Greenbone integriert CIS Docker Compliance Tests in Schwachstellenmanagement

Seit fast zwei Jahren nimmt Greenbone immer mehr Tests aus den Empfehlungen des Center for Internet Security (CIS) in seinen Sicherheitsfeed auf. Zu den neuesten gehören Benchmarks für die Container-Management-Lösung Docker. Docker ist eine der am meisten verbreiteten Container-Technologien in Unternehmensumgebungen. Ihre zunehmende Beliebtheit in DevOps-Kreisen, ihre Benutzerfreundlichkeit und Flexibilität haben sie bei Entwicklern und DevOPS populär gemacht.

Aus diesem Grund stellt die CIS Benchmark-Tests für die Konfigurationskonformität in Docker-Umgebungen zur Verfügung, die „für System- und Anwendungsadministratoren, Sicherheitsspezialisten, Auditoren, Helpdesk- und Plattformbereitstellungspersonal gedacht sind, die planen, Lösungen zu entwickeln, bereitzustellen, zu bewerten oder zu sichern, die Docker einbeziehen“ – und Greenbone freut sich, diese Tests in seine Vulnerability-Management-Produkte zu integrieren.

Docker-Umgebungen auf Schwachstellen testen

Die CIS-Benchmarks (mehr als 140, Stand 2023) enthalten Anleitungen zu Best Practices für die Konfiguration von IT-Systemen, Netzwerken und Software. Sie werden in Zusammenarbeit mit Entwicklern, Fachleuten und Unternehmen in Docker-Umgebungen erstellt und haben sich als Referenz für Compliance-Tests im Bereich Cybersicherheit etabliert. Die CIS-Benchmarks sind in sieben Gruppen unterteilt (Betriebssystem, Server-Software, Cloud-Provider-Benchmarks, Mobilgeräte, Netzwerkgeräte, Desktop-Software, Multifunktionsdrucker), wobei die Docker-Tests in der Server-Sektion angesiedelt sind.

Greenbone unterstützt CIS-Benchmarks seit Jahren

Seit 2021 integriert Greenbone kontinuierlich CIS-Benchmarks in seine Produkte – jetzt auch die Docker-Compliance-Benchmarks für Docker-Systeme ab Version 1.4 (bisher Version 1.2). Alle Tests werden von Greenbone in Scan-Konfigurationen zusammengefasst und dem Greenbone Enterprise Feed hinzugefügt. Das Greenbone Schwachstellenmanagement führt den Testsatz auf einem Zielsystem aus und prüft dabei die Konfiguration und andere Einstellungen, z. B. Dateiberechtigungen. Anschließend sendet es einen Bericht mit Abhilfestrategien an den Administrator, der dann seine Systeme an die Empfehlungen zur Einhaltung der Sicherheitsvorschriften anpassen kann.

Zertifiziert durch CIS

Als Mitglied des CIS-Konsortiums baut Greenbone seine CIS-Benchmark-Scan-Konfigurationen kontinuierlich aus – aktuell arbeitet Greenbone zum Beispiel an der Kubernetes-Integration. Wie alle von Greenbone auf Basis der CIS Benchmarks entwickelten Compliance Policies sind auch die neuesten von der CIS zertifiziert – das bedeutet maximale Sicherheit, wenn es darum geht, ein System nach den CIS-Härtungsempfehlungen zu auditieren. Dies vereinfacht nicht nur die Vorbereitung von Audits, wichtige Kriterien können bereits im Vorfeld mit einem Scan durch ein Greenbone-Produkt überprüft und ggf. gefundene Schwachstellen behoben werden, bevor Probleme entstehen.