Sie befinden sich hier: aktuelles » de » networksecurity
Unterschiede
Hier werden die Unterschiede zwischen zwei Versionen angezeigt.
Nächste Überarbeitung | Vorhergehende Überarbeitung | ||
de:networksecurity [2017-03-09 13:18] – angelegt Torsten Steinhäuser | de:networksecurity [2020-06-30 12:52] (aktuell) – Externe Bearbeitung 127.0.0.1 | ||
---|---|---|---|
Zeile 1: | Zeile 1: | ||
- | =====Netzwerksicherheit===== | + | ======Netzwerksicherheit====== |
Beschlossen vom Vorstand des Instituts für Informatik am 3. Januar 2001 | Beschlossen vom Vorstand des Instituts für Informatik am 3. Januar 2001 | ||
Zeile 17: | Zeile 17: | ||
Die systemspezifische Implementierung des Programms erfolgt dann durch die für die einzelnen Dienste zuständigen Support-Gruppen. Bei der Aufstellung des Sicherheitsprogramms sind naturgemäß technische und auch personelle Randbedingungen zu beachten, die sich aus den systemspezifischen Gegebenheiten der DV-Infrastruktur am Institut ergeben. | Die systemspezifische Implementierung des Programms erfolgt dann durch die für die einzelnen Dienste zuständigen Support-Gruppen. Bei der Aufstellung des Sicherheitsprogramms sind naturgemäß technische und auch personelle Randbedingungen zu beachten, die sich aus den systemspezifischen Gegebenheiten der DV-Infrastruktur am Institut ergeben. | ||
- | Sicherheitskonzept an einer Universität | + | ==Sicherheitskonzept an einer Universität== |
Aus der Aufgabenstellung einer Hochschule heraus ergeben sich Anforderungen an ein Sicherheitskonzept, | Aus der Aufgabenstellung einer Hochschule heraus ergeben sich Anforderungen an ein Sicherheitskonzept, | ||
- | Warum ist Sicherheit notwendig ? | + | ==Warum ist Sicherheit notwendig ?== |
Traditionell sind Hochschulnetze offen. Dies ist zum einen aus der historischen Entwicklung heraus begründet, da Netze im wesentlichen als Forschungsnetze konzipiert waren und die Nutzergemeinschaft damit eine mehr oder weniger geschlossene Benutzergruppe darstellte. Jeder Rechner des Hochschulnetzes hat durch seine offizielle IP-Adresse direkten Zugang zum Internet. | Traditionell sind Hochschulnetze offen. Dies ist zum einen aus der historischen Entwicklung heraus begründet, da Netze im wesentlichen als Forschungsnetze konzipiert waren und die Nutzergemeinschaft damit eine mehr oder weniger geschlossene Benutzergruppe darstellte. Jeder Rechner des Hochschulnetzes hat durch seine offizielle IP-Adresse direkten Zugang zum Internet. | ||
Zeile 41: | Zeile 41: | ||
Die Angriffserkennung und Schadensbehebung bedeutet eine erhebliche Zusatzbelastung für die Rechnerbetriebsgruppen, | Die Angriffserkennung und Schadensbehebung bedeutet eine erhebliche Zusatzbelastung für die Rechnerbetriebsgruppen, | ||
- | Randbedingungen technischer, | + | ==Randbedingungen technischer, |
Kommerzielle Lösungen zum Aufbau sicherer Netze sind sehr teuer. Zu nennen sind hier Firewall-Rechner sowie Werkzeuge zur Erkennung von Anomalien der Netznutzung, | Kommerzielle Lösungen zum Aufbau sicherer Netze sind sehr teuer. Zu nennen sind hier Firewall-Rechner sowie Werkzeuge zur Erkennung von Anomalien der Netznutzung, | ||
Zeile 48: | Zeile 48: | ||
Auch bei einer weitgehenden Automatisierung der Netzüberwachung ist nach wie vor ein erhebliches Maß an Erfahrung notwendig, um mögliche Anomalien erkennen und bewerten zu können. Bei der derzeitigen personellen Situation in den Rechnerbetriebsgruppen kann diese Aufgabe noch nicht im notwendigen Maß wahrgenommen werden. | Auch bei einer weitgehenden Automatisierung der Netzüberwachung ist nach wie vor ein erhebliches Maß an Erfahrung notwendig, um mögliche Anomalien erkennen und bewerten zu können. Bei der derzeitigen personellen Situation in den Rechnerbetriebsgruppen kann diese Aufgabe noch nicht im notwendigen Maß wahrgenommen werden. | ||
