Beschlossen vom Vorstand des Instituts für Informatik am 3. Januar 2001

Das Sicherheitskonzept für das Institut für Informatik wird auf drei Abstraktionsebenen definiert:

1. Sicherheitspolitik
2. Sicherheitsprogramm
3. Systemspezifische Implementierung des Programms

Auf der obersten Ebene definiert die Sicherheitspolitik grundlegende Ziele, legt Verantwortlichkeiten fest und setzt Rahmenbedingungen, innerhalb derer die Umsetzung der Politik erfolgt. Hierzu gehören neben allgemeinen Prinzipien, beispielsweise die Einhaltung von Datenschutzbestimmungen, insbesondere auch, welche Ressourcen zur Durchsetzung der Sicherheitspolitik eingesetzt werden.

Das Sicherheitsprogramm setzt die allgemein gehaltenen Vorgaben der Sicherheitspolitik in konkrete Regelungen um. Hier werden etwa die einzelnen Dienste spezifiziert, die an das Sicherheitskonzept angepasst werden müssen, es wird die technische Umsetzung dieser Regeln in ihren Grundzügen festgehalten und schließlich werden die organisatorischen Maßnahmen, die damit verbunden sind, aufgeführt.

Die systemspezifische Implementierung des Programms erfolgt dann durch die für die einzelnen Dienste zuständigen Support-Gruppen. Bei der Aufstellung des Sicherheitsprogramms sind naturgemäß technische und auch personelle Randbedingungen zu beachten, die sich aus den systemspezifischen Gegebenheiten der DV-Infrastruktur am Institut ergeben.

Aus der Aufgabenstellung einer Hochschule heraus ergeben sich Anforderungen an ein Sicherheitskonzept, die dessen Implementierung im Vergleich zu Unternehmen der Privatwirtschaft deutlich schwieriger gestalten. Erschwerend kommt hinzu, dass die finanziellen Möglichkeiten eines Instituts den Einsatz kommerzieller Werkzeuge praktisch ausschließen, so dass überwiegend hausgemachte Lösungen zum Einsatz kommen können. Schließlich ergeben sich durch die Integration des Institutsnetzes in das Hochschulnetz weitere Einschränkungen, da die Kontrolle über den Internet-Zugang außerhalb der Zuständigkeiten des Instituts liegt. Einige dieser Aspekte sollen im weiteren näher beleuchtet werden.

Traditionell sind Hochschulnetze offen. Dies ist zum einen aus der historischen Entwicklung heraus begründet, da Netze im wesentlichen als Forschungsnetze konzipiert waren und die Nutzergemeinschaft damit eine mehr oder weniger geschlossene Benutzergruppe darstellte. Jeder Rechner des Hochschulnetzes hat durch seine offizielle IP-Adresse direkten Zugang zum Internet.

Damit erschließt sich zwar für den Nutzer die ganze Vielfalt der Internetnutzung, andererseits wird er extrem anfällig gegenüber vielfältigen Angriffsformen. Erschwerend kommt hinzu, dass die Rechner oftmals als Entwicklungsplattformen genutzt werden, Nutzer die Rechner teilweise selber administrieren und sehr individuelle Anforderungen an die Netznutzung bestehen. Dadurch entsteht eine sehr heterogene Rechnerlandschaft, die eine flächendeckend einheitliche, zentral abgestimmte Absicherung auf Rechnerebene nicht zulässt. Der einzelne Rechner wird dadurch anfällig gegenüber systematisch vorgetragenen Angriffsversuchen. Beispielhaft seien hier einige der daraus entstehenden Missbrauchsmöglichkeiten genannt:

a) Der Rechner wird als Ausgangsstation für Angriffe gegen Dritte genutzt

In diese Rubrik fallen Distributed-Denial-of-Service (DDoS) Angriffe, bei denen ein Zielrechner, häufig ein exponierter kommerzieller Server, gleichzeitig von vielen Rechnern aus dem Netz heraus mit Paketen überschüttet wird, so dass die Dienste des Servers nicht mehr genutzt werden können. Der Angreifer wird in Vorbereitung eines derartigen Angriffes versuchen, ein entsprechendes Programm auf möglichst vielen Rechnern im Internet zu installieren. Als Risiko ergibt sich für das Institut neben möglichen Schadensersatzforderungen vor allem der öffentliche Ansehensverlust mit weiteren Auswirkungen auf die Zusammenarbeit mit Kooperationspartnern.

