Lernzielkontrolle: Zugriffskontrollen und Richtlinien

Frage 1/10: Tom untersucht eine ältere medizinische Anwendung, die ihre Konfigurationsdaten in ein geschütztes Systemverzeichnis schreibt. Ohne erhöhte Berechtigungen startet sie nicht. Eine pauschale Vergabe lokaler Administratorrechte möchte das Security-Team vermeiden. Melina soll eine Lösung empfehlen, die den Betrieb ermöglicht und zugleich das Principle of Least Privilege möglichst konsequent umsetzt. Welche Maßnahme ist am besten geeignet?

Frage 2/10: Die NovaHealth führt ein zentrales Verzeichnis für Befunddateien ein. Medizinische Geräte legen dort neue Dateien ab. Ein Analysedienst verarbeitet und korrigiert die Dateien, Ärzte rufen die fertigen Befunde ab und ein Archivierungsdienst entfernt sie nach der Übernahme in das Langzeitarchiv. Tom bittet Melina, vier vorgeschlagene ACL-Konzepte zu beurteilen. Welches bildet den vorgesehenen Ablauf mit den geringsten zusätzlichen Zugriffsmöglichkeiten ab?

Frage 3/10: Bei der NovaHealth untersucht Melina gemeinsam mit Tom unterschiedliche Zugriffskontrollen auf Firewalls und ACLs auf anderen Systemen. Die Systeme verwenden nicht dieselbe Logik zur Auswertung ihrer Regeln. Ordne jeder Beobachtung die passende Auswertungslogik zu. Jede Auswertungslogik wird genau einmal verwendet.

Frage 4/10: Bei der NovaHealth soll der Zugriff auf einen Ordner mit vertraulichen Analyseberichten überwacht werden. Tom bittet Melina, die Konfiguration zu prüfen. Am Ordner ist bereits eine SACL für die Gruppe „Jeder“ eingetragen. Als Typ wurde „Alles“ und als Berechtigung „Vollzugriff“ ausgewählt. Trotzdem erscheinen keine entsprechenden Ereignisse im Sicherheitsprotokoll. Außerdem befürchtet ein Administrator, dass durch den Eintrag alle Benutzer Vollzugriff auf den Ordner erhalten haben.

Welche drei Aussagen treffen zu?

Frage 5/10: Die NovaHealth betreibt in ihrem internen Netz einen besonders geschützten Analysebereich, dessen Subnetz derzeit nur durch einen Router angebunden ist. Tom bittet Melina, eine Standard-ACL für den zuständigen Cisco-Router vorzubereiten. Für Quelladressen aus dem internen Adressraum gelten folgende abgestufte Anforderungen:

• Die Administrator-Workstation 10.10.1.1 darf zugreifen.
• Alle anderen Systeme aus 10.10.1.0/24 müssen abgewiesen werden.
• Systeme aus dem übrigen Bereich 10.10.0.0/16 dürfen zugreifen.
• Alle übrigen Quelladressen aus 10.0.0.0/8 müssen abgewiesen werden.

Melina hat die benötigten ACEs bereits formuliert. Bringe sie in die Reihenfolge, in der sie in die ACL eingetragen werden müssen, damit keine der vorgesehenen Ausnahmen durch eine allgemeinere Regel verdeckt wird.

Frage 6/10: Kürzlich wurde ein Penetrationstest einer sensiblen Webanwendung durchgeführt. Die Ergebnisdaten werden auf einem Linux-Server gespeichert. Tom legt für den Bericht „pentest-report.doc“ zunächst einen restriktiven Ausgangszustand fest und ergänzt anschließend gruppenspezifische POSIX-ACL-Einträge:

chmod 600 pentest-report.doc
setfacl -m g:sectrainees:r- – pentest-report.doc
setfacl -m g:secadmins:rw- pentest-report.doc

Melina ist als Trainee Mitglied der Gruppen „sectrainees“ und „secadmins“. Andere Trainees gehören nur zu „sectrainees“. Die Mitarbeiter des Helpdesks sind in keiner der beiden Gruppen. Welche drei Aussagen treffen auf diese Konfiguration zu?

Frage 7/10: Tom bittet Melina, die effektiven Berechtigungen für einen Ordner mit Daten eines Sicherheitsvorfalls bei der NovaHealth zu überprüfen. Melina gehört gleichzeitig zu den Gruppen „IncidentResponders“, „Trainees“ und „Employees“. Die DACL des Ordners enthält folgende ACEs:

• Explizites Deny für Melina: „Löschen“
• Explizites Allow für „IncidentResponders“: „Lesen und Schreiben“
• Geerbtes Deny für „Trainees“: „Schreiben“
• Geerbtes Allow für „Employees“: „Lesen“

Welche effektiven Berechtigungen besitzt Melina?

Frage 8/10: Die NovaHealth verwaltet ihre Windows-11-Laptops in einer Hybridumgebung. Die Geräte sind Mitglied des lokalen Active Directory und zugleich bei Microsoft Intune registriert. Es existiert eine OU „Barcelona Managed Devices“, in der sich nur die Computerkonten der verwalteten Geräte befinden. Tom zeigt Melina folgende Konfiguration:

• Das GPO „Endpoint Hardening“ ist mit der OU „Barcelona Managed Devices“ verknüpft, die ausschließlich Computerkonten enthält.
• Unter „Computerkonfiguration“ aktiviert das GPO den Microsoft Defender.
• Unter „Benutzerkonfiguration“ schränkt dasselbe GPO die Browserfunktionen ein.
• Intune übermittelt an die betreffenden Geräte zusätzlich eine MDM-Richtlinie für den Microsoft Defender.

Welche zwei Aussagen treffen zu?

Frage 9/10: Auf einem Cisco-Router der NovaHealth ist der SSH-Zugriff über die VTY-Lines 0 bis 15 bereits eingerichtet. Telnet wurde mit „transport input ssh“ deaktiviert. Künftig darf nur noch die Administrator-Workstation mit der IP-Adresse 10.1.1.101 eine SSH-Verbindung zum Router aufbauen. Andere Systeme sollen den Router weiterhin über erlaubte Netzwerkprotokolle erreichen können. Tom bittet Melina, die geeignete Ergänzung auszuwählen.

Welche Konfiguration erfüllt die Anforderung am besten?

Frage 10/10: Auf mehreren Laborrechnern der NovaHealth wurde ein nicht freigegebenes Fernwartungsprogramm entdeckt. Tom beauftragt Melina damit, die Einführung einer Application-Control-Lösung vorzubereiten. Die meisten eingesetzten Herstelleranwendungen sind digital signiert und werden regelmäßig aktualisiert. Einige intern entwickelte Hilfsprogramme sind nicht signiert, ändern sich aber nur selten. Zusätzlich verwenden einzelne Fachabteilungen Spezialsoftware, die noch nicht vollständig inventarisiert wurde.

Welche drei Maßnahmen eignen sich für eine sichere Einführung?