- | Aufwandsabschätzung Kosten/ | + | ==Aufwandsabschätzung Kosten/ |
Einen vollständigen Schutz gegen Angriffe und Missbrauch im Netz kann es nicht geben. Andererseits kann die Schwelle gegenüber Angriffsversuchen aber mit einfachen Mitteln so weit angehoben werden, dass ein Großteil der in der Vergangenheit erfolgreich durchgeführten | Einen vollständigen Schutz gegen Angriffe und Missbrauch im Netz kann es nicht geben. Andererseits kann die Schwelle gegenüber Angriffsversuchen aber mit einfachen Mitteln so weit angehoben werden, dass ein Großteil der in der Vergangenheit erfolgreich durchgeführten | ||
- | I. | + | ====I. |
- | Strategische Ziele | + | ==Strategische Ziele== |
Die Sicherheitspolitik legt zunächst die grundlegende Sicherheitsarchitektur sowie die wesentlichen Ziele fest, die mit dem Sicherheitsprogramm erreicht werden sollen. Der Geltungsbereich umfasst dabei das gesamte Institutsnetz. Alle im folgenden genannten Sicherheitsmaßnahmen beziehen sich ausschließlich auf die Ebene von Netzprotokollen. | Die Sicherheitspolitik legt zunächst die grundlegende Sicherheitsarchitektur sowie die wesentlichen Ziele fest, die mit dem Sicherheitsprogramm erreicht werden sollen. Der Geltungsbereich umfasst dabei das gesamte Institutsnetz. Alle im folgenden genannten Sicherheitsmaßnahmen beziehen sich ausschließlich auf die Ebene von Netzprotokollen. | ||
Eine inhaltliche Kontrolle oder Auswertung von Netzverkehr erfolgt nicht. | Eine inhaltliche Kontrolle oder Auswertung von Netzverkehr erfolgt nicht. | ||
- | Abgestuftes Sicherheitskonzept mit unterschiedlichen Sicherheitszonen | + | ==Abgestuftes Sicherheitskonzept mit unterschiedlichen Sicherheitszonen== |
Um den unterschiedlichen Anforderungen der Netznutzer Rechnung tragen zu können, werden voneinander abgegrenzte Sicherheitszonen definiert, in denen jeweils spezifische Regelungen hinsichtlich der durchzusetzenden Sicherheitsrestriktionen gelten. | Um den unterschiedlichen Anforderungen der Netznutzer Rechnung tragen zu können, werden voneinander abgegrenzte Sicherheitszonen definiert, in denen jeweils spezifische Regelungen hinsichtlich der durchzusetzenden Sicherheitsrestriktionen gelten. | ||
Zeile 84: | Zeile 84: | ||
Für einzelne Arbeitsgruppen mit erhöhten Sicherheitsanforderungen werden vom Kernnetz abgetrennte Sicherheitszonen eingerichtet. Der Zugang zu diesen Bereichen wird dabei durch einen Firewall abgeschottet. | Für einzelne Arbeitsgruppen mit erhöhten Sicherheitsanforderungen werden vom Kernnetz abgetrennte Sicherheitszonen eingerichtet. Der Zugang zu diesen Bereichen wird dabei durch einen Firewall abgeschottet. | ||
- | Schutz gegen Angriffe von Innen und Außen | + | ==Schutz gegen Angriffe von Innen und Außen== |
Das Sicherheitsprogramm ist zu auszulegen, dass Angriffsversuche, | Das Sicherheitsprogramm ist zu auszulegen, dass Angriffsversuche, | ||
Das Grundprinzip lautet dabei, dass nur diejenigen Nutzungsarten zugelassen werden, die explizit durch das Sicherheitsprogramm vorgesehen sind, wobei Nutzungsarten ausschließlich in technischer Hinsicht definiert werden. Eine abweichende Nutzung ist unzulässig und wird durch geeignete technische und organisatorische Maßnahmen verhindert. Das Sicherheitsprogramm ist dabei neuen Entwicklungen gegenüber anzupassen. | Das Grundprinzip lautet dabei, dass nur diejenigen Nutzungsarten zugelassen werden, die explizit durch das Sicherheitsprogramm vorgesehen sind, wobei Nutzungsarten ausschließlich in technischer Hinsicht definiert werden. Eine abweichende Nutzung ist unzulässig und wird durch geeignete technische und organisatorische Maßnahmen verhindert. Das Sicherheitsprogramm ist dabei neuen Entwicklungen gegenüber anzupassen. | ||