Eine ebenfalls weit verbreitete Methode, Rechner als Ausgangsbasis für Angriffe zu verwenden, stellen die sogenannten IRC Robots dar, die versuchen, IRC Server zu blockieren. Im Gegensatz zu DDoS-Angriffen wurden solche Angriffe auch von Nutzern innerhalb des Universitätsnetzes initiiert.

b) Der Rechner selber ist unmittelbares Angriffsziel

Hierhin gehören Angriffe, die zum Ziel haben, möglichst viel Schaden auf dem Rechner anzurichten, etwa indem sämtliche Benutzerdaten, die sich dort befinden, gelöscht werden. Häufig halten Benutzer auf Rechnern auch lokal Daten, die nicht von der Datensicherung erfasst werden. In solchen Fällen kann ein Verlust für den Betroffenen sehr gravierend sein.

Anstelle Daten zu vernichten können, kann das Ziel jedoch auch darin bestehen, lokal auf dem Rechner Daten zu speichern, deren Speicherung oder Verbreitung strafbar ist. Der Angreifer nutzt den Rechner dann zur für ihn ungefährlichen Lagerung solchen Materials. Für den betroffenen Nutzer kann es sehr schwierig sein, den Nachweis zu führen, dass er für diese Daten auf seinem Rechner nicht verantwortlich ist.

Neben den hier geschilderten Risiken tritt in allen Fällen ein weiteres Problem hinzu:

Die Angriffserkennung und Schadensbehebung bedeutet eine erhebliche Zusatzbelastung für die Rechnerbetriebsgruppen, die letztlich zu Lasten und zu Beeinträchtigungen des normalen Betriebsablaufes führt.

Kommerzielle Lösungen zum Aufbau sicherer Netze sind sehr teuer. Zu nennen sind hier Firewall-Rechner sowie Werkzeuge zur Erkennung von Anomalien der Netznutzung, sogenannte Intrusion-Detection Systeme. Neben den hohen Anschaffungskosten tritt dann noch der Personalbedarf zur Bedienung der oftmals komplexen System hinzu. Dies ist mit den Mitteln, die uns zur Verfügung stehen, nicht realisierbar. Technische Lösungen müssen sich an dem orientieren, was mit den vorhandenen Mitteln machbar ist. Das Institutsnetz wird im Kernbereich derzeit mit Switches des Herstellers Cisco aufgebaut. Einige dieser Geräte haben grundlegende Funktionen integriert, mit denen sich auf Ebene von Netzwerk-Adressen Zugriffslisten[1] definieren lassen. Hinzu kommt die Möglichkeit, virtuelle Subnetze, sogenannte VLANs, zu bilden, die voneinander logisch isoliert werden können. Die Zugehörigkeit zu einem VLAN ist auf Port-Ebene der Switches definiert. Im Idealzustand wäre jede Anschlussdose in den Institutsräumen genau einem VLAN zugeordnet Obwohl der Ausbaustand des Netzes hiervon noch weit entfernt ist und auch in nächster Zukunft dieses Ziel nicht erreicht werden kann, ist es dennoch möglich, zumindest einzelnen Arbeitsgruppen getrennte VLANs zuzuordnen und damit unterschiedliche Sicherheitszonen zu definieren.

Die Größe des Netzes erfordert dabei eine automatisierte Überwachung. Diese wird aus Kostengründen nur rudimentär zu realisieren sein. Im zweiten Teil des vorliegenden Konzeptes, der das Sicherheitsprogramm vorstellt, wird im Detail dargelegt, welche Möglichkeiten sich hierzu bieten und welche Konsequenzen für den einzelnen Nutzer sich daraus ergeben.

