Einführung
Sicherheitslücken in der elektronischen Datenverarbeitung bergen für jede Behörde, jedes Unternehmen und auch für den privaten Anwender Gefahren in sich. Absolute Sicherheit gibt es bekanntermaßen nicht. Es existieren jedoch Freie Software Produkte, die bei der Identifikation von Sicherheitsproblemen und deren Lösung helfen können.

Die Open Source Software BOSS (BSI OSS Security Suite) baut im wesentlichen auf dem bewährten Sicherheits-Scanner Nessus [1] auf. Hinzugekommen ist neben der BOSS-Oberfläche der Security Local Auditing Daemon (SLAD) [2], der die Steuerung der angebundenen lokalen Sicherheitssoftware übernimmt.

Die Benutzerfreundlichkeit wurde durch die BOSS-Oberfläche wesentlich erweitert. Durch den entwickelten SLAD verfügt Nessus jetzt über die Möglichkeit Ziel-Systeme auch intensiv von innen her auf Schwachstellen oder gar bereits erfolgreiche Angriffe zu prüfen. Die zentrale, vereinfachte Steuerung und Auswertung vereinfacht damit das organisationsweite Sicherheitsauditing fundamental. Es werden für das Aufspüren von Sicherheitsproblemen in der behörden- bzw. der unternehmensweiten Informationstechnik neue Maßstäbe gesetzt.

Für den OSS-Nessus-Server existieren derzeit ca. 12.000 Plugins, die es ermöglichen auf verschiedenste Sicherheitslücken aller relevanten Betriebssysteme und Netzwerk-Produkte zu prüfen. Täglich kommen neue Plugins hinzu. Der SLAD steuert wichtige Sicherheitssoftware wie TIGER, John-The-Ripper, Tripwire, LSOF, ClamAV oder Chkrootkit.

Mit der neuen BOSS Version 2.0 kann der SLAD komfortabel von der BOSS-Oberfläche aus auf den Clients installiert werden. Wie bei der gesamten Kommunikation über das Netzweit verteilte Sicherheitsanalyse System, wird auch die Installation des SLAD hierbei über eine gesicherte, verschlüsselte Verbindung abgewickelt. Neben verbesserter Bedienoberfläche, Geschwindigkeitsoptimierung und Parallelverarbeitung sind weitere Module für SysLog-NG, SNMP-Trap, Snort-2 und Hardware-Log in BOSS 2.0 integriert worden. Ein ausgeklügeltes Caching und das Speichern von Konfigurationen ermöglicht jetzt eine schnellere Initierung und Durchführung von Tests, was noch durch die Möglichkeit der parallelverarbeitung von Scans unterstützt wird. Die Prüfvorgaben für einzelne Tests können jetzt auch in der BOSS-Oberfläche jederzeit eingesehen werden.

Hinweise
Das aktuelle BOSS Download-Image beinhaltet ausschließlich Freie Software. Dies betrifft ebenso die enthaltenen Plugins. Da diese nicht den gesamten Prüfumfang aller verfügbaren Plugins umfassen können und neue Sicherheitslücken veröffentlicht bzw. bekannt wurden, die auf der BOSS-Live-CD bisher nicht aktualisiert werden konnten, sind die derzeit durch BOSS getroffenen Sicherheitsaussagen nicht immer zutreffend. Sie sollten daher die Plugins beim Einsatz von BOSS in sensiblen Bereichen möglichst häufig aktualisieren.
Man kann die Plugins bei einer Installation selbsttätig vervollständigen bzw. aktualisieren. Dies erfordert aber tiefere Systemkenntnisse und ein sorgfältiges Studium der Dokumentationen.
Auch die nicht unter Freier Software-Lizenz stehenden Plugins können gegen Registrierung kostenfrei von der Nessus Homepage herunter geladen und unter BOSS verwendet werden.
Bei der Software BOSS und auch der BOSS-Live-CD handelt es sich um Freie Software, die zum Teil unter GNU GPL steht. Wir weisen darauf hin, dass sich jeder Nutzer von BOSS und der BOSS-Live-CD mit den auf der CD oder im Internet nachzuvollziehenden lizenzrechtlichen Bedingungen der einzelnen Komponenten vertraut machen muß.

Zum Eintrag in der Datenbank