BOSS - BSI Opensource Security Suite

Sicherheitslücken in der elektronischen Datenverarbeitung bergen für jede Behörde, jedes Unternehmen und auch für den privaten Anwender die Gefahr, Geld oder Arbeitszeit zu verlieren. Absolute Sicherheit gibt es bekanntermaßen nicht. Es existieren jedoch Freie Software Produkte die Nutzern die Arbeit bei der Identifikation von Sicherheitsproblemen und deren Lösung abnehmen können.

Die Intevation GmbH wurde im Sommer 2004 beauftragt, ein Werkzeug für die zentrale Verwaltung und Steuerung von Sicherheitsscans als netzweite Sicherheitsaudits als Freie Software zu entwickeln.

Eine leicht bedienbare und deutschsprachige grafische Oberfläche war dabei Voraussetzung. Weiterhin sollte eine Vereinfachung der zentralen Durchführung und Auswertung der wichtigen Sicherheitsscans durch viele Hilfestellungen und einfache Konfigurationsmöglichkeiten gewährleistet werden. Eine weitere wesentliche Anforderung war zudem die Einbindung verschiedener lokaler Freie Software Sicherheitsprodukte, deren Prüfergebnisse die Scans von Linux-Systemen im Netz wesentlich ergänzen sollte. Das gesamte Systeme sollte gut erweiterbar sein.

Intevation hat zusammen mit der DN-Systems Enterprise Internet Solutions GmbH die Anforderungen umgesetzt indem auf dem bewährten Sicherheits-Scanner Nessus aufgebaut wurde. Das geschah in enger Kooperation mit dem Hauptentwickler von Nessus, Renaud Deraison. Projektleiter war Jan-Oliver Wagner von Intevation, verantwortlich für SLAD und das Sicherheitskonzept war DN-Systems. Das Projekt lief von Juli 2004 bis Juni 2005.

Hinzugekommen ist neben der verbesserten Nessus GTK Benutzeroberfläche der Security Local Auditing Daemon (SLAD). Er übernimmt die Steuerung der angebundenen lokalen Sicherheitssoftware.

Durch den entwickelten SLAD verfügt Nessus jetzt über die Möglichkeit Ziel-Systeme auch intensiv von innen her auf Schwachstellen oder gar bereits erfolgreiche Angriffe zu prüfen. Die zentrale Steuerung und Auswertung vereinfacht insgesamt das organisationsweite Sicherheitsauditing.

Die Erweiterungen von Nessus sind alle in die Hauptentwicklung eingeflossen (CVS HEAD), SLAD ist ebefalls unter der GNU GPL lizensiert und ist ein eigenständiges Projekt welches auch unabhänhig von Nessus verwendet werden kann.

Ein weiteres Ergegnis des BOSS Projekte war die BOSS-Live-CD, welche zum Linuxtag 2005 in Karlsruhe an Interessierte verteilt wurde. Sie enthält ausschliesslich Freie Software und kann daher beliebig weitergegeben und verwendet werden. Insbesondere enthält sie auch Installationspakete von Nessus und SLAD für Debian GNU/Linux 3.0, SUSE Linux 9.2, Fedore Core 2 und Windows XP (bei Windows nur Nessus GTK GUI).

Mit einer Auflage von ca. 400.000 liegt die BOSS-Live-CD auch der September-Ausgabe der Zeitschrift PC-Welt bei.

Das Foto zeigt das Projekt-Team bei einem der regelmäßig stattfindenden Projekt-Wartungs-Treffen (von links: Renaud Deraison, Boris Wolf, Lukas Grunwald, Jan-Oliver Wagner und Frank Koormann; Thomas Arendsen Hein ist nicht im Bild).