Auch bei einer weitgehenden Automatisierung der Netzüberwachung ist nach wie vor ein erhebliches Maß an Erfahrung notwendig, um mögliche Anomalien erkennen und bewerten zu können. Bei der derzeitigen personellen Situation in den Rechnerbetriebsgruppen kann diese Aufgabe noch nicht im notwendigen Maß wahrgenommen werden.

Einen vollständigen Schutz gegen Angriffe und Missbrauch im Netz kann es nicht geben. Andererseits kann die Schwelle gegenüber Angriffsversuchen aber mit einfachen Mitteln so weit angehoben werden, dass ein Großteil der in der Vergangenheit erfolgreich durchgeführten Angriffe hätte vermieden werden können. Dies trifft insbesondere auf die oben beschriebenen Szenarien zu, bei denen die Angreifer systematisch eine große Zahl von Rechnern auf potentielle Schwachpunkte hin abklopfen. Ebenso ist es möglich, durch einfache Maßnahmen das Abfangen von Passworten im Netz zu verhindern. Die im weiteren vorgeschlagenen Sicherungsmaßnahmen sind so konzipiert, dass sie mit geringem finanziellen Aufwand und ohne wesentlich erhöhten Personalbedarf realisierbar sind.

Die Sicherheitspolitik legt zunächst die grundlegende Sicherheitsarchitektur sowie die wesentlichen Ziele fest, die mit dem Sicherheitsprogramm erreicht werden sollen. Der Geltungsbereich umfasst dabei das gesamte Institutsnetz. Alle im folgenden genannten Sicherheitsmaßnahmen beziehen sich ausschließlich auf die Ebene von Netzprotokollen.

Eine inhaltliche Kontrolle oder Auswertung von Netzverkehr erfolgt nicht.

Um den unterschiedlichen Anforderungen der Netznutzer Rechnung tragen zu können, werden voneinander abgegrenzte Sicherheitszonen definiert, in denen jeweils spezifische Regelungen hinsichtlich der durchzusetzenden Sicherheitsrestriktionen gelten.

1) Gesamtnetz

Hier gelten minimale Schutzanforderungen, die in jeder der nachfolgenden Zonen eingehalten werden müssen.

2) Experimenteller Bereich

Experimentelle Bereiche sind dadurch charakterisiert, dass Nutzer unmittelbaren Zugang zu Netzresssourcen benötigen und dadurch in der Lage sind, Netzverkehr abzuhören oder Sicherheitsregelungen zu unterlaufen. Eine vollständige Abgrenzung dieser Bereiche vom Gesamtnetz muss sicherstellt werden.

3) Öffentliche Zone

In der öffentlichen Zone sind solche Rechner anzusiedeln, die unmittelbaren Zugang zum Internet haben und dadurch Angriffsversuchen direkt unterliegen. In diese Kategorie gehören insbesondere Login-, Web- und Mail-Server. Aufgrund der besonderen Gefährdung dieser Rechner ist dieser Netzbereich besonders intensiv zu beobachten. Des weiteren sind an die Rechner besonders hohe Anforderungen hinsichtlich der Systempflege zu stellen.

4) Differenzierter Bereich

Dieser Bereich besteht für Rechner, die mit einer direkten Kontrolle der Netzzugriffe über Zugriffslisten abgesichert werden. Hierbei erfolgen die Zugriffe auf das Netz nur nach ausdrücklicher Freischaltung mittels einer ACL1.

5) Kernzone

In der Kernzone sind schließlich die Rechner der Mitarbeiter und Studenten zusammen mit zentralen Servern angeschlossen. Hier ist in der Regel kein unmittelbarer Zugang zum Internet möglich.

6) Geschlossene Bereiche

Für einzelne Arbeitsgruppen mit erhöhten Sicherheitsanforderungen werden vom Kernnetz abgetrennte Sicherheitszonen eingerichtet. Der Zugang zu diesen Bereichen wird dabei durch einen Firewall abgeschottet.

