Willkommen zu Red Hat

Folgen Sie aktuellen Entwicklungen in ihrer Nähe

Verpassen Sie nicht die neuesten Beiträge zu Red Hat Kunden weltweit:

Branchen

Regierungsstandards

Zertifizierungen und Akkreditierungen

Vereinfachte Zertifizierung und Akkreditierung

Red Hat hat es sich zum Ziel gesetzt, den Zertifizierungs- und Akkreditierungsprozess für Sie so einfach wie möglich zu gestalten. Die folgenden Ressourcen sollen Sie dabei unterstützen, die unterschiedlichen behördlichen Anforderungen zu Zertifizierung und Akkreditierung zu erfüllen.

Zertifizierungen

Produkt Version Level Schutzprofil Plattform Status
JBoss ® Enterprise Application Platform 4.3 EAL2 Evaluiert
JBoss Enterprise Application Platform  5 EAL4+ Evaluiert
Red Hat JBoss Enterprise Application Platform 6.2 EAL4+ Evaluiert
MetaMatrix Data Services Platform 5.5.3 EAL2+ Evaluiert
Red Hat Certificate System 6 EAL4+ CIMC Evaluiert
Red Hat Certificate System 8.1 EAL4+ CIMC Evaluiert
Red Hat Enterprise Linux 4 EAL3+ CAPP Evaluiert
Red Hat Enterprise Linux 4 EAL4+ CAPP Evaluiert
Red Hat Enterprise Linux 5 EAL4+ CAPP/RBACPP/LSPP Evaluiert
Red Hat Enterprise Linux 5 EAL4+ mit KVM Virtualisierung Evaluiert
Red Hat Enterprise Linux 6 EAL4+ OSPP, einschließlich Labeled Security, Advanced Audit, Advanced Management und Virtualization Extended Modulen Evaluiert
Red Hat Enterprise Linux 6 EAL4+ OSPP, einschließlich Labeled Security, Advanced Audit, Advanced Management Evaluiert
Red Hat Enterprise Linux 6 EAL4+ 32-Bit. OSPP, einschließlich Advanced Audit.
  • Northrop Grumman Payload Control Element (PCE) Server 309-C20213 (Bericht, Ziel)
Evaluiert
Red Hat Enterprise Linux 7 EAL4+ OSPP v2.0, OSPP v3.9
  • Dell Server-Familie PowerEdge 13G
  • Dell Precision Rack 7910
  • HP DL-, BL-, ML- und SL-Server der Generationen G7, Gen8 und Gen9 mit Intel Xeon-Prozessoren (64-Bit)
  • HP DL-, BL-, ML- und SL-Server der Generationen G7 und Gen8 mit AMD Opteron-Prozessoren (64-Bit)
  • IBM System z basierend auf z/Architecture-Prozessoren: zEnterprise EC12 (zEC12), zEnterprise BC12 (zBC12), zEnterprise 196 (z196), zEnterprise 114 (z114)
  • IBM System p basierend auf Power 8-Prozessoren, das Ausführungsumgebungen mit RHEV für Power 3.6 und PowerVM bietet: Big Endian mit PowerVM: Power 835 Modell 8286-41A, Little Endian mit RHEV für 3.6: Power 835 Modell 8284-22A
Evaluierungsphase (ID-Nr. BSI-DSZ-CC-0949)

Federal Information Processing Standard 140-2 (FIPS 140-2)

Federal Information Processing Standard 140-2 sorgt für die ordnungsgemäße Implementierung der Algorithmen kryptografischer Tools. Im Red Hat Customer Portal sind einige Artikel zum Thema FIPS 140-2 zu finden. Eine vollständige Auflistung sämtlicher FIPS 140-2-Zertifikate finden Sie auf der NIST CMVP Website. Die Red Hat Certificates sind im Folgenden aufgeführt.