- | Schutz gegen Mißbrauch | + | ==Schutz gegen Missbrauch== |
Es muss sichergestellt werden, dass von Dritten keine Nutzerkennungen auf Rechnern des Instituts missbraucht werden können Als Mindestmaßnahme ist im Gesamtnetz die unverschlüsselte Übertragung von Passworten unzulässig. Passworte sind dabei so zu wählen, dass sie nicht durch übliche Verfahren erraten oder entschlüsselt werden können. | Es muss sichergestellt werden, dass von Dritten keine Nutzerkennungen auf Rechnern des Instituts missbraucht werden können Als Mindestmaßnahme ist im Gesamtnetz die unverschlüsselte Übertragung von Passworten unzulässig. Passworte sind dabei so zu wählen, dass sie nicht durch übliche Verfahren erraten oder entschlüsselt werden können. | ||
Die Anbindung von Teilnetzen mit experimentellen Charakter an das Gesamtnetz ist so zu gestalten, dass von Rechnern dieser Bereiche kein Zugriff auf persönliche Daten von Nutzern außerhalb des Experimentalbereiches möglich ist. Rechner, die im öffentlichen Bereich betrieben werden, haben nur insoweit Zugriff auf persönliche Daten von Nutzern, wie dies aus betrieblichen Gründen zwingend erforderlich ist, beispielsweise benötigt der Mail-Server Zugriff auf die Mailverzeichnisse der Nutzer. | Die Anbindung von Teilnetzen mit experimentellen Charakter an das Gesamtnetz ist so zu gestalten, dass von Rechnern dieser Bereiche kein Zugriff auf persönliche Daten von Nutzern außerhalb des Experimentalbereiches möglich ist. Rechner, die im öffentlichen Bereich betrieben werden, haben nur insoweit Zugriff auf persönliche Daten von Nutzern, wie dies aus betrieblichen Gründen zwingend erforderlich ist, beispielsweise benötigt der Mail-Server Zugriff auf die Mailverzeichnisse der Nutzer. | ||
- | Durchsetzung der Sicherheitspolitik | + | ==Durchsetzung der Sicherheitspolitik== |
Grundsätzlich muss die Einhaltung der Sicherheitsvorkehrungen Vorrang haben, auch wenn dies im Einzelfall mit Einschränkungen des bisher Erlaubten oder mit Unbequemlichkeiten verbunden ist. Rechner sind nur in begründeten Einzelfällen im öffentlichen Bereich anzusiedeln. | Grundsätzlich muss die Einhaltung der Sicherheitsvorkehrungen Vorrang haben, auch wenn dies im Einzelfall mit Einschränkungen des bisher Erlaubten oder mit Unbequemlichkeiten verbunden ist. Rechner sind nur in begründeten Einzelfällen im öffentlichen Bereich anzusiedeln. | ||
Zeile 101: | Zeile 101: | ||
Zum Schutz gegen Missbrauch und Angriffe tritt der Schutz der Netzinfrastruktur als notwendige Voraussetzung für einen sicheren Betrieb hinzu. Dieses Schutzprinzip gilt im Gesamtnetz. Da in experimentellen Sicherheitszonen Zugang zu Netzressourcen in der Regel erforderlich sein wird, sind im Sicherheitsprogramm Regelungen zu treffen, die eine wirksame Abkopplung der experimentellen Bereiche vom Gesamtnetz gewährleisten. | Zum Schutz gegen Missbrauch und Angriffe tritt der Schutz der Netzinfrastruktur als notwendige Voraussetzung für einen sicheren Betrieb hinzu. Dieses Schutzprinzip gilt im Gesamtnetz. Da in experimentellen Sicherheitszonen Zugang zu Netzressourcen in der Regel erforderlich sein wird, sind im Sicherheitsprogramm Regelungen zu treffen, die eine wirksame Abkopplung der experimentellen Bereiche vom Gesamtnetz gewährleisten. | ||
- | Datenschutz | + | ==Datenschutz== |
