Automatisierte Nachweise · 12 Systeme
Integrationen
StandardOS verbindet sich nur lesend mit den Systemen, die Sie ohnehin betreiben, liest bestimmte Einstellungen nach Zeitplan und macht aus jeder Lesung einen Nachweiseintrag zu dem Control in Anhang A, das sie stützt. Eine bestandene Prüfung hält den Eintrag frisch. Eine fehlgeschlagene lässt ihn verfallen, sodass die Verschlechterung in Ihren Benachrichtigungen auftaucht und nicht im Audit.
Nur lesende APIs. Kein Agent auf irgendjemandes Laptop.
Alle Zugangsdaten unten erhalten die darunter aufgeführten Berechtigungen und sonst nichts, und jede davon ist eine Leseberechtigung. Nichts, was StandardOS hält, kann eine Einstellung ändern, einen Befehl senden oder ein Gerät registrieren. Der Gerätezustand wird aus dem MDM gelesen, das Sie ohnehin betreiben. Software auf den Rechnern der Beschäftigten ist die lauteste Klage über die etablierten Anbieter und in einem europäischen Betriebsrat ein Gespräch über Überwachung, bevor sie ein Control ist. Wir führen dieses Gespräch nicht, weil wir nichts installieren.
Zusammen erzeugen die 12 Verbindungen Nachweise für 52 der 93 Controls in Anhang A. Jede Control-Seite nennt die Lesung dahinter, und jede Karte unten verlinkt die Controls, die sie abdeckt.
Identität und Verzeichnis
Microsoft Entra ID
Wie viele Personen Globaler Administrator sind, ob Gastkonten bestehen und ob Mehr-Faktor-Authentifizierung zur Anmeldung tatsächlich verlangt wird.
Was geprüft wird
- Globale Administratoren sind wenige und namentlich bekannt
- Externe Gastkonten sind bekannt
- Zur Anmeldung ist Mehr-Faktor-Authentifizierung erforderlich, durch Sicherheitsstandards oder eine aktive Richtlinie für bedingten Zugriff
- Globaler Administrator wird bei Bedarf aktiviert, nicht dauerhaft gehalten
- Veraltete Authentifizierung ist gesperrt
- Verzeichnisrollen sind von einer MFA-Richtlinie abgedeckt
- Eine Richtlinie verlangt ein konformes oder eingebundenes Gerät
- Kein aktiviertes Konto war 90 Tage ohne Anmeldung
- Anwendungsgeheimnisse und Zertifikate gelten höchstens zwei Jahre
- Gasteinladungen sind eingeschränkt und Gäste sehen wenig
- Jeder Administrator hat einen zweiten Faktor registriert
Was die Zugangsdaten sehen können
- Directory.Read.All
- Policy.Read.All
- RoleManagement.Read.Directory
Eine App-Registrierung mit Anwendungsberechtigungen, einmal von einem Administrator genehmigt. Jede Berechtigung ist eine Leseberechtigung, die Zugangsdaten können also nichts im Mandanten ändern.
Nachweis für
Okta
Ihre Personen, damit das Mitarbeiterregister aktuell bleibt, und die Kontozustände, die bedeuten, dass jemand nie ganz aufgenommen oder nie ganz ausgetragen wurde.
Was geprüft wird
- Verzeichnisbenutzer werden in das Mitarbeiterregister übernommen, und wer hier aktiv, aber aus Okta verschwunden ist, wird benannt
- Keine Konten hängen mitten im Onboarding fest
- Gesperrte Konten sind nachvollziehbar
- Ausgesperrte Konten sind sichtbar
- Super Administrator halten wenige, namentlich bekannte Personen
- Kein aktives Konto war 90 Tage ohne Anmeldung
- Jeder Superadministrator hat einen aktiven Faktor registriert
- Administratorrollen liegen bei wenigen Konten
Was die Zugangsdaten sehen können
- okta.users.read
- okta.roles.read
Ein schreibgeschütztes API-Token. Es erbt die Rechte des Administrators, der es erstellt, und wird deshalb als schreibgeschützter Administrator angelegt.
Nachweis für
Google Workspace
Ihre Personen, damit das Mitarbeiterregister aktuell bleibt, dann die Bestätigung in zwei Schritten in der ganzen Domain und wer Super-Administrator ist.
