--- title: 'CIS-konformes Partitionierungsschema mit Kickstart' url: 'https://www.linuxfabrik.ch/de/blog/cis-konformes-partitionierungsschema-mit-kickstart' markdown: 'https://www.linuxfabrik.ch/de/blog/cis-konformes-partitionierungsschema-mit-kickstart.md' lang: de date: '2020-10-05' description: 'CIS-konformes LVM-Partitionierungsschema für RHEL und kompatible Distributionen mit Kickstart, gepflegt im Linuxfabrik/kickstart-Repo. Acht Mountpoints plus Swap.' taxonomy: category: - blog tag: - datacenter - linux - security archives_month: - oct_2020 archives_year: - '2020' --- # CIS-konformes Partitionierungsschema mit Kickstart [ Home ](https://www.linuxfabrik.ch/de) [ Blog ](https://www.linuxfabrik.ch/de/blog) CIS-konformes Partitionierungsschema mit Kickstart Das [Center for Internet Security](https://www.cisecurity.org/) (CIS) empfiehlt für RHEL und kompatible Distributionen ein Partitionierungsschema mit mehreren ausgelagerten Verzeichnissen wie `/home`, `/tmp`, `/var` und `/var/log`. Mit dem Logical Volume Manager (LVM) bleibt der administrative Aufwand für spätere Anpassungen überschaubar. ## Was CIS empfiehlt CIS empfiehlt separate Partitionen für sieben Verzeichnisse mit den folgenden Mount-Optionen: | Verzeichnis | `nodev` | `nosuid` | `noexec` | |---|---|---|---| | `/tmp` | ✓ | ✓ | ✓ | | `/dev/shm` | ✓ | ✓ | ✓ | | `/home` | ✓ | ✓ | | | `/var` | ✓ | ✓ | | | `/var/tmp` | ✓ | ✓ | ✓ | | `/var/log` | ✓ | ✓ | ✓ | | `/var/log/audit` | ✓ | ✓ | ✓ | `/dev/shm` ist auf RHEL standardmässig `tmpfs` und muss in der Kickstart-Datei nicht explizit definiert werden. ## Unsere Implementierung Im [Linuxfabrik/kickstart](https://github.com/Linuxfabrik/kickstart)-Repo findet sich die gepflegte Variante als `part_cis` in [ `lf-rhel.cfg`](https://github.com/Linuxfabrik/kickstart/blob/main/lf-rhel.cfg). Wir ergänzen das CIS-Schema um eine eigene `/backup`-Partition (für lokale Backups, z.B. via `linuxfabrik.lfops.borg_local`), so kommen wir auf insgesamt acht Mountpoints plus Swap: ``` logvol / --fstype="xfs" --size=4096 --vgname=rl --name=root logvol /backup --fstype="xfs" --size=1024 --vgname=rl --name=backup --fsoptions="nodev,noexec,nosuid" logvol /home --fstype="xfs" --size=1024 --vgname=rl --name=home --fsoptions="nodev,nosuid" logvol /tmp --fstype="xfs" --size=1024 --vgname=rl --name=tmp --fsoptions="nodev,noexec,nosuid" logvol /var --fstype="xfs" --size=4096 --vgname=rl --name=var --fsoptions="nodev,nosuid" logvol /var/log --fstype="xfs" --size=2048 --vgname=rl --name=var_log --fsoptions="nodev,noexec,nosuid" logvol /var/log/audit --fstype="xfs" --size=512 --vgname=rl --name=var_log_audit --fsoptions="nodev,noexec,nosuid" logvol /var/tmp --fstype="xfs" --size=1024 --vgname=rl --name=var_tmp --fsoptions="nodev,noexec,nosuid" logvol swap --fstype="swap" --recommended --vgname=rl --name=swap ``` Die Volume-Group heisst `rl` (Rocky Linux). Bei einer RHEL-Installation kann sie `rhel` heissen, der Name ist eine reine Konvention und kann angepasst werden. ## Hinweise - `/dev/shm` wird vom System automatisch als `tmpfs` mit `nodev,nosuid,noexec` gemountet, sofern `/etc/fstab` eine entsprechende Zeile enthält. Im Standard ist das auf RHEL bereits der Fall. - `/home` und `/var` erhalten kein `noexec`, da dort regulär ausführbare Dateien liegen können (User-Skripte, Pakete in `/var/lib`). - Die Sizes sind Vorschläge. Für produktive Systeme sind grössere `/var/log` und `/var/log/audit` sinnvoll, je nach Logging-Volumen. ## Weiterführend - [Linuxfabrik/kickstart auf GitHub](https://github.com/Linuxfabrik/kickstart) - [CIS Benchmarks](https://www.cisecurity.org/cis-benchmarks) - [Anaconda Kickstart Syntax Reference](https://anaconda-installer.readthedocs.io/en/latest/kickstart.html) ## Wir helfen dir Brauchst du Unterstützung beim CIS-Hardening deiner Linux-Server? Schau dir doch mal unsere [Service & Support-Modelle](https://www.linuxfabrik.ch/de/leistungen/service-support) an und melde dich [bei uns](https://www.linuxfabrik.ch/de/kontakt). [ Vorheriger Beitrag](https://www.linuxfabrik.ch/de/blog/linuxfabrik-monitoring-plugins-behind-the-scenes) [Nächster Beitrag ](https://www.linuxfabrik.ch/de/blog/das-open-source-admin-handbuch-der-linuxfabrik) #### Tags [ansible](https://www.linuxfabrik.ch/de/blog/tag:ansible) [checklistfabrik](https://www.linuxfabrik.ch/de/blog/tag:checklistfabrik) [cloud](https://www.linuxfabrik.ch/de/blog/tag:cloud) [datacenter](https://www.linuxfabrik.ch/de/blog/tag:datacenter) [event](https://www.linuxfabrik.ch/de/blog/tag:event) [firewallfabrik](https://www.linuxfabrik.ch/de/blog/tag:firewallfabrik) [graylog](https://www.linuxfabrik.ch/de/blog/tag:graylog) [icinga](https://www.linuxfabrik.ch/de/blog/tag:icinga) [lfops](https://www.linuxfabrik.ch/de/blog/tag:lfops) [linux](https://www.linuxfabrik.ch/de/blog/tag:linux) [monitoring-plugins](https://www.linuxfabrik.ch/de/blog/tag:monitoring-plugins) [news](https://www.linuxfabrik.ch/de/blog/tag:news) [nextcloud](https://www.linuxfabrik.ch/de/blog/tag:nextcloud) [security](https://www.linuxfabrik.ch/de/blog/tag:security) #### Archiv - [2026](https://www.linuxfabrik.ch/de/blog/archives_year:2026) - [2025](https://www.linuxfabrik.ch/de/blog/archives_year:2025) - [2024](https://www.linuxfabrik.ch/de/blog/archives_year:2024) - [2023](https://www.linuxfabrik.ch/de/blog/archives_year:2023) - [2022](https://www.linuxfabrik.ch/de/blog/archives_year:2022) - [2021](https://www.linuxfabrik.ch/de/blog/archives_year:2021) - [2020](https://www.linuxfabrik.ch/de/blog/archives_year:2020) #### Abonnements [ Atom](https://www.linuxfabrik.ch/de/blog.atom) [ RSS](https://www.linuxfabrik.ch/de/blog.rss) --- ## Navigation - Parent: [Blog](https://www.linuxfabrik.ch/de/blog.md) - Previous: [docs.linuxfabrik.ch: unser Open-Source-Admin-Handbuch](https://www.linuxfabrik.ch/de/blog/das-open-source-admin-handbuch-der-linuxfabrik.md) - Next: [Linuxfabrik Monitoring Plugins: Behind the Scenes](https://www.linuxfabrik.ch/de/blog/linuxfabrik-monitoring-plugins-behind-the-scenes.md)