Das Sicherheitsprogramm ist zu auszulegen, dass Angriffsversuche, die von außerhalb des Institutsnetzes gegen Rechner gerichtet werden, gleichermaßen wie Angriffsversuche, die aus dem Institutsnetz heraus unternommen werden, unterbunden werden.

Das Grundprinzip lautet dabei, dass nur diejenigen Nutzungsarten zugelassen werden, die explizit durch das Sicherheitsprogramm vorgesehen sind, wobei Nutzungsarten ausschließlich in technischer Hinsicht definiert werden. Eine abweichende Nutzung ist unzulässig und wird durch geeignete technische und organisatorische Maßnahmen verhindert. Das Sicherheitsprogramm ist dabei neuen Entwicklungen gegenüber anzupassen.

Es muss sichergestellt werden, dass von Dritten keine Nutzerkennungen auf Rechnern des Instituts missbraucht werden können Als Mindestmaßnahme ist im Gesamtnetz die unverschlüsselte Übertragung von Passworten unzulässig. Passworte sind dabei so zu wählen, dass sie nicht durch übliche Verfahren erraten oder entschlüsselt werden können.

Die Anbindung von Teilnetzen mit experimentellen Charakter an das Gesamtnetz ist so zu gestalten, dass von Rechnern dieser Bereiche kein Zugriff auf persönliche Daten von Nutzern außerhalb des Experimentalbereiches möglich ist. Rechner, die im öffentlichen Bereich betrieben werden, haben nur insoweit Zugriff auf persönliche Daten von Nutzern, wie dies aus betrieblichen Gründen zwingend erforderlich ist, beispielsweise benötigt der Mail-Server Zugriff auf die Mailverzeichnisse der Nutzer.

Grundsätzlich muss die Einhaltung der Sicherheitsvorkehrungen Vorrang haben, auch wenn dies im Einzelfall mit Einschränkungen des bisher Erlaubten oder mit Unbequemlichkeiten verbunden ist. Rechner sind nur in begründeten Einzelfällen im öffentlichen Bereich anzusiedeln.

Grundsätzlich dürfen nur vorab registrierte Rechner im Netz betrieben werden. Bei Erkennung von unbekannten Rechnern im Netz und Anomalien im Netzverkehr, die zu erheblichen Störungen im Betrieb führen oder auf Angriffe hindeuten, sind die betroffenen Netzsegmente unverzüglich vom Gesamtnetz abzutrennen.

Zum Schutz gegen Missbrauch und Angriffe tritt der Schutz der Netzinfrastruktur als notwendige Voraussetzung für einen sicheren Betrieb hinzu. Dieses Schutzprinzip gilt im Gesamtnetz. Da in experimentellen Sicherheitszonen Zugang zu Netzressourcen in der Regel erforderlich sein wird, sind im Sicherheitsprogramm Regelungen zu treffen, die eine wirksame Abkopplung der experimentellen Bereiche vom Gesamtnetz gewährleisten.

Neben der Einhaltung der Sicherheitsvorkehrungen ist die Gewährleistung des Datenschutzes durch technische und organisatorische Maßnahmen sicherzustellen. Daten, die bei der Überwachung des Netzverkehrs anfallen, dürfen nicht zur personenbezogenen Auswertungen des Nutzerverhaltens verwendet werden. Dies schließt jedoch nicht aus, dass durch statistische Verfahren der Netzverkehr erfasst und auf Anomalien, die auf einen Missbrauch hinweisen, untersucht wird. Der Zugriff auf solche Daten ist auf das verantwortliche Betriebspersonal zu beschränken.

Die Verantwortung für den Betrieb der Datenverarbeitungsanlagen, hierunter fällt insbesondere das Institutsnetz, trägt der Vorstand des Instituts. Für die Umsetzung des Sicherheitskonzeptes in administrativer, organisatorischer und technischer Hinsicht werden grundsätzlich aus dem Kreis der dauerhaft angestellten Mitarbeiter des Instituts folgende Ansprechpartner benannt:

1) Administrative Koordinatoren

Die administrativen Koordinatoren sind zuständig für die Regelung der einzelnen Maßnahmen, die zur Durchsetzung und Implementierung des Sicherheitsprogramms erforderlich sind. Bedingt durch die Netzwerktopologie, wird zwischen den Teilnetzen im Gebäude des Altbaus und dem des Neubaus unterschieden. Hierzu greift der zuständige Koordinator auf die technischen Ansprechpartner in den einzelnen Abteilungen bzw. in den Rechnerbetriebsgruppen zurück.