Neben der Einhaltung der Sicherheitsvorkehrungen ist die Gewährleistung des Datenschutzes durch technische und organisatorische Maßnahmen sicherzustellen. Daten, die bei der Überwachung des Netzverkehrs anfallen, dürfen nicht zur personenbezogenen Auswertungen des Nutzerverhaltens verwendet werden. Dies schließt jedoch nicht aus, dass durch statistische Verfahren der Netzverkehr erfasst und auf Anomalien, die auf einen Missbrauch hinweisen, | Neben der Einhaltung der Sicherheitsvorkehrungen ist die Gewährleistung des Datenschutzes durch technische und organisatorische Maßnahmen sicherzustellen. Daten, die bei der Überwachung des Netzverkehrs anfallen, dürfen nicht zur personenbezogenen Auswertungen des Nutzerverhaltens verwendet werden. Dies schließt jedoch nicht aus, dass durch statistische Verfahren der Netzverkehr erfasst und auf Anomalien, die auf einen Missbrauch hinweisen, | ||
- | Verantwortlichkeiten und Zuständigkeiten | + | ==Verantwortlichkeiten und Zuständigkeiten== |
Die Verantwortung für den Betrieb der Datenverarbeitungsanlagen, | Die Verantwortung für den Betrieb der Datenverarbeitungsanlagen, | ||
Zeile 119: | Zeile 119: | ||
Die im Sicherheitsprogramm definierten Regeln werden durch die jeweiligen Rechnerbetriebsgruppen implementiert und deren Einhaltung durch diese überwacht. Die einzelnen Abteilungen benennen technische Ansprechpartner, | Die im Sicherheitsprogramm definierten Regeln werden durch die jeweiligen Rechnerbetriebsgruppen implementiert und deren Einhaltung durch diese überwacht. Die einzelnen Abteilungen benennen technische Ansprechpartner, | ||
- | II. Sicherheitsprogramm | + | ====II. Sicherheitsprogramm==== |
Das Sicherheitsprogramm legt im einzelnen fest, welche organisatorischen und technischen Maßnahmen getroffen werden sollen, um die in der Sicherheitspolitik des Instituts vorgegebenen Ziele umzusetzen. Die technischen Details werden durch die im vorstehenden Abschnitt genannten administrativen Koordinatoren und technischen Ansprechpartner erarbeitet und den technischen Entwicklungen laufend angepasst. | Das Sicherheitsprogramm legt im einzelnen fest, welche organisatorischen und technischen Maßnahmen getroffen werden sollen, um die in der Sicherheitspolitik des Instituts vorgegebenen Ziele umzusetzen. Die technischen Details werden durch die im vorstehenden Abschnitt genannten administrativen Koordinatoren und technischen Ansprechpartner erarbeitet und den technischen Entwicklungen laufend angepasst. | ||
Zunächst werden die Aufgabenfelder identifiziert, | Zunächst werden die Aufgabenfelder identifiziert, | ||
- | Dienste | + | ==Dienste== |
Grundsätzlich sind alle Dienste vorab zu registrieren, | Grundsätzlich sind alle Dienste vorab zu registrieren, | ||
- | · | + | ==· |
- | · | + | ==· |
Im Kernbereich sind nur diejenigen Dienste zulässig, die zwingend zum Betrieb der in diesem Bereich angesiedelten Rechner notwendig sind. Die Festlegung im einzelnen erfolgt durch den administrativen Netzkoordinator in Abstimmung mit den lokalen technischen Ansprechpartnern. Direkter Zugang zum Internet besteht nicht. Der Export von Daten aus diesem Bereich heraus ist nur zulässig, sofern diese Daten den niedrigeren Schutzanforderungen des importierenden Bereichs genügen. Für Benutzerverzeichnisse bedeutet dies, dass eine Trennung zwischen Daten, die im öffentlichen Bereich und solchen, die im Kernbereich zugänglich sind, vorgenommen wird. Beide Benutzerverzeichnisse stehen dann im Kernbereich zur Verfügung, im öffentlichen Bereich nur die entsprechende Teilmenge. | Im Kernbereich sind nur diejenigen Dienste