Sicherheitsbericht: Unterschied zwischen den Versionen

Aktuelle Version vom 8. März 2019, 15:12 Uhr

Als Administrator/in haben Sie über den Menupunkt Website-Administration (oder im Block Einstellungen > Website-Administration) > Berichte > Sicherheitsbericht Zugriff auf einen Sicherheitsbericht. Der Bericht gibt Auskunft darüber, wie sicher Ihr System ist. Wenn der Sicherheitsbericht in der Spalte Status überall OK anzeigt, dann ist Ihr System sicher konfiguriert.

Im einzelnen enthält der Bericht folgende Einträge:

register_globals: Diese PHP-Einstellung muss in der PHP-Konfiguration Ihres Moodle-Servers deaktiviert sein, damit Moodle sicher funktioniert.

dataroot: Das ist das Moodle-Datenverzeichnis, in dem Moodle hochgeladene Dateien speichert. Dieses Verzeichnis sollte nicht über das Web zugreifbar sein.

Anzeige von PHP-Fehlern: Wenn diese Einstellung in der PHP-Konfiguration Ihres Moodle-Servers aktiviert ist, kann jeder eine falsche URL im Browser eingeben und damit Ausgaben produzieren, die Auskunft über Ihren Server geben. Aus Sicherheitsgründen sollte diese PHP-Einstellung deaktiviert sein.

Ohne Authentifizierung: Die Verwendung dieser Authentifizierungsmethode darf aus Sicherheitsgründen nicht verwendet werden, da sonst jeder ohne Anmeldung auf Ihr Moodle zugreifen kann.

EMBED/OBJECT: Es kann ein Sicherheitsrisiko sein, wenn Sie Nutzer/innen erlauben, Flash oder andere Multimedia-Dateien in Texten einzubetten (z.B. in Forumsbeiträgen). Das liegt daran, dass solche Media-Objekte verwenden werden können und Admin- oder Trainer-Zugänge auszuspionieren selbst dann, wenn das Media-Objekt auf einem anderen Server liegt.

Mediafilter .swf: Selbst der Flash-Multimedia-Filter kann dazu missbraucht werden, infizierte Flash-Dateien in Moodle einzubinden.

Offene Nutzerprofile: Nutzerprofile sollten nicht ohne Anmeldung zugänglich sein, sowohl aus Datenschutzgründen, als auch um das Spam-Risiko in Moodle zu reduzieren.

Offen für Google: Wenn Sie Google den Zugriff auf Ihre Moodle-Site erlauben, bedeutet das, dass alle Inhalte öffentlich zugänglich werden. Verwenden Sie das ausschließlich für Moodle-Sites, die tatsächlich vollständig öffentlich sind.

Kennwortregeln: Wenn Sie Kennwortregeln verwenden, zwingen Sie Ihre Nutzer/innen, sichere Kennwörter zu benutzen, die schwerer zu entschlüsseln sind.

Kennwortverschlüsselung: Die Kennwortverschlüsselung reduziert noch einmal die Gefahr, das Kennwörter ausspioniert werden.

E-Mail-Adressänderung: Sie sollten Ihre Nutzer/innen generell zwingen, Änderungen in der E-Mail-Adresse zu bestätigen. D.h. zur Änderung der E-Mail-Adresse ist ein zusätzlicher Schritt erforderlich, d.h. die Nutzer/innen müssen einen Bestätigungslink anzuklicken, der an die geänderte E-Mail-Adresse verschickt wird.

Sichere Cookies: Zusätzlich zur Aktivierung der Datenübertragung über https sollte auch die Funktion Sichere Cookies aktiviert werden. Die permanenete Umleitung von http nach https sollte ebenfalls eingerichtet werden.

config.php: Die Moodle-Konfigurationsdatei config.php darf nicht für den Webserver-Nutzer (apache, www-data o.ä.) schreibbar sein. Wenn das der Fall wäre, dann könnten Angreifer/innen die Datei verändern und damit den Moodle-Code manipulieren.

XSS-vertrauenswürdige Nutzer: Prüfen Sie, ob Sie allen Nutzer/innen die hier aufgelistet sind, vertrauen: Es handelt sich um Nutzer/innen mit Rechten, die ein XSS-Risiko haben.

Administratoren: Prüfen Sie die Liste Ihrer Administrator/innen und stellen Sie sicher, dass nur vertrauenswürdige Personen Admin-Rechte haben.

Sicherung von Nutzerdaten: Stellen Sie sicher, dass nur die Rollen Nutzerdaten sichern dürfen, die das wirklich brauchen und dass alle diese Nutzer/innen vertrauenswürdig sind.

Standardrolle für alle Nutzer: Hier wird geprüft, dass diese Rolle ausschließlich vernünftige Rechte haben.