Die Koordinatoren stimmen sich untereinander ab, wenn es zum einen um den Zugriff und die Nutzung gemeinsamer Ressourcen geht und zum anderen, wenn die Vertrauensfrage beim Import und Export von Daten zwischen den einzelnen Zonen zu klären ist. Im Bedarfsfall wird der Leiter der DV-Kommission hinzugezogen.

Der Leiter der DV-Kommission benennt die Netzwerkverantwortlichen des Instituts als Vertreter gegenüber der Universität Bonn.

2) Technische Ansprechparter

Die im Sicherheitsprogramm definierten Regeln werden durch die jeweiligen Rechnerbetriebsgruppen implementiert und deren Einhaltung durch diese überwacht. Die einzelnen Abteilungen benennen technische Ansprechpartner, die zusammen mit den oben genannten administrativen Ansprechpartnern eine Abstimmung der im einzelnen zu treffenden Schutzmaßnahmen vornehmen. Der technische Ansprechpartner ist dabei verantwortlich für die Umsetzung dieser Vereinbarungen innerhalb seines Zuständigkeitsbereiches.

Das Sicherheitsprogramm legt im einzelnen fest, welche organisatorischen und technischen Maßnahmen getroffen werden sollen, um die in der Sicherheitspolitik des Instituts vorgegebenen Ziele umzusetzen. Die technischen Details werden durch die im vorstehenden Abschnitt genannten administrativen Koordinatoren und technischen Ansprechpartner erarbeitet und den technischen Entwicklungen laufend angepasst.

Zunächst werden die Aufgabenfelder identifiziert, die vom Sicherheitsprogramm adressiert werden müssen. Die Festlegung der im Netz angebotenen Dienste, die je nach Sicherheitszone variieren können, steht dabei zu Beginn. Damit eng verbunden ist die Regelung, wie unzulässige Netzzugriffe erkannt werden und wie darauf reagiert werden soll. Die Erkennung solcher Zugriffe setzt eine laufende Kontrolle des Netzverhaltens voraus. Hier sind geeignete Mechanismen zu definieren. Weiterhin muss geklärt werden, wie dabei die Datenschutzbestimmungen eingehalten werden und wie die Wirksamkeit der getroffenen Maßnahmen überprüft wird. Die Festlegung von Prioritäten für die Implementierung, eine Abschätzung des Finanz- und Personalbedarfs sowie die Planung für den Schadensfall schließen diesen Teil ab.

Grundsätzlich sind alle Dienste vorab zu registrieren, die innerhalb des Netzes mit Ausnahme der experimentellen Netzbereiche eingesetzt werden. Im folgenden wird für die sechs Sicherheitszonen festgelegt, welche Dienste dort angeboten werden und welche Kommunikationsschnittstellen zu den anderen Bereichen bestehen. Dabei wird als generelles Prinzip verfolgt, dass keine direkten Zugriffe aus Zonen mit niedrigerem Sicherheitsniveau auf Daten in höheren Zonen möglich sind. Andererseits ist es zulässig, dass Daten von Server aus sicheren Zonen heraus exportiert werden, sofern die betreffenden Daten niedrigeren Schutzanforderungen genügen.

Im Kernbereich sind nur diejenigen Dienste zulässig, die zwingend zum Betrieb der in diesem Bereich angesiedelten Rechner notwendig sind. Die Festlegung im einzelnen erfolgt durch den administrativen Netzkoordinator in Abstimmung mit den lokalen technischen Ansprechpartnern. Direkter Zugang zum Internet besteht nicht. Der Export von Daten aus diesem Bereich heraus ist nur zulässig, sofern diese Daten den niedrigeren Schutzanforderungen des importierenden Bereichs genügen. Für Benutzerverzeichnisse bedeutet dies, dass eine Trennung zwischen Daten, die im öffentlichen Bereich und solchen, die im Kernbereich zugänglich sind, vorgenommen wird. Beide Benutzerverzeichnisse stehen dann im Kernbereich zur Verfügung, im öffentlichen Bereich nur die entsprechende Teilmenge.

