ConfigurationRemediation.
Ein falsch konfiguriertes System wird nicht durch einen Befund sicherer. Configuration Remediation übersetzt eine freigegebene Sollvorgabe in eine nachvollziehbare Änderung: automatisiert oder kontrolliert durch Betriebsteams. Sie braucht Tests, Ausnahmen, Rollback und den Nachweis des neuen Zustands.
Sollzustände kontrolliert wiederherstellen.
Scanner und Compliance-Werkzeuge erkennen häufig Abweichungen. Remediation-Werkzeuge setzen Konfigurationen auf Endpunkten, Servern, Cloud-Ressourcen oder Plattformen um. Die gleiche Änderung kann in einer Testumgebung richtig und in Produktion schädlich sein. Darum gehören Change-Freigabe, Staging, Verantwortlichkeit und technische Validierung zum Werkzeugkonzept.
Sollzustand als Code,
Ausrollen in Ringen.
- Eine anerkannte Härtungsvorgabe (z. B. CIS Benchmarks oder Herstellerbaselines) als Ausgangspunkt wählen, begründete Abweichungen dokumentieren und das Ergebnis versioniert im Repository führen.
- Doppelte Steuerung auflösen: Jede Einstellung kommt aus genau einer Quelle, etwa Gruppenrichtlinie oder Geräteverwaltung, sonst überschreiben sich die Vorgaben gegenseitig.
- Änderungen in Ringen ausrollen: Pilotgruppe, repräsentative Fachbereiche, danach Gesamtbestand, mit festen Abbruchkriterien je Ring.
- Abweichungen periodisch erkennen und je nach Einstufung automatisch zurücksetzen oder als Befund melden.
- Anteil Systeme je Plattform, die der aktuellen Baseline entsprechen
- Zeit von der erkannten Abweichung bis zur Wiederherstellung des Sollzustands
- Anzahl Einstellungen, die aus mehreren Quellen widersprüchlich gesteuert werden
Plattform-Owner verantworten Baseline und Ausnahmen ihrer Systeme. Betriebsteams setzen um, Security definiert Mindestvorgaben und misst die Einhaltung.
ISO/IEC 27001:2022 Annex A 8.9 (Konfigurationsmanagement) sieht festgelegte, dokumentierte, umgesetzte und überwachte Konfigurationen vor; 8.32 (Änderungsmanagement) gilt auch für automatisierte Korrekturen.
NIS2 Art. 21 Abs. 2 lit. e und g nennt Sicherheit bei Erwerb, Entwicklung und Wartung sowie Cyberhygiene; der BSI-Baustein OPS.1.1.3 (Patch- und Änderungsmanagement) behandelt die kontrollierte Umsetzung.
Eine hohe Konformitätsquote heisst nicht, dass die Baseline gut ist. Wer Ausnahmen grosszügig vergibt oder schwache Vorgaben wählt, erreicht volle Konformität ohne Sicherheitsgewinn.
Automatisierung braucht kontrollierte Grenzen.
| Produkt | Primärer Schwerpunkt | Dokumentierter Umfang | Im Pilot klären |
|---|---|---|---|
| Microsoft Intune Security Baselines | Endpoint-Konfiguration im Microsoft-Umfeld | Stellt empfohlene Einstellungen als Sicherheitsbaselines bereit und verteilt sie über Intune. | Auswirkungen auf vorhandene Policies, Ausnahmen, Rollback und Nachweis auf verwalteten Geräten. |
| Red Hat Ansible Automation Platform | Automatisierung über Infrastruktur und Anwendungen | Automatisiert wiederholbare Aufgaben und Konfigurationsabläufe über Playbooks und Integrationen. | Code Review, Secrets, Idempotenz, Staging und die Übergabe aus dem Change-Prozess. |
| Puppet Enterprise | Desired-State-Configuration im Enterprise-Betrieb | Definiert und erzwingt gewünschte Systemzustände über verwaltete Infrastruktur. | Modellierung des Sollzustands, Ausnahmen, Agentenbetrieb und sichere Rückführung von Abweichungen. |
| Chef Infra | Infrastructure as Code und Configuration Automation | Verwaltet Infrastruktur- und Konfigurationszustände als Code und automatisierte Abläufe. | Repository-Governance, Freigabeprozess, Secrets und die Fähigkeit, Änderungen in Produktion zurückzunehmen. |
Eine echte Abweichung sicher beheben.
Der Pilot muss eine reale, aber risikoarme Fehlkonfiguration vom Befund bis zum nachgewiesenen Sollzustand führen. Entscheidend ist, ob die Änderung kontrolliert, nachvollziehbar und ohne unerkannte Nebenwirkung möglich ist.
- Eine konkrete Sollvorgabe mit Owner und Freigabe definieren
- Änderung zuerst in Test oder Staging ausführen
- Ausnahme, Ablaufdatum und Begründung im Prozess führen
- Rollback und Wiederherstellung unter realistischen Bedingungen prüfen
- Neuen Zustand technisch messen und revisionsfähig exportieren
Security Tool Navigator · Gebiet 02
Im Gebiet Asset, Vulnerability und Exposure einordnen.
Diese Werkzeugklasse gehört zum Gebiet Asset, Vulnerability und Exposure. Der Gebietshub zeigt, wie die Werkzeugklassen zusammenwirken, wo sie sich abgrenzen und welche Fragen CIO und CISO jeweils klären.