zulässig, die zwingend zum Betrieb der in diesem Bereich angesiedelten Rechner notwendig sind. Die Festlegung im einzelnen erfolgt durch den administrativen Netzkoordinator in Abstimmung mit den lokalen technischen Ansprechpartnern. Direkter Zugang zum Internet besteht nicht. Der Export von Daten aus diesem Bereich heraus ist nur zulässig, sofern diese Daten den niedrigeren Schutzanforderungen des importierenden Bereichs genügen. Für Benutzerverzeichnisse bedeutet dies, dass eine Trennung zwischen Daten, die im öffentlichen Bereich und solchen, die im Kernbereich zugänglich sind, vorgenommen wird. Beide Benutzerverzeichnisse stehen dann im Kernbereich zur Verfügung, im öffentlichen Bereich nur die entsprechende Teilmenge. | ||
- | · | + | ==· |
Hier sind alle Rechner angesiedelt, | Hier sind alle Rechner angesiedelt, | ||
Zeile 144: | Zeile 144: | ||
e) Spezialsysteme, | e) Spezialsysteme, | ||
- | · | + | ==· |
In diesem Bereich werden nur die Dienste freigegeben , die bei den zuständigen Koordinatoren registriert wurden. Es gibt keinen uneingeschränkten Zugang zum Netz. Rechner mit Spezialaufgaben unterscheiden sich von Arbeitsrechnern durch erweiterte ACL Vektoren. Es ist keine Spiegelung von Benutzerdaten innerhalb dieses Bereich vorgesehen. Das Niveau der Sicherheitsebene wird über ACL-Einträge und deren indirekter Zugriff auf das Internet festgelegt. Die Differenzierung der einzelnen Einträge in einer ACL erfolgt über Subnetze, VLANs oder pro Rechner. Datenexporte und Datenimporte in andere Bereiche sind in Rücksprache mit den Koordinatoren zu regeln. | In diesem Bereich werden nur die Dienste freigegeben , die bei den zuständigen Koordinatoren registriert wurden. Es gibt keinen uneingeschränkten Zugang zum Netz. Rechner mit Spezialaufgaben unterscheiden sich von Arbeitsrechnern durch erweiterte ACL Vektoren. Es ist keine Spiegelung von Benutzerdaten innerhalb dieses Bereich vorgesehen. Das Niveau der Sicherheitsebene wird über ACL-Einträge und deren indirekter Zugriff auf das Internet festgelegt. Die Differenzierung der einzelnen Einträge in einer ACL erfolgt über Subnetze, VLANs oder pro Rechner. Datenexporte und Datenimporte in andere Bereiche sind in Rücksprache mit den Koordinatoren zu regeln. | ||
- | · | + | ==· |
In experimentellen Sicherheitszonen erhalten Nutzer unmittelbaren Zugang zu Netzressourcen. Grundsätzlich ist jeder Rechner, dessen privilegierte Kennungen von Personen genutzt werden, die nicht am Institut angestellt sind, in einem experimentellen Bereich aufzustellen. In solche Bereiche hinein werden nur solche Daten exportiert, die keine besonderen Schutzanforderungen haben. Soweit im Rahmen der experimentellen Arbeiten auch Zugriff auf aktive Netzkomponenten benötigt wird, sind diese durch geeignete Schutzmaßnahmen, | In experimentellen Sicherheitszonen erhalten Nutzer unmittelbaren Zugang zu Netzressourcen. Grundsätzlich ist jeder Rechner, dessen privilegierte Kennungen von Personen genutzt werden, die nicht am Institut angestellt sind, in einem experimentellen Bereich aufzustellen. In solche Bereiche hinein werden nur solche Daten exportiert, die keine besonderen Schutzanforderungen haben. Soweit im Rahmen der experimentellen Arbeiten auch Zugriff auf aktive Netzkomponenten benötigt wird, sind diese durch geeignete Schutzmaßnahmen, | ||
- | · | + | ==· |
Im gesamten Netz sind ausschließlich nur solche Dienste zulässig, bei denen Passworte für Benutzerkennungen von Institutsangehörigen verschlüsselt übertragen werden. Alle Rechner des Gesamtnetzes sind einer der vorstehenden Sicherheitszonen zuzuordnen. | Im gesamten Netz sind ausschließlich nur solche Dienste zulässig, bei denen Passworte für Benutzerkennungen von Institutsangehörigen verschlüsselt übertragen werden. Alle Rechner des Gesamtnetzes sind einer der vorstehenden Sicherheitszonen zuzuordnen. | ||