Hier sind alle Rechner angesiedelt, die direkten Zugang zum Internet benötigen. Im einzelnen werden dort die folgenden Dienste angeboten:

a) Mail-Server mit SMTP-Protokoll sowie verschlüsseltem POP3 und IMAP4 Protokoll nach innen und außen. Der Mail-Server exportiert keine Daten. Dadurch kann auch aus experimentellen Zonen Mail vom Server gelesen werden. Mailverzeichnisse von Benutzern werden nur lokal auf dem Rechner gespeichert.

b) Web- und Proxy-Server mit HTTP Protokoll nach innen und außen. Web-Server exportieren Daten ausschließlich in den Kernbereich.

c) FTP-Server mit FTP-Protokoll. Der Server bietet nur anonymen Zugang bzw. Zugang unter speziellen, lokalen Benutzerkennungen. Unter Institutskennungen ist kein FTP möglich.

d) Login-Server bieten Nutzern mit Institutskennungen die Möglichkeit, Telnet- und FTP-äquivalente Dienste mit verschlüsselter Übertragung von Passworten zu nutzen. Auf dem Login-Server steht Nutzern ein spezielles Home-Verzeichnis zur Verfügung, über das Daten zum Kernbereich (siehe oben) übertragen werden können.

e) Spezialsysteme, die gesonderte Aufgaben haben. Hierzu zählen z.B. Datenbanksysteme, die auf Netzressourcen zurückgreifen.

In diesem Bereich werden nur die Dienste freigegeben , die bei den zuständigen Koordinatoren registriert wurden. Es gibt keinen uneingeschränkten Zugang zum Netz. Rechner mit Spezialaufgaben unterscheiden sich von Arbeitsrechnern durch erweiterte ACL Vektoren. Es ist keine Spiegelung von Benutzerdaten innerhalb dieses Bereich vorgesehen. Das Niveau der Sicherheitsebene wird über ACL-Einträge und deren indirekter Zugriff auf das Internet festgelegt. Die Differenzierung der einzelnen Einträge in einer ACL erfolgt über Subnetze, VLANs oder pro Rechner. Datenexporte und Datenimporte in andere Bereiche sind in Rücksprache mit den Koordinatoren zu regeln.

In experimentellen Sicherheitszonen erhalten Nutzer unmittelbaren Zugang zu Netzressourcen. Grundsätzlich ist jeder Rechner, dessen privilegierte Kennungen von Personen genutzt werden, die nicht am Institut angestellt sind, in einem experimentellen Bereich aufzustellen. In solche Bereiche hinein werden nur solche Daten exportiert, die keine besonderen Schutzanforderungen haben. Soweit im Rahmen der experimentellen Arbeiten auch Zugriff auf aktive Netzkomponenten benötigt wird, sind diese durch geeignete Schutzmaßnahmen, ansonsten durch physische Abkopplung, vom restlichen Netz abzutrennen.

Im gesamten Netz sind ausschließlich nur solche Dienste zulässig, bei denen Passworte für Benutzerkennungen von Institutsangehörigen verschlüsselt übertragen werden. Alle Rechner des Gesamtnetzes sind einer der vorstehenden Sicherheitszonen zuzuordnen.

Zum Schutz der Netzinfrastruktur sind alle Bestandteile des Gesamtnetzes vor unberechtigtem Zugriff zu schützen. Angefangen bei Steckdosen, über die Verkabelung bis hin zu aktiven Netzkomponenten wie Switches und Router. Die Schnittstelle zum Benutzer ist die Steckdose. An eine Steckdose dürfen nur die dafür zugelassenen Rechner angeschlossen werden.