Gastrolle: Hier wird geprüft, dass die Gast-Rolle ausschließlich vernünftige Rechte hat.

Rolle für die Startseite: Hier wird geprüft, dass die Rolle für die Startseite ausschließlich vernünftige Rechte hat.

Siehe auch

Security and Privacy forum - Diskussionsforum im Kurs Using Moodle auf moodle.org

@@ Zeile 1: / Zeile 1: @@
 {{Sicherheit}}
+Als Administrator/in haben Sie über den Menupunkt ''Website-Administration'' (oder im Block ''[[Einstellungen-Block|Einstellungen]] > Website-Administration'')'' > Berichte > Sicherheitsbericht'' Zugriff auf einen Sicherheitsbericht. Der Bericht gibt Auskunft darüber, wie sicher Ihr System ist. Wenn der Sicherheitsbericht in der Spalte ''Status'' überall ''OK'' anzeigt, dann ist Ihr System sicher konfiguriert.
-{{Zum Übersetzen}}
+Im einzelnen enthält der Bericht folgende Einträge:
-Als Administrator/in haben Sie auf der Seite ''[[Einstellungen-Block|Einstellungen]] > Website-Administration > Berichte > Sicherheit'' Zugriff auf einen Sicherheitsbericht.
+;register_globals
+:Diese PHP-Einstellung muss in der PHP-Konfiguration Ihres Moodle-Servers deaktiviert sein, damit Moodle sicher funktioniert.
-Dieser Bericht enthält folgende Einträge:
+;dataroot
-*register_globals
+:Das ist das [[Moodle-Datenverzeichnis]], in dem Moodle hochgeladene Dateien speichert. Dieses Verzeichnis sollte nicht über das Web zugreifbar sein.
-:Diese PHP-Einstellung muss in der PHP-Konfiguration Ihres Moodle-Servers deaktiviert sein, damit Moodle sicher funktioniert.
-*[[report/security/report security check unsecuredataroot|Insecure dataroot]]
+;Anzeige von PHP-Fehlern
-:The dataroot is the directory where Moodle stores user files.  It should not be directly accessible via the web.
+:Wenn diese Einstellung in der PHP-Konfiguration Ihres Moodle-Servers aktiviert ist, kann jeder eine falsche URL im Browser eingeben und damit Ausgaben produzieren, die Auskunft über Ihren Server geben. Aus Sicherheitsgründen sollte diese PHP-Einstellung deaktiviert sein.
-*[[report/security/report security check displayerrors|Displaying of PHP errors]]
+;Ohne Authentifizierung
-:If PHP is set to display errors, then anyone can enter a faulty URL causing PHP to give up valuable information about directory structures and so on.
+:Die Verwendung dieser [[Ohne Authentifizierung|Authentifizierungsmethode]] darf aus Sicherheitsgründen nicht verwendet werden, da sonst jeder ohne Anmeldung auf Ihr Moodle zugreifen kann.
-*[[report/security/report security check noauth|No authentication]]
+;EMBED/OBJECT
-:Use of the "no authentication" plugin can be dangerous, allowing people to access the site without authenticating.
+:Es kann ein Sicherheitsrisiko sein, wenn Sie Nutzer/innen erlauben, Flash oder andere Multimedia-Dateien in Texten einzubetten (z.B. in Forumsbeiträgen). Das liegt daran, dass solche Media-Objekte verwenden werden können und Admin- oder Trainer-Zugänge auszuspionieren selbst dann, wenn das Media-Objekt auf einem anderen Server liegt.
-*[[report/security/report security check embed|Allow EMBED and OBJECT]]
+;Mediafilter .swf
-:Allowing ordinary users to embed Flash and other media in their texts (eg forum posts) can be a problem because those rich media objects can be used to steal admin or teacher access, even if the media object is on another server.
+:Selbst der Flash-Multimedia-Filter kann dazu missbraucht werden, infizierte Flash-Dateien in Moodle einzubinden.
-*[[report/security/report security check mediafilterswf‎|Enabled .swf media filter]]
+;Offene Nutzerprofile
-:Even the flash media filter can be abused to include malicious flash files.
+:Nutzerprofile sollten nicht ohne Anmeldung zugänglich sein, sowohl aus Datenschutzgründen, als auch um das Spam-Risiko in Moodle zu reduzieren.
-*[[report/security/report security check openprofiles|Open user profiles]]
+;Offen für Google
-:User profiles should not be open to the web without authentication, both for privacy reasons and because spammers then have a platform to publish spam on your site.
+:Wenn Sie Google den Zugriff auf Ihre Moodle-Site erlauben, bedeutet das, dass alle Inhalte öffentlich zugänglich werden. Verwenden Sie das ausschließlich für Moodle-Sites, die tatsächlich vollständig öffentlich sind.
