MSfree hat geschrieben: 
17.09.2018 15:41:55
inne hat geschrieben: 17.09.2018 15:35:35
Grundsätzlich sollte die "Whitelist"-Strategie verwendet werden, das heißt die Regeln sollten so formuliert werden, dass alle Zugänge, die nicht explizit erlaubt werden, verboten sind.
Eigentlich sollte das doch anerkannte Logik sein.
Dachte ich auch. Im konkreten Fall haben meine bisherigen Erklaerungen aber nicht ausgereicht. Und wenn ich behaupten will, dass etwas eine anerkannte Best Practice ist, dann will ich das belegen koennen ... weil sonst stimmen nur diejenigen zu, die selber schon so denken, die anderen koennen es aber nur glauben oder nicht. An dem Punkt bin ich in dem Fall: Man glaubt mir nicht einfach -- was sehr gut ist! -- folglich muessen nun Belege auf den Tisch. Entweder wir erarbeiten uns das Thema selbst erneut oder wir greifen auf das bereits erarbeitete Wissen der Experten zurueck. Ich wuerde gerne zweiteren Weg gehen, weil mir der machbarer erscheint.
Danke schonmal fuer eure Beitraege. Dass sich das BSI explizit fuer die Whitelist-Strategie ausspricht, ist schoen. Die meisten Aussagen bei dem Thema beziehen sich auf Firewalls, dabei ist die Whitelist/default-deny-Strategie in fast allen Faellen (oder vielleicht auch in allen) besser. Schoen waere es, ein paar Top-10-Best-Practices der Computer-Security zu finden, die sowas enthalten wie:
- Verwende Individual-Accounts
- Speichere Passwoerter nur als Hashes
- Admins duerfen Passwoerter von Usern nicht wissen muessen
- Verwende die Whitelist-Strategie (default deny) fuer Berechtigungen
- ...
Ich bin also weiterhin an Beitraegen interessiert. Vielleicht hat auch jemand verweise auf Standardwerke aus dem Studium.