- | Zugangsregelungen | + | ===Zugangsregelungen=== |
Zum Schutz der Netzinfrastruktur sind alle Bestandteile des Gesamtnetzes vor unberechtigtem Zugriff zu schützen. Angefangen bei Steckdosen, über die Verkabelung bis hin zu aktiven Netzkomponenten wie Switches und Router. Die Schnittstelle zum Benutzer ist die Steckdose. An eine Steckdose dürfen nur die dafür zugelassenen Rechner angeschlossen werden. | Zum Schutz der Netzinfrastruktur sind alle Bestandteile des Gesamtnetzes vor unberechtigtem Zugriff zu schützen. Angefangen bei Steckdosen, über die Verkabelung bis hin zu aktiven Netzkomponenten wie Switches und Router. Die Schnittstelle zum Benutzer ist die Steckdose. An eine Steckdose dürfen nur die dafür zugelassenen Rechner angeschlossen werden. | ||
- | Regelung der Netznutzung und -überwachung | + | ===Regelung der Netznutzung und -überwachung=== |
In diesem Abschnitt werden zunächst Verfahren und Vorgehensweisen beschrieben, | In diesem Abschnitt werden zunächst Verfahren und Vorgehensweisen beschrieben, | ||
- | Registrierung | + | ==Registrierung== |
Jedes System, das an das Institutsnetz angeschlossen werden soll, muss vorab registriert werden. Bei der Registrierung werden folgende Daten erfasst: | Jedes System, das an das Institutsnetz angeschlossen werden soll, muss vorab registriert werden. Bei der Registrierung werden folgende Daten erfasst: | ||
- | Netzwerkadressen auf OSI Schicht 2 und 3 | + | * Netzwerkadressen auf OSI Schicht 2 und 3 |
- | DNS-Informationen | + | |
- | Beschreibung des Systems, wie etwa Hersteller, Hardware, Betriebssystem | + | |
- | Zugehörigkeit zu einer Arbeitsgruppe, | + | |
- | Liste von Ports, an denen das System betrieben werden darf, alternativ ein VLAN | + | |
- | Besonderheiten, | + | |
- | Blockierung von unerwünschtem Verkehr | + | |
+ | ==Blockierung von unerwünschtem Verkehr== | ||
Einige Netzkomponenten ermöglichen mit Hilfe von Zugriffslisten (ACL) gezielt Verkehr anhand von Netzwerkadressen und Netzprotokollen zu blockieren. Beim Übergang zwischen dem Institutsnetz und dem restlichen Universitätsnetz, | Einige Netzkomponenten ermöglichen mit Hilfe von Zugriffslisten (ACL) gezielt Verkehr anhand von Netzwerkadressen und Netzprotokollen zu blockieren. Beim Übergang zwischen dem Institutsnetz und dem restlichen Universitätsnetz, | ||
Zeile 175: | Zeile 176: | ||
Auf allen Rechnern werden darüber hinaus diejenigen Dienste, die auf dem Rechner nicht zulässig sind, durch Sperrung der entsprechenden Schicht-4 Ports unterbunden. | Auf allen Rechnern werden darüber hinaus diejenigen Dienste, die auf dem Rechner nicht zulässig sind, durch Sperrung der entsprechenden Schicht-4 Ports unterbunden. | ||
- | Monitoring, Erkennung von Anomalien | + | ==Monitoring, Erkennung von Anomalien== |
Jeder Port von aktiven Netzkomponenten unterliegt einer regelmäßigen Überwachung seiner Management-Information. Diese liefern etwa Daten zur Auslastung, Fehlerindikatoren sowie Angaben zu über diesen Port erreichbaren Systemen auf Basis von Netzwerkadressen. Diese Daten werden automatisiert analysiert und dienen zur Erkennung von anomalen Verkehrsmustern. Zusätzlich werden punktuell RMON-basierte Werkzeuge oder vergleichbare Hilfsmittel eingesetzt, mit denen Ende-zu-Ende Verkehrsdaten erfasst und statistisch ausgewertet werden. Weiterhin werden auf besonders sensitiven