Was geprüft wird
- Verzeichnisbenutzer werden in das Mitarbeiterregister übernommen, und wer hier aktiv, aber aus Workspace verschwunden ist, wird benannt
- Die Bestätigung in zwei Schritten ist domainweit eingerichtet
- Super-Administratoren sind wenige und nutzen alle die Bestätigung in zwei Schritten
- Gesperrte Konten sind nachvollziehbar
- Kein aktives Konto war 90 Tage ohne Anmeldung
- Die Bestätigung in zwei Schritten wird erzwungen, nicht nur aktiviert
- Administratorrollen liegen bei wenigen Konten
Was die Zugangsdaten sehen können
- https://www.googleapis.com/auth/admin.directory.user.readonly
Ein Dienstkonto mit domainweiter Delegierung für den einen schreibgeschützten Verzeichnisbereich, das einen von Ihnen benannten Administrator vertritt. Ein Dienstkonto hat in Ihrem Verzeichnis keine eigene Identität, deshalb verlangt Google das.
Nachweis für
HR-System
Personio
Ihre Personen aus dem HR-System, damit das Mitarbeiterregister aktuell bleibt: wer aktiv, beurlaubt oder im Onboarding ist und wer gegangen ist.
Was geprüft wird
- Verzeichnisbenutzer werden in das Mitarbeiterregister übernommen, und wer in Personio ausgetreten, hier aber noch aktiv ist, wird benannt
- Das HR-System ist die Quelle des Mitarbeiterregisters
- Jeder Austritt trägt ein Austrittsdatum
- Kein aktives Beschäftigungsverhältnis hat sein Vertragsende überschritten
- Jedes aktive Beschäftigungsverhältnis nennt eine Führungskraft
Was die Zugangsdaten sehen können
Eine eigene Integration unter Marketplace, Verbundene Integrationen, mit dem einen Lesebereich für Personen. Die Personio-API nimmt keine Subdomain; die Zugangsdaten identifizieren das Unternehmen, und nichts hier schreibt in einen Personalstammsatz.
Nachweis für
Cloud-Infrastruktur
Amazon Web Services
MFA und Zugriffsschlüssel des Root-Kontos, Konsolenbenutzer ohne MFA, Alter der Zugriffsschlüssel, die Kennwortrichtlinie des Kontos, die kontoweite S3-Sperre für öffentlichen Zugriff, die CloudTrail-Abdeckung, RDS-Verschlüsselung, Aufbewahrung der Sicherungen und Multi-AZ, ob ein AWS-Config-Recorder läuft, ob eine EC2-Instanz in der Standard-VPC läuft und ob GuardDuty aktiviert ist.
Was geprüft wird
- Das Root-Konto hat Mehr-Faktor-Authentifizierung
- Das Root-Konto hat keine Zugriffsschlüssel
- Alle mit Konsolenzugang nutzen Mehr-Faktor-Authentifizierung
- Zugriffsschlüssel wurden innerhalb von 90 Tagen gewechselt
- Für das Konto ist eine Kennwortrichtlinie gesetzt
- Öffentlicher S3-Zugriff ist für das ganze Konto gesperrt
- API-Aktivität wird in allen Regionen protokolliert
- Datenbanken sind in der von Ihnen benannten Region im Ruhezustand verschlüsselt
- Datenbanken halten automatische Sicherungen mindestens eine Woche
- Datenbanken überstehen den Ausfall einer Verfügbarkeitszone
- Die Ressourcenkonfiguration wird fortlaufend aufgezeichnet
- Keine Last läuft in der Standard-VPC
- Die Bedrohungserkennung ist eingeschaltet
- Voller Administratorzugriff läuft über Rollen, nicht über dauerhafte Benutzer
- Verwaltete Instanzen betreiben einen Zeitsynchronisationsdienst
- Kein Konsolenkennwort und kein Zugriffsschlüssel bleibt 90 Tage ungenutzt
- Das Root-Konto wird nicht für die tägliche Arbeit genutzt
- Neue EBS-Volumes werden standardmäßig verschlüsselt
- Keine Sicherheitsgruppe öffnet SSH, RDP oder einen Datenbankport zum Internet
- Jede VPC zeichnet Flow Logs auf
- Kundenverwaltete KMS-Schlüssel rotieren automatisch
- IAM Access Analyzer wacht über Ressourcen, die außerhalb des Kontos freigegeben sind
- Ein Sicherungsplan ist eingeplant
- CloudWatch-Alarme tragen eine Aktion, die jemanden erreicht
- Container-Images werden beim Push auf bekannte Schwachstellen geprüft
- AWS hat einen Sicherheitskontakt, an den es schreiben kann
- Die Kapazität wird überwacht
- Ein Sicherungsplan kopiert in eine andere Region oder einen anderen Tresor
Was die Zugangsdaten sehen können
- arn:aws:iam::aws:policy/SecurityAudit
Ein IAM-Benutzer mit einer einzigen von AWS verwalteten Richtlinie, SecurityAudit, die von Natur aus schreibgeschützt ist. Die Richtlinie zu benennen statt Aktionen aufzulisten heißt, dass niemand durch Raten eine zu weite Richtlinie zusammenstellt, und Sie können prüfen, dass es die ist, die AWS veröffentlicht.
Nachweis für
Microsoft Azure
Speicherkonten, die öffentlichen Blob-Zugriff oder einfaches HTTP zulassen, SQL-Datenbanken ohne transparente Datenverschlüsselung, ihre Sicherungsaufbewahrung und Zonenredundanz, Abonnements, deren Aktivitätsprotokoll nirgendwo dauerhaft landet, Netzwerksicherheitsgruppen, die SSH oder RDP zum Internet öffnen, Lebenszyklusrichtlinien der Speicher und welche Defender-for-Cloud-Pläne aktiv sind.
Was geprüft wird
- Speicherkonten erlauben keinen öffentlichen Blob-Zugriff
- Speicherkonten verlangen HTTPS und TLS 1.2 oder neuer
- SQL-Datenbanken sind im Ruhezustand verschlüsselt
- SQL-Datenbanken halten Zeitpunkt-Sicherungen mindestens eine Woche
- SQL-Datenbanken überstehen den Ausfall einer Verfügbarkeitszone
- Abonnementaktivität wird dauerhaft protokolliert
- Keine Netzwerksicherheitsgruppe öffnet SSH oder RDP zum Internet
- Speicherkonten haben eine Lebenszyklusrichtlinie für alternde Daten
- Defender for Cloud überwacht mindestens einen Ressourcentyp
- Key Vaults haben Soft Delete und Löschschutz
- Speicherkonten bewahren gelöschte Blobs eine Zeit lang auf
- SQL-Server protokollieren Zugriffe
- Keine SQL-Server-Firewallregel lässt das ganze Internet zu
- Netzwerksicherheitsgruppen zeichnen Flow Logs auf
- Defender for Cloud hat einen Sicherheitskontakt zum Benachrichtigen
- Azure Policy ist auf jedem Abonnement zugewiesen
- Ein Recovery-Services-Tresor sichert etwas
Was die Zugangsdaten sehen können
- Reader (Azure role, on each subscription in scope)
Die Entra-ID-App-Registrierung mit der integrierten Rolle Leser für jedes Abonnement, das gelesen werden soll. Leser ist von Natur aus schreibgeschützt, wird je Abonnement zugewiesen, und dieselbe Registrierung verbindet bereits Entra ID und Intune.
Nachweis für
Google Cloud
Öffentlich lesbare Buckets, Cloud-SQL-Instanzen ohne TLS oder offen zum Internet, überfällige Dienstkontoschlüssel, Audit-Protokollierung des Datenzugriffs je Projekt und Firewallregeln, die SSH oder RDP für alle öffnen, dazu ob jede Cloud-SQL-Instanz automatische Sicherungen erstellt und zonenübergreifend läuft und ob jeder Bucket eine Lebenszyklusregel hat.
Was geprüft wird
- Kein Cloud-Storage-Bucket ist öffentlich lesbar
- Cloud-SQL-Instanzen verlangen TLS und sind nicht zum Internet offen
- Cloud-SQL-Instanzen erstellen automatische Sicherungen
- Cloud-SQL-Instanzen überstehen den Ausfall einer Zone
- Cloud-Storage-Buckets haben eine Lebenszyklusregel für alternde Daten
- Dienstkontoschlüssel wurden innerhalb von 90 Tagen gewechselt
- Audit-Protokolle des Datenzugriffs sind für alle Dienste aktiviert
- Keine Firewallregel öffnet SSH oder RDP zum Internet
- Cloud-Storage-Buckets bewahren Objektversionen auf
- Cloud-Storage-Buckets nutzen einheitlichen Zugriff auf Bucket-Ebene
- Cloud-SQL-Instanzen sind vor Löschung geschützt
- Keine Person hat die Basisrolle Owner oder Editor
- Keine virtuelle Maschine hat eine öffentliche Adresse
- Subnetze zeichnen Flow Logs auf
- Kein Projekt behält das automatische Standardnetzwerk
- Cloud-KMS-Schlüssel rotieren nach Zeitplan
- Google hat für jedes Projekt einen Sicherheitskontakt
Was die Zugangsdaten sehen können
- roles/iam.securityReviewer (project role)
Ein Dienstkontoschlüssel mit der integrierten Rolle Security Reviewer für jedes Projekt im Anwendungsbereich. Die Rolle ist von Natur aus schreibgeschützt, und jedes aktive Projekt, das das Konto sehen kann, wird gelesen; nichts hier schreibt.
