Basishärten von Macintosh Systemen

Up-to-date bleiben

Eine einfache Art, wichtige Fehlerkorrekturen und Sicherheitspatches möglichst bald nach Erscheinen zu erhalten. OS X bietet über die Funktion "Software Update" die Möglichkeit, den Vorgang zu automatisieren. Standardmässig wird "Software Update" wöchentlich automatisch gestartet, dieser Wert sollte bei exponierten Systemen jedoch auf einen kürzeren Zeitraum (täglich) gesetzt werden:

Obwohl Apple sicher eine der besseren Qualitätssicherungs-Prozesse in der Software-Industrie hat, können sich in solche Patches Fehler einschleichen. Daher bitte immer erst – sofern möglich – auf einem nicht-kritischen System testen.

Abschalten unnötiger Services

Mac OS X hat in der Default-Installation alle Services die auf dem "Inetd" (dem Internet Master-Dienstprozess) laufen abgeschaltet. Falls Sie nicht sicher sind, können Sie diese Einstellungen in /etc/inetd.conf überprüfen, z.B. mit einem Texteditor oder dem Shell-Kommando cat /etc/inetd.conf.

Betreffs dieser Default-Einstellung gibt es unter Umständen eine Ausnahme: Den FTP-Service kann man auch über die System Preferences einstellen (System Preferences à Sharing à File & Web). Hier kann die Checkbox "Allow ftp access" an- oder abgewählt werden.

Falsch konfigurierte Services können grosse Sicherheitslücken im System hinterlassen, daher sollte grossen Wert auf eine richtige Konfiguration nach dem "so wenig als möglich – so viel wie nötig" Prinzip gelegt werden. Wenn ein Service läuft und Sie wissen eigentlich gar nicht so richtig was er macht – schalten Sie ihn ab. Wenn er wichtig war wird sich jemand melden, wenn nicht, hat man ein potentielles Sicherheitsleck gestopft.

Falls es auf einem Ihrer Systeme nötig ist, Internet-Services anzubieten, beispielsweise für Webserver, FTP-Server oder ähnliches, bietet sich der Einsatz von sogenannten "TCP Wrappers" an. Diese arbeiten als "Mittelsmann" zwischen der Aus-senwelt und den System-Services und bieten eine massiv bessere Kontrolle über diese als das ohne Wrappers möglich wäre. So können Anfragen gefiltert werden um beispielsweise ein "Spoofing" (siehe Glossar) oder eine "TCP Sequence prediction" (siehe Glossar) zu verhindern. Bei OS X ist bereits ein Open Source Produkt integriert, welches genau diese Aufgaben erfüllt: www.macosxhints.com

Mac OS X Leopard

Mac OS X Leopard (10.5) bringt einige sicherheitsrelevante neue oder verbesserte Features mit sich: