Viele Systeme kommen mit Einstellungen, die vor allem bequem sind. CIS Benchmarks beschreiben Schritt für Schritt, welche Einstellungen sicherer sind und warum. Herausgeber ist das Center for Internet Security (CIS), eine gemeinnützige Organisation in den USA. Laut CIS gibt es mehr als 100 Benchmarks für über 25 Produktfamilien, darunter Betriebssysteme, Server- und Desktop-Software, Cloud-Plattformen und Cloud-Dienste, Datenbanken, Container, Mobilgeräte und Netzwerkgeräte. Sie sind eine der bekanntesten Grundlagen für die Systemhärtung.
Wie entstehen CIS Benchmarks und was bedeuten Level 1 und 2?
Die Entwürfe entstehen gemeinsam mit Freiwilligen aus der Praxis, Herstellern und dem CIS-Team und werden diskutiert, bis Konsens besteht. Jede Empfehlung ist mindestens einem Profil zugeordnet:
- Level 1: Grundschutz, der sich rasch umsetzen lässt und die Nutzbarkeit kaum einschränkt.
- Level 2: zusätzliche Maßnahmen für Umgebungen, in denen Sicherheit Vorrang hat. Sie können Funktionen einschränken und brauchen mehr Tests.
Für ausgewählte Systeme bündelt ein zusätzliches STIG-Profil die Empfehlungen, die den Security Technical Implementation Guides des US-Verteidigungsministeriums entsprechen; es ersetzt das frühere Level 3.
CIS Benchmarks und CIS Controls
Die beiden werden oft verwechselt. CIS Benchmarks sind technische Konfigurationsanleitungen für ein bestimmtes Produkt. Die CIS Controls sind dagegen ein priorisierter Maßnahmenkatalog für die gesamte Organisation: Version 8.1 umfasst 18 Controls mit 153 Einzelmaßnahmen (Safeguards). Die Implementation Group 1 beschreibt grundlegende Cyberhygiene, die laut CIS für jedes Unternehmen gilt; IG2 und IG3 bauen darauf auf.
Praxis für KMU und Gemeinden
- Mit Level 1 beginnen: Für Arbeitsplätze, Server und Microsoft 365 ist Level 1 ein realistischer Ausgangspunkt.
- Nicht blind übernehmen: Einstellungen erst in einer Testgruppe ausrollen, siehe Change Management (IT). Begründete Abweichungen dokumentieren.
- Zentral verteilen: Gruppenrichtlinien oder Microsoft Intune setzen Einstellungen einheitlich. Eine Alternative für Windows sind die Security Baselines von Microsoft, die sich ebenfalls über Intune bereitstellen lassen.
- Laufend messen: Eine Härtung, die niemand überprüft, weicht mit der Zeit auf. Werkzeuge vergleichen den Ist-Zustand regelmäßig mit dem Sollwert.
- Lizenz beachten: Die kostenlosen PDFs stehen unter der Lizenz CC BY-NC-SA 4.0 und sind damit nur für nichtkommerzielle Nutzung freigegeben. Weitere Formate und Werkzeuge gibt es über die Mitgliedschaft CIS SecureSuite.
Grenzen
Ein Benchmark ersetzt weder Updates noch Berechtigungskonzepte: Patch-Management und Least Privilege bleiben nötig. Für Organisationen, die sich an der deutschen Methodik orientieren, liefert der BSI IT-Grundschutz ergänzende Anforderungen.
Bezug zu TOMORIS
GRID.observe vergleicht Konfigurationen mit definierten Sollzuständen und erkennt Abweichungen von der Baseline. Die Härtung selbst setzt EXPERTS Cyber Security mit Security-Baselines um.