Nachweis für
Quellcode
GitHub
Ob Zwei-Faktor-Authentifizierung verlangt wird, welche Repositories öffentlich sind, ob Standard-Branches eine Prüfung verlangen, wie lange Dependabot-Funde offen bleiben, ob Merges bestandene Statusprüfungen voraussetzen und ob Bereitstellungen über eine geschützte Umgebung laufen.
Was geprüft wird
- Zwei-Faktor-Authentifizierung ist in der ganzen Organisation verlangt oder für das Konto aktiviert
- Quellcode-Repositories sind privat
- Standard-Branches verlangen eine Prüfung vor dem Merge
- Dependabot-Funde werden innerhalb der Behebungsfrist behoben: 14 Tage bei kritisch, 30 bei hoch, 90 bei mittel, 180 bei niedrig
- Standard-Branches verlangen bestandene Tests vor dem Merge
- Produktivbereitstellungen laufen über eine geschützte Umgebung
- Jedes Repository benennt seine Code-Eigentümer und führt bei Änderungen einen Workflow aus
- Niemand außerhalb der Organisation kann ohne Vereinbarung pushen
Was die Zugangsdaten sehen können
- read:org
- repo (read-only)
- security_events (read-only)
- read:user
Ein persönliches Zugriffstoken, klassisch oder fein granuliert, mit den aufgeführten Lesebereichen. Jeder Bereich außer repo ist optional: Eine Prüfung, die einen nicht erteilten braucht, nennt den fehlenden, statt einen Fehlschlag zu melden.
Nachweis für
Schwachstellenmanagement
Snyk
Offene Funde gemessen an Ihren Behebungsfristen, ob wirklich jedes Projekt gescannt wird und ob der letzte Test eines Projekts zu alt ist, um noch etwas zu bedeuten.
Was geprüft wird
- Offene Funde werden innerhalb der Behebungsfrist behoben: 14 Tage bei kritisch, 30 bei hoch, 90 bei mittel, 180 bei niedrig
- Jedes Projekt wurde getestet, sodass ein Projekt ohne Funde eines ist, das gescannt und nicht übersprungen wurde
- Jedes Projekt wurde in den letzten 30 Tagen getestet
- Kein Geheimnis liegt in einem gescannten Repository
- Ignorierte hohe und kritische Funde sind entschieden, nicht vergessen
- Pull Requests werden vor dem Merge getestet
Was die Zugangsdaten sehen können
Ein API-Token eines Kontos mit der Rolle Viewer in der Organisation. Nichts hier schreibt.
Nachweis für
Verwaltete Geräte
Kandji
Festplattenverschlüsselung und Bildschirmsperre über Ihre Apple-Flotte hinweg und welche Geräte sich nicht mehr melden. Gelesen aus dem MDM, das Sie ohnehin betreiben, ganz ohne Agent von uns.
Was geprüft wird
- Verwaltete Geräte sind im Ruhezustand verschlüsselt
- Verwaltete Geräte sperren sich unbeaufsichtigt
- Verwaltete Geräte haben sich innerhalb von 30 Tagen gemeldet
- Verwaltete Macs haben eine Wiederherstellungssperre oder ein Firmware-Passwort
- Verwaltete Geräte sind beaufsichtigt, sodass die Verwaltung nicht entfernt werden kann
- Verwaltete Macs tragen höchstens einen lokalen Administrator
Was die Zugangsdaten sehen können
- Device List (read)
- Device Details (read)
Ein API-Token, in Kandjis eigenen Einstellungen auf die zwei Leseberechtigungen für Geräte beschränkt. Nichts hier schreibt.
Nachweis für
Jamf Pro
FileVault, Bildschirmsperre und Gatekeeper über Ihre Mac-Flotte hinweg und welche Geräte sich nicht mehr melden. Gelesen aus dem MDM, das Sie ohnehin betreiben, ganz ohne Agent von uns.