-*[[report/security/report security check google|Open to Google]]
+;Kennwortregeln
-:Allowing Google to enter your site means that all the contents become available to the world.  Don't use this unless it's a really public site.
+:Wenn Sie [[Sicherheitsregeln der Website#Kennwortregeln|Kennwortregeln]] verwenden, zwingen Sie Ihre Nutzer/innen, sichere Kennwörter zu benutzen, die schwerer zu entschlüsseln sind.
-*[[report/security/report security check passwordpolicy|Password policy]]
+;Kennwortverschlüsselung
-:Using a password policy will force your users to use stronger passwords that are less susceptible to being cracked by a intruder.
+:Die Kennwortverschlüsselung reduziert noch einmal die Gefahr, das Kennwörter ausspioniert werden.
-*[[Password salting|Password salt]]
+;E-Mail-Adressänderung
-:Setting a password salt greatly reduces the risk of password theft.
+:Sie sollten Ihre Nutzer/innen generell zwingen, Änderungen in der E-Mail-Adresse zu bestätigen. D.h. zur Änderung der E-Mail-Adresse ist ein zusätzlicher Schritt erforderlich, d.h. die Nutzer/innen müssen einen Bestätigungslink anzuklicken, der an die geänderte E-Mail-Adresse verschickt wird.
-*[[report/security/report security check emailchangeconfirmation‎|Email change confirmation]]
+;Sichere Cookies
-:You should generally always force users to confirm email address changes via an extra step where a confirmation link is sent to the user.
+:Zusätzlich zur Aktivierung der Datenübertragung über https sollte auch die Funktion ''Sichere Cookies'' aktiviert werden. Die permanenete Umleitung von http nach https sollte ebenfalls eingerichtet werden.
-*[[report/security/report security check configrw|Writable config.php]]
+;config.php
-:The config.php file must not be writeable by the web server process.  If it is, then it is possible for another vulnerability to allow attackers to rewrite the Moodle code and display whatever they want.
+:Die [[Moodle-Konfigurationsdatei]] ''config.php'' darf '''nicht''' für den Webserver-Nutzer (apache, www-data o.ä.) schreibbar sein. Wenn das der Fall wäre, dann könnten Angreifer/innen die Datei verändern und damit den Moodle-Code manipulieren.
-*[[report/security/report security check riskxss|XSS trusted users]]
+;XSS-vertrauenswürdige Nutzer
-:Make sure that you trust all the people on this list:  they are the ones with permissions to potentially write XSS exploits in forums etc.
+:Prüfen Sie, ob Sie allen Nutzer/innen die hier aufgelistet sind, vertrauen: Es handelt sich um Nutzer/innen mit Rechten, die ein [[Risiken|XSS-Risiko]] haben.
-*[[report/security/report security check riskadmin|Administrators]]
+;Administratoren
-:Review your administrator accounts and make sure you only have what you need.
+:Prüfen Sie die Liste Ihrer Administrator/innen und stellen Sie sicher, dass nur vertrauenswürdige Personen Admin-Rechte haben.
-*[[Backup of user data]]
+;Sicherung von Nutzerdaten
-:Make sure that only roles that need to backup user data can do so and that all users who have the capability are trusted.
+:Stellen Sie sicher, dass nur die Rollen Nutzerdaten sichern dürfen, die das wirklich brauchen und dass alle diese Nutzer/innen vertrauenswürdig sind.
-*[[report/security/report security check defaultuserrole‎ |Default role for all users]]
+;Standardrolle für alle Nutzer
-:This checks that the registered user role is defined with sane permissions.
+:Hier wird geprüft, dass diese Rolle ausschließlich vernünftige Rechte haben.
-*[[report/security/report security check guestrole|Guest role]]
+;Gastrolle
-:This checks that the guest role is defined with sane permissions.
+:Hier wird geprüft, dass die Gast-Rolle ausschließlich vernünftige Rechte hat.
-*[[report/security/report security check frontpagerole‎|Frontpage role]]
+;Rolle für die Startseite
-:This checks that the frontpage user role is defined with sane permissions.
+:Hier wird geprüft, dass die Rolle für die Startseite ausschließlich vernünftige Rechte hat.
 ==Siehe auch==
@@ Zeile 67: / Zeile 68: @@
 [[en:Security overview report]]
+[[es:Reporte Vista general de Seguridad]]
+[[fr:Panorama de sécurité]]
+[[ja:セキュリティオーバービュー]]

Documentation

Sicherheitsbericht: Unterschied zwischen den Versionen

Aktuelle Version vom 8. März 2019, 15:12 Uhr

Siehe auch