In diesem Abschnitt werden zunächst Verfahren und Vorgehensweisen beschrieben, mit denen die Netzüberwachung erfolgt. Anschließend wird dargelegt, welche Reaktionsmechanismen vorgesehen sind. Es erfolgt dabei keine Kontrolle von Inhalten oder von Verbindungsdaten, mit Ausnahme der Untersuchung einer Anomalie, jedoch nur, wenn ein hinreichend begründeter Verdacht auf einen Angriff oder Missbrauch vorliegt.

Jedes System, das an das Institutsnetz angeschlossen werden soll, muss vorab registriert werden. Bei der Registrierung werden folgende Daten erfasst:

• Netzwerkadressen auf OSI Schicht 2 und 3
• DNS-Informationen
• Beschreibung des Systems, wie etwa Hersteller, Hardware, Betriebssystem
• Zugehörigkeit zu einer Arbeitsgruppe, Standort, Kontaktperson
• Liste von Ports, an denen das System betrieben werden darf, alternativ ein VLAN
• Besonderheiten, wie etwa experimentelle Netzwerkprotokolle

Einige Netzkomponenten ermöglichen mit Hilfe von Zugriffslisten (ACL) gezielt Verkehr anhand von Netzwerkadressen und Netzprotokollen zu blockieren. Beim Übergang zwischen dem Institutsnetz und dem restlichen Universitätsnetz, also insbesondere dem Internet-Zugang, werden ACL eingesetzt, um die im Sicherheitsprogramm definierten Zugangsrestriktionen umzusetzen. Da in den ACL Zugangsrechte über IP-Adressen definiert werden, sind bei der Einrichtung von Sicherheitszonen Aspekte der IP-Adressraum Strukturierung zu berücksichtigen.

Dieser Mechanismus wird auch verwendet, um den Verkehrsfluss innerhalb des internen Netzes zwischen VLANs zu kontrollieren. Entsprechend sind auch bei der Definition von VLANs Restriktionen hinsichtlich der IP-Adressraum Strukturierung zu beachten.

Auf allen Rechnern werden darüber hinaus diejenigen Dienste, die auf dem Rechner nicht zulässig sind, durch Sperrung der entsprechenden Schicht-4 Ports unterbunden.

Jeder Port von aktiven Netzkomponenten unterliegt einer regelmäßigen Überwachung seiner Management-Information. Diese liefern etwa Daten zur Auslastung, Fehlerindikatoren sowie Angaben zu über diesen Port erreichbaren Systemen auf Basis von Netzwerkadressen. Diese Daten werden automatisiert analysiert und dienen zur Erkennung von anomalen Verkehrsmustern. Zusätzlich werden punktuell RMON-basierte Werkzeuge oder vergleichbare Hilfsmittel eingesetzt, mit denen Ende-zu-Ende Verkehrsdaten erfasst und statistisch ausgewertet werden. Weiterhin werden auf besonders sensitiven Systemen, beispielsweise Servern im öffentlichen Sicherheitsbereich, Werkzeuge genutzt, mit denen Zugriffe auf nicht freigegebene Ports erkannt werden. Die Erkennung von Anomalien setzt voraus, dass ungewöhnliche Verkehrsmuster, die auch im Normalbetrieb, beispielsweise während einer Datensicherung auftreten, im Vorfeld erfasst werden.

Um frühzeitig auf eventuelle Angriffe reagieren zu können und um Schäden zu vermeiden, die durch ein Fehlverhalten einzelner Rechner entstehen können, werden im Kernnetz sowie im differenzierten Bereich bei Erkennung von vorab nicht erfassten ungewöhnlichen Verkehrsmustern sowie bei unbekannten oder nicht freigegebenen Netzadressen auf einem Netzsegment die entsprechenden Ports im Switch automatisch gesperrt. Außerhalb des Kernnetzes sowie bei Server-Ports werden Alarme ausgelöst und die Entscheidung, ob der Port gesperrt wird, wird durch das technische Personal getroffen.