Systemen, beispielsweise Servern im öffentlichen Sicherheitsbereich, | Jeder Port von aktiven Netzkomponenten unterliegt einer regelmäßigen Überwachung seiner Management-Information. Diese liefern etwa Daten zur Auslastung, Fehlerindikatoren sowie Angaben zu über diesen Port erreichbaren Systemen auf Basis von Netzwerkadressen. Diese Daten werden automatisiert analysiert und dienen zur Erkennung von anomalen Verkehrsmustern. Zusätzlich werden punktuell RMON-basierte Werkzeuge oder vergleichbare Hilfsmittel eingesetzt, mit denen Ende-zu-Ende Verkehrsdaten erfasst und statistisch ausgewertet werden. Weiterhin werden auf besonders sensitiven Systemen, beispielsweise Servern im öffentlichen Sicherheitsbereich, | ||
- | Maßnahmen bei Erkennung von Anomalien | + | ==Maßnahmen bei Erkennung von Anomalien== |
Um frühzeitig auf eventuelle Angriffe reagieren zu können und um Schäden zu vermeiden, die durch ein Fehlverhalten einzelner Rechner entstehen können, werden im Kernnetz sowie im differenzierten Bereich bei Erkennung von vorab nicht erfassten ungewöhnlichen Verkehrsmustern sowie bei unbekannten oder nicht freigegebenen Netzadressen auf einem Netzsegment die entsprechenden Ports im Switch automatisch gesperrt. Außerhalb des Kernnetzes sowie bei Server-Ports werden Alarme ausgelöst und die Entscheidung, | Um frühzeitig auf eventuelle Angriffe reagieren zu können und um Schäden zu vermeiden, die durch ein Fehlverhalten einzelner Rechner entstehen können, werden im Kernnetz sowie im differenzierten Bereich bei Erkennung von vorab nicht erfassten ungewöhnlichen Verkehrsmustern sowie bei unbekannten oder nicht freigegebenen Netzadressen auf einem Netzsegment die entsprechenden Ports im Switch automatisch gesperrt. Außerhalb des Kernnetzes sowie bei Server-Ports werden Alarme ausgelöst und die Entscheidung, | ||
Da sich auch im normalen Betrieb im Netzverkehr erhebliche Schwankungen zeigen, ist die automatisierte Erkennung von Anomalien mit großen Unsicherheiten behaftet. Die Schwelle, bevor ein Port gesperrt wird, muss daher recht hoch gesetzt werden. | Da sich auch im normalen Betrieb im Netzverkehr erhebliche Schwankungen zeigen, ist die automatisierte Erkennung von Anomalien mit großen Unsicherheiten behaftet. Die Schwelle, bevor ein Port gesperrt wird, muss daher recht hoch gesetzt werden. | ||
- | Risiko-Management | + | ===Risiko-Management=== |
Da durch die oben beschriebenen Maßnahmen Risiken zwar reduziert, jedoch nicht ausgeschlossen werden können, ist es notwendig, Vorkehrungen zu treffen, die mögliche Schäden eingrenzen. | Da durch die oben beschriebenen Maßnahmen Risiken zwar reduziert, jedoch nicht ausgeschlossen werden können, ist es notwendig, Vorkehrungen zu treffen, die mögliche Schäden eingrenzen. | ||
- | Funktionskontrolle | + | ==Funktionskontrolle== |
Die Festlegung von Schwellwerten für Alarme oder allgemeiner, | Die Festlegung von Schwellwerten für Alarme oder allgemeiner, | ||
Zeile 193: | Zeile 194: | ||
Durch die hier vorgeschlagene dezentrale Implementierung des Sicherheitsprogramms muss darüber hinaus sichergestellt werden, dass die Kommunikation zwischen den verschiedenen Sicherheitsverantwortlichen funktioniert und die Schnittstellen zwischen den einzelnen Zuständigkeitsbereichen klar definiert sind. Dies ist Aufgabe der administrativen Netzkoordinatoren. | Durch die hier vorgeschlagene dezentrale Implementierung des Sicherheitsprogramms muss darüber hinaus sichergestellt werden, dass die Kommunikation zwischen den verschiedenen Sicherheitsverantwortlichen funktioniert und die Schnittstellen zwischen den einzelnen Zuständigkeitsbereichen klar definiert sind. Dies ist Aufgabe der administrativen Netzkoordinatoren. | ||