Produkt Komponente Version Zertifikat Status
Red Hat Enterprise Linux 4 NSS 3.11.4 #815 Zertifiziert, Level 1
Red Hat Enterprise Linux 4 NSS 3.11.4 #814 Zertifiziert, Level 2
Red Hat Enterprise Linux 4 NSS (Freebl) 3.12.4 #1293 Zertifiziert, Level 1
Red Hat Enterprise Linux 4 NSS 3.12.4 #1280 Zertifiziert, Level 2
Red Hat Enterprise Linux 5 Kernel Cryptographic API 1.0 #1387 Zertifiziert, Level 1
Red Hat Enterprise Linux 5 libgcrypt 1.0 #1305 Zertifiziert, Level 1
Red Hat Enterprise Linux 5 NSS 3.11.4 #815 Zertifiziert, Level 1
Red Hat Enterprise Linux 5 NSS 3.11.4 #814 Zertifiziert, Level 2
Red Hat Enterprise Linux 5 NSS (Freebl) 3.12.4 #1293 Zertifiziert, Level 1
Red Hat Enterprise Linux 5 NSS 3.12.4 #1280 Zertifiziert, Level 2
Red Hat Enterprise Linux 5 OpenSSH Client 1.0 #1385 Zertifiziert, Level 1
Red Hat Enterprise Linux 5 OpenSSH Server 1.0 #1384 Zertifiziert, Level 1
Red Hat Enterprise Linux 5 OpenSSL 1.0 #1320 Zertifiziert, Level 1
Red Hat Enterprise Linux 5 Openswan 1.0 #1386 Zertifiziert, Level 1
Red Hat Enterprise Linux 6 Kernel Cryptographic API 2.0 #1901 Zertifiziert, Level 1
Red Hat Enterprise Linux 6 Disk Volume Cryptographic API 2.0 #1933 Zertifiziert, Level 1
Red Hat Enterprise Linux 6 libgcrypt 2.0 #1757 Zertifiziert, Level 1
Red Hat Enterprise Linux 6 OpenSSH Client 2.0 #1791 Zertifiziert, Level 1
Red Hat Enterprise Linux 6 OpenSSH Server 2.0 #1792 Zertifiziert, Level 1
Red Hat Enterprise Linux 6 OpenSSL 2.0 #1758 Zertifiziert, Level 1
Red Hat Enterprise Linux 6 Openswan 2.0 #1859 Zertifiziert, Level 1
Red Hat Enterprise Linux 6 NSS (Freebl) 3.12.9.1 #1710 Zertifiziert, Level 1
Red Hat Enterprise Linux 6 NSS 3.12.9.1 #1837 Zertifiziert, Level 1
Red Hat Enterprise Linux 6 OpenSSL 3.0 #2441 Zertifiziert, Level 1
Red Hat Enterprise Linux 6 OpenSSH Server 3.0 #2446 Zertifiziert, Level 1
Red Hat Enterprise Linux 6 OpenSSH Client 3.0 #2447 Zertifiziert, Level 1
Red Hat Enterprise Linux 6 NSS 3.14.3-22 #2564 Zertifiziert, Level 2
Red Hat Enterprise Linux 6 Kernel Cryptographic API 3.0 #2582 Zertifiziert, Level 1
Red Hat Enterprise Linux 7 OpenSSL 4.0 #2441 Zertifiziert, Level 1
Red Hat Enterprise Linux 7 OpenSSH Server 4.0 #2630 Zertifiziert, Level 1
Red Hat Enterprise Linux 7 OpenSSH Client 4.0 #2633 Zertifiziert, Level 1
Red Hat Enterprise Linux 7 libgcrypt 4.0 #2657 Zertifiziert, Level 1

USGv6 (DOD IPv6)

Red Hat Enterprise Linux 5 und 6 sind jeweils gemäß USGv6 zertifiziert, wodurch die Anforderungen des US-Verteidigungsministeriums (Department of Defense, DOD) in Bezug auf Internet Protocol Version 6 (IPv6) ersetzt wurden.

IPv6 Ready Logo Phase 2

RHEL 5.3 oder höher RHEL 6.0 oder höher
Kernprotokolle: Host Zertifiziert Zertifiziert
Kernprotokolle: Router Zertifiziert
IPsec: End-Node Zertifiziert Zertifiziert
SNMP: Agent Host Zertifiziert
DHCPv6: Server Zertifiziert

Auflistung der USGv6-getesteten Produkte (Version 6, USA)*

RHEL 5.6 oder höher RHEL 6.0 oder höher
Basic (Conf: v1.2, IOP: v1.1) Zertifiziert Zertifiziert
SLAAC (Conf: v1.1, IOP: v1.1) Zertifiziert Zertifiziert
Addr Arch (Conf: v1.2, IOP: v1.1) Zertifiziert Zertifiziert
ESP (Conf: v1.0, IOP: v1.1) Zertifiziert
IKEv2 (Conf: v1.1, IOP: v2.0) Zertifiziert
IPSECv3 (Conf: v1.2, IOP: v1.2) Zertifiziert

* Auflistung der USGv6-getesteten Geräte von Red Hat, Inc.

