Problem Domain: Software's default configuration could be more secure due to various reasons, e.g., that the software vendor focuses on the default configuration more on usability than on security. Thus, systems running the software in the default configuration may be more susceptible to malware, viruses, and other attacks. By hardening the configuration and setting more secure values, we can improve the security of our system. However, most organizations are currently not doing security configuration, mainly because they do not know its importance or do not have the process, knowledge, and tools to implement it effectively. Literature Gap: The primary literature gaps concerned by this thesis are the following: First, there is no security-configuration process effectively hardening an organization's infrastructure. The second gap is that there is no approach to automate the mostly manual configuration hardening. The lack of knowledge about which settings are security-relevant is the third gap we tackle in this thesis. The missing understanding of the importance of security configuration is the fourth gap we want to overcome. The fifth of our main gaps is the problem of legacy support that prevents people from doing security configuration. Solution: In this thesis, we present the following solutions to close these gaps: First, we present an efficient security-configuration process. Second, we show our approach to automatically implementing existing security-configuration guides, and, thus, to remove the manual configuration steps. Third, we demonstrate how one can use the natural language description of the settings to find security-relevant settings. Fourth, we present attacks on non-hardened systems that show the importance of proper configuration hardening. Fifth, we show how one can use software testing techniques to find problematic security-configuration rules when applying them to a system with legacy software. Contribution: There are three main contributions of this thesis: First, we use existing natural language processing techniques to solve security configuration problems. We hope other researchers can follow this example and solve other problems in this domain with these techniques. Second, we transfer software engineering practices into the domain of security configuration. We could make the security-configuration process with existing tools way more efficient by using well-established methods. Third, we published data sets, e.g., on security-relevant settings, so that other researchers train their models on these data sets. Thus, we hope to enable more research on security configuration in the future.     «

Problem Domain: Software's default configuration could be more secure due to various reasons, e.g., that the software vendor focuses on the default configuration more on usability than on security. Thus, systems running the software in the default configuration may be more susceptible to malware, viruses, and other attacks. By hardening the configuration and setting more secure values, we can improve the security of our system. However, most organizations are currently not doing security con...     »

Problemdomäne: Die Standardkonfiguration von Software ist aus verschiedenen Gründen unsicherer als möglich, z. B. weil der Softwarehersteller bei der Standardkonfiguration mehr auf die Benutzerfreundlichkeit als auf die Sicherheit Wert legt. Daher sind Systeme, auf denen Software in der Standardkonfiguration ausgeführt wird, unter Umständen anfälliger für Malware, Viren und andere Angriffe. Durch die Konfigurationshärtung und die Setzen sicherer Werte können wir die Sicherheit unserer Systeme verbessern. Die meisten Unternehmen nehmen jedoch derzeit keine Sicherheitskonfiguration vor, hauptsächlich, weil sie sich der Bedeutung dieser Maßnahme nicht bewusst sind oder nicht über das Verfahren, das Wissen und die Werkzeuge verfügen, um sie wirksam umzusetzen. Offene Forschungsfragen: Die primären Literaturlücken, mit denen sich diese Arbeit beschäftigt, sind die folgenden: Erstens gibt es keinen Sicherheitskonfigurationsprozess, der die Infrastruktur eines Unternehmens effektiv härtet. Die zweite Lücke besteht darin, dass es aktuell keinen Ansatz gibt, um die manuelle Anweisungen zur Konfigurationshärtung automatisiert umzusetzen. Das fehlende Wissen darüber, welche Konfigurationseinstellungen sicherheitsrelevant sind, ist die dritte Lücke, die wir in dieser Arbeit angehen. Das fehlende Verständnis für die Bedeutung der Konfigurationshärtung ist die vierte Lücke, die wir überwinden wollen. Die fünfte Lücke ist das Problem, dass bestehende Systeme nicht eingeschränkt werden dürfen; dies hält aktuell viele Administratoren davon ab, die Einstellungen ihrer Systeme auf sicherere Werte zu setzen. Lösungsansatz: In dieser Arbeit stellen wir die folgenden Lösungen vor, um diese Lücken zu schließen: Erstens stellen wir einen effizienten Sicherheitskonfigurationsprozess vor. Zweitens zeigen wir unseren Ansatz zur automatisierten Implementierung bestehender Sicherheitskonfigurationsrichtlinien. Drittens zeigen wir, wie man die natürlichsprachliche Beschreibung der Einstellungen nutzen kann, um sicherheitsrelevante Einstellungen zu bestimmen. Viertens stellen wir Angriffe auf nicht gehärtete Systeme vor, die zeigen, wie wichtig eine angemessene Konfigurationshärtung ist. Fünftens zeigen wir, wie man mithilfe von Techniken aus dem Software Testing die Sicherheitskonfigurationsregeln identifizieren kann, die bestehende Software im Betrieb einschränken würden. Beitrag: Diese These hat drei Hauptbeiträge: Erstens verwenden wir bestehende Techniken aus der Computerlinguistik, um Probleme im Bereich Sicherheitskonfiguration zu lösen. Wir hoffen, dass andere Forscher diesem Beispiel folgen und andere Probleme in diesem Bereich mit ähnlichen Techniken lösen können. Zweitens übertragen wir Software-Engineering-Praktiken auf den Bereich der Sicherheitskonfiguration. Durch die Verwendung etablierter Methoden können wir den Prozess der Sicherheitskonfiguration mit bestehenden Tools wesentlich effizienter gestalten. Drittens haben wir Datensätze veröffentlicht, z. B. zu sicherheitsrelevanten Einstellungen, sodass andere Forscher ihre Modelle auf diesen Datensätzen trainieren können. Auf diese Weise hoffen wir, in Zukunft mehr Forschung zur Sicherheitskonfiguration zu ermöglichen.     «

Problemdomäne: Die Standardkonfiguration von Software ist aus verschiedenen Gründen unsicherer als möglich, z. B. weil der Softwarehersteller bei der Standardkonfiguration mehr auf die Benutzerfreundlichkeit als auf die Sicherheit Wert legt. Daher sind Systeme, auf denen Software in der Standardkonfiguration ausgeführt wird, unter Umständen anfälliger für Malware, Viren und andere Angriffe. Durch die Konfigurationshärtung und die Setzen sicherer Werte können wir die Sicherheit unserer Systeme...     »