BIOS/ UEFI sicher machen

[MeXeD]

Hallo,

ich soll bei mir in der Firma ein Konzept für eine sichere Nutzung/ Konfiguration von BIOS/ UEFI schreiben.
Grundsätzlich weiß ich einige Dinge die zu aktivieren sind und 2021 ein must-have sind, aber habe mich ansonsten damit gar nicht beschäftigt. Kennt ihr Literatur, Foren, Internetseiten die sich mit dem Thema beschäftigen wo man sich einlesen kann? Das meiste was ich gelesen habe war das Thema Secure Boot, aber das wars leider...

Vielen Dank

 

[Chesterfield]

sicherer machen vor "attaken" oder fremdzugriff ( nicht authorisierter zugriff ins bios) . kannst du genauer werden??

die frage ist welche hardware kommt zum einsatz, einsatzzweck, os und all das kann hier und da stellschrauben fürs bios sein

 

[MeXeD]

sicherer machen vor "attaken" oder fremdzugriff ( nicht authorisierter zugriff ins bios) . kannst du genauer werden??

die frage ist welche hardware kommt zum einsatz, einsatzzweck, os und all das kann hier und da stellschrauben fürs bios sein

Hey, sorry für die ungenaue Frage.
Ja genau, es geht um die Härtung des System. Vor nicht authorisierten Zugriff aufs Bios/Uefi und dem schützen des Betriebsystem (Windows u. Linux). Ich denke halt das es da mehr gibt als nur das UEFI mit einem Passwort schützen und Secure Boot zu aktivieren.

 

[leipziger1979]

Wenn ein "böser" Mitarbeiter physischen Zugriff auf den PC/Notebook hat kann er das BIOS auch reseten.
Von daher sind solche Schutzmaßnahmen relativ sinnlos.

 

[MeXeD]

Wenn ein "böser" Mitarbeiter physischen Zugriff auf den PC/Notebook hat kann er das BIOS auch reseten.
Von daher sind solche Schutzmaßnahmen relativ sinnlos.

Und über die Ferne? Sei es über Viren oder sonstige mittel. Gibt Möglichkeiten, dass das OS erkennt wenn das BIOS resettet wurde und dann dicht macht, bzw sensible Inhalte schützt?
Eine Quelle zum einlesen wäre halt gut um im Nachgang zu schauen, was relevant ist für mich oder nicht.

 

[I'm unknown]

Wenn ein "böser" Mitarbeiter physischen Zugriff auf den PC/Notebook hat kann er das BIOS auch reseten.

Klar kann er das, nur ist dann in der Regel der Schlüssel für Bitlocker aus dem TPM nicht mehr erreichbar und den Recovery-Key hat der normale Mitarbeiter nicht. So sollte es zumindest in der Windowswelt als Minimalschutz aussehen.

 

[Pete81]

Den physischen Zugriff auf die Bios Batterie könnte man auch mit entsprechenden Gehäuse mit Schloss oder Vorhängeschlössern zumindest einschränken...

 

[h00bi]

Wenn ein "böser" Mitarbeiter physischen Zugriff auf den PC/Notebook hat kann er das BIOS auch reseten.
Von daher sind solche Schutzmaßnahmen relativ sinnlos.

Im Consumerbereich ja.
Im Businessbereich gibt es dagegen logischerweise Schutzmechanismen.

physischen Zugriff auf die Bios Batterie

Ist hier dann auch komplett egal.
Option: Schwenk auf entsprechend absicherbare Businesshardware.

Gibt Möglichkeiten, dass das OS erkennt wenn das BIOS resettet wurde und dann dicht macht, bzw sensible Inhalte schützt?

Falscher Denkansatz. Wenn das UEFI manipuliert wurde weil da jemand dran kommt dann hast du weit größere Probleme als das.
Aber ja, Secure boot kann mehr als nur das booten von anderen Medien unterdrücken.

Der Schutz des OS zudem hat nichts mit der eigentlichen Fragestellung/Aufgabenstellung zu tun.

 

[MeXeD]

Im Consumerbereich ja.
Im Businessbereich gibt es dagegen logischerweise Schutzmechanismen.

Ist hier dann auch komplett egal.
Option: Schwenk auf entsprechend absicherbare Businesshardware.

Falscher Denkansatz. Wenn das UEFI manipuliert wurde weil da jemand dran kommt dann hast du weit größere Probleme als das.
Aber ja, Secure boot kann mehr als nur das booten von anderen Medien unterdrücken.

Der Schutz des OS zudem hat nichts mit der eigentlichen Fragestellung/Aufgabenstellung zu tun.

Jaein.

Wenn ich das BIOS/UEFI schützen will bzw. Sicherheitsrelevante Konfigurationen konfiguriere, mache ich das ja nur, damit das dahinterliegene System geschützt wird.
Klar, muss ich Schutzmechanismen für die Systeme selber treffen und via Gruppenrichtlinien bspw. verteilen.

Ich möchte einfach aunauthorisierte Zugriffe, manipulationen an den Systemen schützen.
Und ich will wissen ob es mehr gibt als nur das gängiste (Secureboot, bootmedien festlegen, bootreihenfolge festlegen, TPM, Gehäuseschloss) Weil das ist das einzige was ich momentan weiß.

 

[h00bi]

Wie gesagt findest du das alles bei entsprechenden Business Geräten von den großen OEMs wie HP, Lenovo und Fujitsu.