DISA Secure Technical Implementation Guidelines (STIG)

Jedes DOD-System muss die STIG-Anforderungen erfüllen, bevor es eingeführt wird. Im Folgenden finden Sie eine Liste mit Hilfestellungen, die Sie dabei unterstützen, die STIG-Anforderungen zu erfüllen.

Produkt Hilfestellungen Status
JBoss Enterprise Application Platform 4
JBoss Enterprise Application Platform 5 Die NIST NVD JBoss Checkliste bildet die Grundlage der künftigen STIG. Entwurf. Siehe Abschnitt zu „SCAP Security Guide“.
Red Hat JBoss Enterprise Application Platform 6 In Entwicklung. Siehe Abschnitt zu „SCAP Security Guide“.
Red Hat Enterprise Linux 4 Verwenden Sie den RHEL 5 Richtlinienentwurf. Diese Hilfestellung erfordert zusätzlichen Arbeitsaufwand. Final
Red Hat Enterprise Linux 5 http://iase.disa.mil/stigs/os/unix-linux/Pages/red-hat.aspx Entwurf
Red Hat Enterprise Linux 6 Siehe Abschnitt zu „SCAP Security Guide“.

Federal Information Security Management Act (FISMA)

Die Einhaltung des FISMA ist für alle Bundesbehörden Pflicht. Red Hat sorgt dafür, dass sich dieser Prozess so einfach wie möglich gestaltet. Einen hervorragenden Einstieg in das Thema ermöglichen die Inhalte der USGCB.

FedRAMP

FedRAMP ist eine Variante des FISMA-Prozesses für Cloud-Anbieter. Wie FISMA ermöglicht auch USGCB einen hervorragenden Einstieg bei Fragen rund um das Thema Compliance. Außerdem möchten Sie sich vielleicht bei Red Hat über unser Certified Cloud Provider Programm informieren.

ICD 503 / NSSI 1253, DOD Instruction 8500.2

In Intelligence Community Directive 503 wird ein System zur Akkreditierung nationaler Sicherheitssysteme beschrieben. Analog dazu werden in DOD Instruction 8500.2 die Anforderungen an Verteidigungssysteme dargelegt. Leitlinien zur Einhaltung von ICD 503 (und somit NIST 800-53) werden im Rahmen des SCAP Security Guide-Projekts zur Verfügung gestellt.

NISPOM Kapitel 8

Leitlinien zur Einhaltung der Anforderungen von Kapitel 8 des National Industrial Security Program Operating Manual (NISPOM) sind im entsprechenden Wissensdatenbankartikel zu finden.

Barrierefreiheit gemäß Absatz 508

Gemäß Absatz 508 müssen Regierungsbehörden dafür sorgen, dass ihre Software für Menschen mit Behinderungen zugänglich ist. Red Hat unterstützt diese Anforderungen mithilfe der folgenden ausgefüllten Voluntary Product Accessibility Vorlagen:

Produkt Version VPAT
Red Hat Enterprise Linux 4 VPAT für RHEL 4
Red Hat Enterprise Linux 5 VPAT für RHEL 5
Red Hat Enterprise Linux 6 VPAT für RHEL 6
Red Hat Enterprise Linux 7 VPAT for RHEL 7
Red Hat Network Satellite Server 5 VPAT für RHN Satellite Server 5
Red Hat Network Satellite Server 6 VPAT für RHN Satellite Server 6
Red Hat JBoss Enterprise Application Platform 6 VPAT für JBoss EAP 6.0
Red Hat OpenShift 3 Red Hat OpenShift 3
Red Hat CloudForms 3 Red Hat CloudForms 3
Red Hat Gluster Storage 3 Red Hat Gluster Storage 3

US Army Certificate of Networthiness

Die Prüfung der Army Networthiness (NW) bietet eine operative Beurteilung sämtlicher Systeme, Anwendungen und Geräte zwecks Ermittlung der Unterstützbarkeit, Nachhaltigkeit und Interoperabilität sowie der Einhaltung von Regeln und Vorschriften auf föderaler, US DOD- und US Army-Ebene. Gemäß Absatz 6-3(c) von Army Regulation AR 25-1 muss vor der Verbindung von Hard- oder Software mit dem LandWarNet (LWN) für sämtliche Aktivitäten ein Certificate of Networthiness (CON) erworben werden.

Bei der Prüfung der Army NW wird ermittelt, ob eine Anwendung oder ein System geeignet oder es wert ist, in das Unternehmensnetzwerk der Army aufgenommen zu werden. Darüber hinaus wird die Army durch die Einführung und Verwendung von Unternehmenslizenzvereinbarungen bei der Entwicklung einer Standardgrundlage unterstützt.