Da sich auch im normalen Betrieb im Netzverkehr erhebliche Schwankungen zeigen, ist die automatisierte Erkennung von Anomalien mit großen Unsicherheiten behaftet. Die Schwelle, bevor ein Port gesperrt wird, muss daher recht hoch gesetzt werden.

Da durch die oben beschriebenen Maßnahmen Risiken zwar reduziert, jedoch nicht ausgeschlossen werden können, ist es notwendig, Vorkehrungen zu treffen, die mögliche Schäden eingrenzen.

Die Festlegung von Schwellwerten für Alarme oder allgemeiner, die Festlegung dessen, was als normaler Netzverkehr betrachtet wird, erweist sich in der Praxis als recht schwierig. Bevor solche Festlegungen getroffen werden, ist eine Lernphase vorzuschalten, in der über einen längeren Zeitraum eine Anpassung der Schwellwerte erfolgt, ohne eine Port-Sperrung auszulösen.

Ebenso muss in der Praxis überprüft werden, in wie weit durch ACLs die gewünschten Effekte erzielt werden. Leider gibt es keine Werkzeuge, die eine derartige Funktionskontrolle unterstützen.

Durch die hier vorgeschlagene dezentrale Implementierung des Sicherheitsprogramms muss darüber hinaus sichergestellt werden, dass die Kommunikation zwischen den verschiedenen Sicherheitsverantwortlichen funktioniert und die Schnittstellen zwischen den einzelnen Zuständigkeitsbereichen klar definiert sind. Dies ist Aufgabe der administrativen Netzkoordinatoren.

Es ist unumgänglich, dass ein Aktionsplan erstellt wird, wie auf einen Angriff reagiert werden soll. Dazu ist es erforderlich, die möglichen Risiken zu klassifizieren und deren Auswirkungen vorab zu schätzen Dann ist festzulegen, welche Aktionen im einzelnen unternommen werden und zu welchem Zeitpunkt die Nutzer bei einem Verdacht auf einen Angriff informiert werden.

Im Rahmen der Netzüberwachung fallen eine Vielzahl von Daten an, die zwar nicht unmittelbar einem einzelnen Nutzer zugeordnet werden können, die jedoch über die Netzadressen häufig einen indirekten Rückschluss auf den betreffenden Arbeitsplatz und damit letztlich auf einen Mitarbeiter zulassen. Grundsätzlich unterscheiden sich diese Daten nicht von solchen, die auch auf den einzelnen Rechnern durch betriebssysteminterne Funktionen erfasst und abgefragt werden können. Somit sind auf diese Daten die gleichen Regelungen anzuwenden, wie sie in der Benutzerordnung für die Datenverarbeitungsanlagen am Institut für Informatik definiert sind.

Die Verfahren zur Netzüberwachung müssen im einzelnen daraufhin geprüft werden, ob Daten anfallen, die der Datenschutzregelung unterliegen. Problematisch gestalteten sich dabei insbesondere solche Verfahren, bei denen ein Verkehrsprofil erstellt wird. Hier muss durch eine Anonymisierung sichergestellt werden, dass Verkehrsprofile nicht arbeitsplatzbezogen aufgestellt werden.

Grundsätzlich muss der Zugriff auf Netzverkehrsdaten auf das betrieblich notwendige Maß beschränkt sein. Die Dezentralisierung des Netzbetriebes hat hier den Vorteil, dass auch die Datenerfassung auf kleinere Einheiten beschränkt wird. Es kann somit als Regel aufgestellt werden, dass Betriebspersonal nur Zugriffsrechte auf Verkehrsdaten solcher Teilnetze (VLANs) erhält, für die sie unmittelbar zuständig sind. Lediglich die im einzelnen benannten Netzverantwortlichen erhalten im Rahmen ihrer Zuständigkeiten Zugriffsrechte auf Verkehrsdaten anderer Netzbereiche.

[1] Zugriffslisten werden auch als Access Control Lists bezeichnet und im weiteren mit ACL benannt. Ein einzelner Eintrag (Regel) in einer ACL wird als Access Control List Entry (ACE) bezeichnet.