Was geprüft wird
- Verwaltete Geräte sind im Ruhezustand verschlüsselt, wobei ein Mac nur dann als verschlüsselt zählt, wenn es jedes Konto darauf ist
- Verwaltete Geräte sperren sich unbeaufsichtigt
- Auf verwalteten Geräten läuft Endpunktschutz, gelesen aus Gatekeeper
- Verwaltete Geräte haben sich innerhalb von 30 Tagen gemeldet
- Verwaltete Macs haben die Anwendungs-Firewall an
- Kein verwalteter Mac meldet sich beim Start automatisch an
- System Integrity Protection und volle Sicherheit beim Start sind aktiv
Was die Zugangsdaten sehen können
- Read Computers
- Read Computer Inventory Collection
Ein API-Client mit einer API-Rolle, die genau zwei Leseprivilegien hält, eingetauscht gegen ein kurzlebiges Token. Nicht Benutzername und Kennwort der Classic API, denn das wären Zugangsdaten, die auch einen Laptop löschen können.
Nachweis für
Microsoft Intune
Festplattenverschlüsselung über Ihre verwalteten Geräte hinweg und welche sich nicht mehr synchronisieren. Dieselbe App-Registrierung wie bei Entra ID, mit einer weiteren Leseberechtigung.
Was geprüft wird
- Verwaltete Geräte sind im Ruhezustand verschlüsselt
- Verwaltete Geräte haben sich innerhalb von 30 Tagen gemeldet
- Verwaltete Geräte erfüllen ihre Compliance-Richtlinien
- Kein verwaltetes Gerät ist gejailbreakt oder gerootet
- Ein Threat-Defense-Partner meldet jedes verwaltete Gerät als sicher
Was die Zugangsdaten sehen können
- DeviceManagementManagedDevices.Read.All
Die Entra-ID-App-Registrierung mit einer weiteren Anwendungsberechtigung, einmal genehmigt. Wer Entra bereits verbunden hat, fügt die Berechtigung hinzu und verbindet dies mit derselben Client-ID und demselben Geheimnis.
Nachweis für
Wie aus einer Lesung ein Nachweis wird
1. Sie verbinden, und die Zugangsdaten werden geprüft, bevor sie gespeichert werden
Die Zugangsdaten werden zuerst beim Anbieter ausprobiert. Funktionieren sie, werden sie dort gespeichert, wo keine Browsersitzung sie lesen kann, und der erste Lauf geschieht sofort, sodass Sie Ergebnisse sehen, bevor Sie die Seite verlassen.
2. Jede Prüfung läuft täglich und hält einen Nachweiseintrag
Eine bestandene Prüfung verlängert die Gültigkeit des Eintrags. Eine fehlgeschlagene zieht sie auf heute zurück, sodass er verfällt wie ein abgelaufenes Zertifikat und an derselben Stelle erscheint. Eine Prüfung, die nicht lesen konnte, was sie brauchte, sagt das und nennt die zu erteilende Berechtigung, statt einen Fehlschlag zu melden, den sie nicht beobachtet hat.
3. Ein Bestanden, das zu einem Fehlschlag wird, schickt Ihren Administratoren eine E-Mail
Einmal, beim Umschlagen. Eine Einstellung, die gestern Abend richtig war und heute Morgen falsch ist, ist das eine Ereignis, das eine E-Mail wert ist; eine Einstellung, die seit einem Monat falsch ist, steht bereits in Ihren Benachrichtigungen.
Was nicht integriert ist
Die Frage, die ein Vergleich von Funktionszahlen eigentlich stellt. Hier ist die Antwort, damit Sie sie nicht erst nach der Anmeldung herausfinden müssen.
Ein Agent auf irgendjemandes Laptop
Absichtlich, und dauerhaft. Alles über ein Gerät wird aus dem MDM gelesen, das Sie ohnehin betreiben. Endpunkt-Agenten sind die lauteste Klage über die etablierten Anbieter, und in einem europäischen Betriebsrat sind sie ein Gespräch über Überwachungssoftware, bevor sie ein Control sind.
Andere HR-Systeme
Personio wird gelesen; BambooHR, HiBob, Workday und die übrigen nicht. Für ein Unternehmen, dessen Personen zuerst in Okta oder Google Workspace leben, halten stattdessen diese das Register aktuell.
Ticketing-, Chat- und Logging-Plattformen
Vorfall- und Änderungsaufzeichnungen werden in StandardOS selbst geführt, auf seiner eigenen Hash-Kette. Aus Jira, Slack oder einem SIEM wird nichts gelesen.
In Minuten verbunden, jede Nacht gelesen
Jede Verbindung ist ein Formular mit den oben genannten Feldern und sonst nichts. Der Export, den Ihr Auditor erhält, ist nach Anhang-A-Referenz geordnet, und jeder automatisierte Eintrag darin nennt das System, aus dem er gelesen wurde, und den Tag der Lesung.
Berechtigungsnamen sind so zitiert, wie jeder Anbieter sie schreibt, damit Sie sie beim Erteilen mit der Konsole des Anbieters abgleichen können.