NW wurde mit dem Ziel entwickelt, Software- und Hardwarebereitstellungen ohne Management zu verhindern. Darüber hinaus ist NW eine Möglichkeit, um sicherzustellen, dass Anwendungen und Hardware, die mit dem LWN verbunden werden, interoperabel sind und die anderen Systeme des Netzwerks nicht durch die Einführung neuer Bedrohungen beschädigen.

Die Networthiness-Zertifizierung gilt für sämtliche Organisationen, die IT-Ressourcen im LandWarNet einführen, verwenden oder verwalten:

  • Alle Anwendungen (einschließlich COTS)
  • Sämtliche Government Off-the-Shelf (GOTS) Software
  • Alle Webservices
  • Collaboration Tools und Services
  • Taktische Systeme
  • Neue, vorhandene und eingeführte Systeme

Eine Auflistung der Software mit genehmigten CONs ist auf der Website des Army's Networthiness Programms zu finden (AKO-Anmeldung erforderlich).

US Government Configuration Baseline (USGCB)

Die USGCB bietet eine Mindestsicherheitskonfiguration für Softwareprodukte. Bei dieser Leitlinie, die einen hervorragenden Einstieg mit behörden- und programmspezifischer Hilfestellung bietet, arbeitet Red Hat eng mit verschiedenen US-Regierungsbehörden zusammen.

Produkt Inhalt Status
Red Hat Enterprise Linux 5 USGCB-Inhalte und -Konfigurationstools sind bei NIST erhältlich. Entwurf
Red Hat Enterprise Linux 6 Inhalte werden aktiv im Rahmen des Fedora SCAP Security Guide-Projekts entwickelt. In Entwicklung

Secure Content Automation Protocol (SCAP)

SCAP ist ein maschinenlesbarer Satz an Konfigurationsanforderungen. Sie können SCAP-Inhalte für SCAP-Tools bereitstellen, die Ihre Systeme auf Compliance überprüfen. Das OpenSCAP-Tool ist im Lieferumfang von Red Hat Enterprise Linux 5 und 6 enthalten. Eine Auflistung der SCAP-Inhalte finden Sie im Abschnitt US Government Configuration Baseline auf dieser Seite.

Open Vulnerability and Assessment Language (OVAL)

OVAL ist ein Sicherheitsstandard, der eine einheitliche Beschreibung von Sicherheitslücken ermöglicht. Red Hat hat an der Einführung des Standards im Jahr 2002 mitgewirkt, und unser Red Hat Product Security Team erstellt OVAL-Inhalte für sämtliche Sicherheitsempfehlungen von Red Hat. Weitere Informationen finden Sie in den OVAL FAQ, die an das Red Hat Product Security Team gestellt werden.

Common Vulnerability Enumeration (CVE)

CVE bietet eine einheitliche Bezeichnung bekannter Softwarefehler. Die CVE Datenbank wird von MITRE verwaltet. Wird für Red Hat Produkte ein CVE vergeben, fügen wir eine Anbietererklärung hinzu, die Informationen bezüglich der Behebung der Sicherheitslücke enthält. Weitere Informationen finden Sie unter How do I know if a CVE name affects a Red Hat Enterprise Linux package?im Red Hat Customer Portal.

Information Assurance Vulnerability Alerts (IAVA)

IAVAs sind vergleichbar mit CVEs und geben DOD-Mitarbeitern Anweisungen zur Sicherung ihrer Systeme. Möglicherweise bietet Ihnen die IAVM-CVE-Zuordnung von DISA eine gute Hilfestellung.