- | Reaktionsplan erstellen | + | ==Reaktionsplan erstellen== |
Es ist unumgänglich, | Es ist unumgänglich, | ||
- | Datenschutz | + | ===Datenschutz=== |
Im Rahmen der Netzüberwachung fallen eine Vielzahl von Daten an, die zwar nicht unmittelbar einem einzelnen Nutzer zugeordnet werden können, die jedoch über die Netzadressen häufig einen indirekten Rückschluss auf den betreffenden Arbeitsplatz und damit letztlich auf einen Mitarbeiter zulassen. Grundsätzlich unterscheiden sich diese Daten nicht von solchen, die auch auf den einzelnen Rechnern durch betriebssysteminterne Funktionen erfasst und abgefragt werden können. Somit sind auf diese Daten die gleichen Regelungen anzuwenden, wie sie in der Benutzerordnung für die Datenverarbeitungsanlagen am Institut für Informatik definiert sind. | Im Rahmen der Netzüberwachung fallen eine Vielzahl von Daten an, die zwar nicht unmittelbar einem einzelnen Nutzer zugeordnet werden können, die jedoch über die Netzadressen häufig einen indirekten Rückschluss auf den betreffenden Arbeitsplatz und damit letztlich auf einen Mitarbeiter zulassen. Grundsätzlich unterscheiden sich diese Daten nicht von solchen, die auch auf den einzelnen Rechnern durch betriebssysteminterne Funktionen erfasst und abgefragt werden können. Somit sind auf diese Daten die gleichen Regelungen anzuwenden, wie sie in der Benutzerordnung für die Datenverarbeitungsanlagen am Institut für Informatik definiert sind. | ||
- | Welche Daten werden erhoben ? | + | ==Welche Daten werden erhoben ?== |
Die Verfahren zur Netzüberwachung müssen im einzelnen daraufhin geprüft werden, ob Daten anfallen, die der Datenschutzregelung unterliegen. Problematisch gestalteten sich dabei insbesondere solche Verfahren, bei denen ein Verkehrsprofil erstellt wird. Hier muss durch eine Anonymisierung sichergestellt werden, dass Verkehrsprofile nicht arbeitsplatzbezogen aufgestellt werden. | Die Verfahren zur Netzüberwachung müssen im einzelnen daraufhin geprüft werden, ob Daten anfallen, die der Datenschutzregelung unterliegen. Problematisch gestalteten sich dabei insbesondere solche Verfahren, bei denen ein Verkehrsprofil erstellt wird. Hier muss durch eine Anonymisierung sichergestellt werden, dass Verkehrsprofile nicht arbeitsplatzbezogen aufgestellt werden. | ||
- | Wer hat Zugriff auf diese Daten ? | + | ==Wer hat Zugriff auf diese Daten ?== |
Grundsätzlich muss der Zugriff auf Netzverkehrsdaten auf das betrieblich notwendige Maß beschränkt sein. Die Dezentralisierung des Netzbetriebes hat hier den Vorteil, dass auch die Datenerfassung auf kleinere Einheiten beschränkt wird. Es kann somit als Regel aufgestellt werden, dass Betriebspersonal nur Zugriffsrechte auf Verkehrsdaten solcher Teilnetze (VLANs) erhält, für die sie unmittelbar zuständig sind. Lediglich die im einzelnen benannten Netzverantwortlichen erhalten im Rahmen ihrer Zuständigkeiten Zugriffsrechte auf Verkehrsdaten anderer Netzbereiche. | Grundsätzlich muss der Zugriff auf Netzverkehrsdaten auf das betrieblich notwendige Maß beschränkt sein. Die Dezentralisierung des Netzbetriebes hat hier den Vorteil, dass auch die Datenerfassung auf kleinere Einheiten beschränkt wird. Es kann somit als Regel aufgestellt werden, dass Betriebspersonal nur Zugriffsrechte auf Verkehrsdaten solcher Teilnetze (VLANs) erhält, für die sie unmittelbar zuständig sind. Lediglich die im einzelnen benannten Netzverantwortlichen erhalten im Rahmen ihrer Zuständigkeiten Zugriffsrechte auf Verkehrsdaten anderer Netzbereiche. | ||