstufeErhöht |
| GEB.5.3 Physische Mikrosegmentierung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.2.5.1 Automatische Konfigurationsverwaltung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.2.7 Souveräne Werkzeuge | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.2.8 Alternative Administrationszugänge | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.2.9 Abgesicherter und authentisierter Bootprozess | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.3.5 Standortbestimmung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.6.1.1 Datenkapselung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.6.1.2 Isolierung von Anwendungen | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.6.4.1 Rollenbasierte Privilegierung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.6.5 Dynamische Zugriffskontrolle im System | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.7.3 Host-basierte Angriffserkennung | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.7.4 Angriffserkennung anhand von Netzverkehr | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.7.7 Regelmäßiger Funktionstest | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.7.8 Dual-Engine-Strategie | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.7.11 Einschränkung von Softwarebibliotheken | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.7.12 Einschränkung von Skripten | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.7.13 Einschränkung von Systemaufrufen | KANN | Erhöhte SicherheitsstufeErhöht |
| KONF.9.3 Alternative Komponenten für kritische Funktionen | KANN | Erhöhte SicherheitsstufeErhöht |
Dokumente zu diesen Anforderungen (14)
Abschnitt betitelt „Dokumente zu diesen Anforderungen (14)“Diese Anforderungen nennen 14 Dokumenttypen, in denen das Ergebnis festzuhalten ist. Die Anforderungen ohne Zielobjektkategorie und die der Methodik-Praktiken nennen weitere, alle stehen unter Dokumente im Katalog.
Ohne Zielobjektkategorie (364)
Abschnitt betitelt „Ohne Zielobjektkategorie (364)“364 Anforderungen nennen keine Kategorie. Nach dem BSI-Standard 300-1 (3.4.1) gehören sie in jedes Anforderungspaket. Sie stehen hier nicht einzeln, die Liste gibt es im Export (Auswahl: „ohne Zielobjektkategorie“).