Projekte

Interessante Projekte

OpenSCAP
OpenSCAP ist ein Tool zur Ausführung von SCAP-Inhalten. Hierbei handelt es sich um das Upstream-Projekt für das Tool openscap, das im Lieferumfang von Red Hat Enterprise Linux enthalten ist.
SCAP Workbench
Die SCAP Workbench bietet eine einfachere Benutzeroberfläche zum Erstellen und Bearbeiten von SCAP-Inhalten.
scap-security-guide
scap-security-guide ist ein gemeinsames Projekt von Red Hat, unseren Kunden sowie einer Reihe von Regierungsbehörden, in dessen Rahmen ein gemeinsamer, verwaltbarer Satz an SCAP-Inhalten für Red Hat Enterprise Linux entwickelt wird. Derzeit wird im Rahmen des Projekts aktiv an USGCB-Inhalten für Red Hat Enterprise Linux 6 gearbeitet. Sie können diese Inhalte mit einem Tool wie OpenSCAP verwenden, um Ihre Systeme zu überprüfen oder die Inhalte in eine formelle Dokumentation zur Sicherheitsoptimierung umzuwandeln. Unser Ziel ist es, diesen Leitfaden zur Grundlage von RHEL 6 SRG (STIG) für das Verteidigungsministerium zu machen.
Aqueduct
Aqueduct ist ein von Red Hat gesponsertes Projekt zur Erstellung eines gemeinsamen Pools von Bash-Skripten und Puppet-Manifesten, die auf viele verschiedene Sicherheitssysteme gleichzeitig angewendet werden können. So kann beispielsweise aufgrund einer DISA STIG-Anforderung oder einer SAS-70-Anforderung ein Code verwendet werden, der eine Mindestpasswortlänge sicherstellt. Aqueduct ist bekannt für den Guide zur Anpassung eines RHEL Systems an die STIG-Anforderungen in nur 5 Minuten.
Certifiable Linux Implementation Platform (CLIP)
Das CLIP-Tool, ein Projekt von Tresys, sorgt für eine einfache Neukonfiguration von Geräten zwecks Erfüllung verschiedener Zertifizierungs- und Akkreditierungsanforderungen.

Community

Hilfreiche Communities

gov-sec
Die von Red Hat gesponserte gov-sec Community ist eine moderierte Mailingliste für Sicherheitsbeauftragte der US-Regierung.
Military Open Source Arbeitsgruppe
Mil-OSS ist eine Community für Open Source-Enthusiasten innerhalb des US-Verteidigungsministeriums. Die Community ist zwar in keiner Weise mit Red Hat verbunden, doch viele Red Hat Mitarbeiter sind aktive Mitglieder. Wenn Sie die auf dieser Seite bereitgestellten Informationen interessant finden, stehen die Chancen gut, dass Sie auch von einer Mitgliedschaft bei dieser Gruppe profitieren werden. Weitere Informationen finden Sie auf der Mil-OSS Website.
Customer Portal
Über das Red Hat Customer Portal haben Red Hat Kunden Zugriff auf zahlreiche Informationen, Mitteilungen und Wissensdatenbankartikel rund um das Thema Sicherheit.
Ihr Red Hat Account Team
Wir verkaufen Ihnen nicht nur Produkte, sondern stehen Ihnen auch mit Rat und Tat zur Seite. Bei Fragen bezüglich der Sicherheits-, Compliance- oder Konfigurationsanforderungen können Sie sich gerne an Ihren Kundenbetreuer oder Solutions Architect vor Ort wenden.

Common Criteria

Common Criteria ist eine international anerkannte Zertifizierung für Informationssicherungsprodukte

HÄUFIG GESTELLTE FRAGEN

Was sind die Common Criteria?

Die Common Criteria (CC) sind ein internationaler Standard (ISO/IEC 15408) zur Zertifizierung von Computersicherheits-Software. Unter Einsatz von Schutzprofilen erhalten Computersysteme ein bestimmtes Maß an Schutz, das den in den Common Criteria dargelegten Anforderungen entspricht. Das von Regierungen ins Leben gerufene Common Criteria Recognition Arrangement wurde von 26 Ländern unterzeichnet, wobei jedes Land die Zertifizierungen der anderen Länder anerkennt.

In den USA ist die National Information Assurance Partnership (NIAP) für die Common Criteria verantwortlich. Andere Länder haben eigene CC-Einrichtungen. Jede Einrichtung zertifiziert CC Labs, in denen die eigentliche Bewertung von Produkten stattfindet. Wenn ein Produkt anhand der Belege aus dem Lab und vom Anbieter zertifiziert wurde, wird diese Zertifizierung weltweit anerkannt.

Die Zertifizierung erhält eine bestimmte Stufe der Vertrauenswürdigkeit, die im Grunde die Stärke der Zertifizierung darstellt. Die Stufe EAL4 zum Beispiel stellt eine höhere Vertrauenswürdigkeit dar als die Stufe EAL2. Deswegen spielt die Stufe der Vertrauenswürdigkeit eine größere Rolle als das, was zertifiziert wird, also die Schutzprofile.

Die CC-Zertifizierung umfasst sehr spezifische Software- und Hardwarekonfigurationen. Die Software- und Hardwareversionen sowie das Hardwaremodell sind sehr wichtig, da bei Unterschieden zur Spezifikation die Zertifizierung nicht mehr gilt.

Weitere FAQs lesen