Zugang und Betrieb gehören zusammen
Ein Server kann erreichbar sein und seine eigentliche Aufgabe trotzdem nicht erledigen. Ein Konto kann sich korrekt anmelden und mehr Rechte besitzen, als es benötigt. Deshalb betrachte ich bei meiner Umgebung zwei Fragen gemeinsam: Wer darf auf ein System zugreifen? Und woran erkenne ich später, dass die vorgesehenen Abläufe noch funktionieren?
KI hilft mir beim Auswerten von Befunden und beim Vorbereiten von Änderungen. Die regelmäßigen Grundprüfungen brauchen dafür kein Sprachmodell. Feste Regeln liefern einen nachvollziehbaren Ausgangspunkt, den ein Assistent erklären kann.
Der Schlüssel weist den Zugang nach
Für SSH verwende ich eigene technische Schlüssel statt gemeinsam genutzter privater Schlüssel. Das Schlüsselpaar besteht aus einem öffentlichen und einem privaten Teil. Der öffentliche Schlüssel wird auf dem Zielsystem hinterlegt; der private bleibt geschützt beim vorgesehenen Benutzer oder Dienst. Für interaktive Zugänge kann eine Passphrase den privaten Schlüssel zusätzlich schützen.
Bei automatisierten Prüfungen muss geklärt sein, wie der Dienst seinen Schlüssel erhält. Ein unbeaufsichtigter Neustart darf nicht an einer unerwarteten Eingabe scheitern. Gleichzeitig soll der Schlüssel weder im Quelltext noch in einem Diagnoseprotokoll landen. Ein entfallener Zugang muss sich durch Entfernen seiner Autorisierung wieder sperren lassen.
Auch der Server muss der richtige sein
Die Anmeldung prüft nicht nur meinen Zugang. Der SSH-Client prüft auch den Hostschlüssel des Servers. Dessen Fingerabdruck gleiche ich beim Einrichten über einen bereits vertrauenswürdigen Weg ab. Eine spätere Warnung behandle ich als Anlass zur Prüfung, statt die gespeicherte Identität einfach zu löschen.
Ein neu installiertes System kann einen anderen Hostschlüssel haben. Das erklärt eine Änderung möglicherweise, bestätigt sie aber noch nicht. Erst nach dem Abgleich wird die neue Identität übernommen.
Ein gültiger Schlüssel ist keine Rechtebegrenzung
Welche Aktionen nach der Anmeldung möglich sind, hängt vom Benutzerkonto und den wirksamen Berechtigungen ab. Ein Schlüssel für ein Administratorkonto bleibt ein mächtiger Zugang. Ein eigener Name oder Schlüsselkommentar macht ihn nicht automatisch zu einem reinen Lesezugang.
Für eine Statusabfrage bevorzuge ich einen eng begrenzten Prüfbefehl statt einer freien administrativen Sitzung. OpenSSH bietet dafür unter anderem erzwungene Befehle und Einschränkungen für Weiterleitungen. Der aufgerufene Prüfer und seine Parameter müssen ebenfalls begrenzt sein; ein beliebiger Shellbefehl hinter einer scheinbar festen Schnittstelle würde das Ziel verfehlen.
Danach prüfe ich beide Seiten: Die erlaubte Abfrage muss funktionieren. Eine ausdrücklich nicht erlaubte Aktion muss scheitern. Bestehende weitreichende Verwaltungszugänge müssen gesondert beurteilt werden.
Änderungen brauchen einen geprüften Rückweg
Bevor ich eine Anmeldemethode abschalte, teste ich den vorgesehenen Schlüsselzugang in einer zusätzlichen Verbindung. Die bestehende Sitzung bleibt währenddessen offen. Zur Vorbereitung gehören außerdem eine gesicherte Konfiguration und ein tatsächlich verfügbarer Rückweg, etwa die Verwaltungskonsole des Anbieters.
Eine syntaktisch gültige SSH-Konfiguration ist ein wichtiger Prüfschritt. Sie beweist allein aber noch nicht, dass die neue Anmeldung funktioniert oder alle gewünschten Einschränkungen greifen.
Wächter sammeln konkrete Befunde
Meine Wächter prüfen unterschiedliche Aufgaben: Läuft ein geplanter Auftrag rechtzeitig? Wird ein Dokument weiterverarbeitet? Gibt es Neustartschleifen? Ist ein Sicherungsstand frisch genug? Damit fallen auch stille Fehler auf, bei denen eine Oberfläche weiterhin erreichbar bleibt.
Die Prüfungen unterscheiden zwischen Erfolg, festgestelltem Fehler und einer nicht möglichen oder veralteten Prüfung. Fehlende Daten dürfen keine Entwarnung erzeugen. Auch der letzte Lauf des Wächters zählt: Ein Prüfer, der selbst stehen geblieben ist, kann nichts zuverlässig melden.
Wirkungsprüfer und Anlagenbericht machen den Zustand lesbar
Der Wirkungsprüfer bündelt bei mir die Ergebnisse der eingerichteten Kontrollen. Er zeigt, ob eine erwartete Wirkung nachweisbar ist und welche Befunde Aufmerksamkeit brauchen. Die Anzeige ist dabei nur so aussagekräftig wie die zugrunde liegenden Prüfungen und deren Aktualität.
Der Anlagenprüfbericht fasst den Betriebszustand für den täglichen Überblick zusammen: zuerst das Gesamturteil, danach die offenen Punkte. Gleichartige Sicherungsstände werden verdichtet; Abweichungen bleiben mit verständlichem Namen sichtbar. So muss ich nicht jeden Morgen dieselben gesunden Einzelpositionen lesen.
Eine grüne Anzeige ist keine vollständige Sicherheitsprüfung. Sie bedeutet, dass die eingerichteten Kontrollen im angegebenen Zeitraum keinen entsprechenden Fehler festgestellt haben. Zugriffsregeln, Gegenproben und Wiederherstellungsübungen bleiben zusätzlich nötig.