Security Policy - Ein einfaches Beispiel, Teil 3
In dieser Folge geht es mit der Entwicklung der Sicherheitsrichtline (Security Policy) für das Beispielunternehmen "Bratkartoffel KG" weiter.
Die technischen Schutzmaßnahmen für Web-, Application- und Datenbankserver haben wir bereits festgelegt, ebenso die dazu gehörenden organisatorischen Schutzmaßnahmen sowie der Schutz der internen Server. Jetzt ist der Schutz des restlichen Netzes an der Reihe.
Der Rest vom Netz
Für die Risikoanalyse wird das restliche lokale Netz in Gruppen mit gleicher Bedeutung für das Unternehmen und damit gleichem Schutzbedarf aufgeteilt. Die Teile entsprechen in diesem Fall den verschiedenen Teilnetzen. Nach dieser Aufteilung sind für die einzelnen Teile die Risiken und mögliche Schutzmaßnahmen zu ermitteln. Dies erfolgt analog zur Entwicklung der Sicherheitsrichtlinie für Web-, Application- und Datenbankserver oder internem Server.
Zusätzlich muss das gesamte Netz betrachtet werden, da einige der Teilnetze miteinander kommunizieren müssen, um das Unternehmensziel zu erreichen. Diese notwendige Kommunikation muss ebenfalls sichergestellt werden. Es wäre sehr ungünstig, wenn zwar alle Teile separat wunderbar funktionieren, eine Zusammenarbeit aber aufgrund eines gestörten Netzwerks nicht möglich ist. Dafür kann man wieder einmal die Frage "Wer darf was wo?" stellen: Welche Verbindungen sind notwendig? Und was passiert, wenn die entsprechende Kommunikation fehlschlägt?
Zwei Beispiele:
- Die EDV-Abteilung soll zur Fernwartung auf alle Teilnetze zugreifen. Funktioniert dies nicht, müssen sich die Mitarbeiter zu Fuß auf den Weg machen. Das ist zwar lästig, beeinträchtigt aber das Erreichen des Unternehmensziels nicht.
- Die Maschinen in der Produktion erhalten ihre Steuerdaten vom zentralen Server und fordern benötigte Rohstoffe zum Teil automatisch aus den Lagern an. Kommt es hier zu Störungen, ist eine reibungslose Produktion gefährdet. Eine manuelle Umprogrammierung der Maschinen ist aufwändig und störanfällig, teilweise ist sie vielleicht sogar unmöglich. Daher ist eine ungestörte Kommunikation unerlässlich, entsprechend müssen Risiken möglichst ausgeschlossen werden.
Da eine ständige Verbindung der Teilnetze untereinander notwendig ist, betrifft ein möglicher Angriff u.U. alle Systeme. Entsprechend müssen Schutzmaßnahmen ergriffen werden, um die Auswirkungen eines Angriffs oder einer Störung zu begrenzen.
Die Risikoanalyse
Bevor Schutzmaßnahmen ausgewählt werden können, sind mögliche Risiken zu ermitteln. Ein externer Angreifer sollte schon von Firewall und IPS gestoppt worden sein, so dass nur noch Angriffe von innen betrachtet werden müssen. Sollte ein externer Angreifer einen Weg durch Firewall und IPS finden und die Kontrolle über einen Rechner im lokalen Netz übernehmen, kann er danach wie ein interner Angreifer betrachtet werden.
Interne Angreifer verraten sich z.B. durch anomales Verhalten: Sie versuchen z.B., unbefugt auf Daten und Geräte zuzugreifen oder führen andere Aktionen durch, die im normalen Betrieb nicht vorkommen. Um solche Aktionen zu erkennen bietet sich der Einsatz eines Intrusion-Detection- oder -Prevention-Systems an, das mit einer Anomalie-Erkennung arbeitet.
Das kann auch Schadprogramme erkennen, da diese ebenfalls ein ungewöhnliches Verhalten zeigen. Egal ob es sich um einen absichtlich eingeschleusten, speziell für den Angriff auf das Unternehmen entwickelten Trojaner oder einen unabsichtlich eingeschleppten "Standard"wurm oder -virus handelt, alle verraten sich früher oder später durch ein ungewöhnliches Verhalten.
Schleppt z.B. ein Mitarbeiter unwissentlich über ein mobiles Gerät einen Wurm ein, könnte der sich ohne Schutzmaßnahmen im gesamten lokalen Netz ausbreiten. Ein IPS vor bzw. in allen Teilnetzen kann diese Ausbreitung verhindern oder verlangsamen und einen Alarm auslösen.
Abb. 1: Netzwerk der Bratkartoffel KG mit IPS vor den Teilnetzen (Klick für großes Bild in neuem Tab/Fenster)
Zusätzlich zu den IPS können die einzelnen Teilnetze je nach Schutzbedarf durch Firewallkomponenten, weitere IPS und IDS, Virenfilter usw. geschützt werden.
Neben diesen, direkt das Netzwerk betreffenden, Maßnahmen sind weitere Punkte zu beachten.
Zum Beispiel die bereits erwähnten mobilen Geräte, insbesondere Massenspeicher: Ihr Einsatz kann sowohl organisatorisch als auch technisch verhindert werden. Während eine Betriebsvereinbarung den Einsatz betriebsfremder Massenspeicher verbietet und bei einem Verstoß dagegen der entsprechende Mitarbeiter abgemahnt oder sogar entlassen werden kann, ermöglichen Schutzprogramme die technische Durchsetzung dieses Verbots.
Solche Programme erlauben eine sehr feine Einteilung in erlaubte und verbotene Geräte bis hin zur Zulassung eines einzelnen, spezifischen USB-Sticks bei gleichzeitigem Verbot aller anderen.
Ein weiterer Punkt ist der Datenaustausch mit der Versuchsküche. Um die Daten sicher zu transportieren stehen verschiedene Möglichkeiten zur Verfügung. Vom USB-Stick, den ein Mitarbeiter in die Zentrale bringt, über einen Versand als verschlüsselte E-Mail bis zur Übertragung über eine gesicherte Verbindung über das Internet. Dafür können z.B. die Secure Shell (kurz SSH) oder ein Virtual Private Network (VPN, Virtuelles Privates Netz) verwendet werden.
Hiermit ist das Beispiel für die Entwicklung einer einfachen Sicherheitsrichtlinie abgeschlossen. Um was es in der nächsten Folge geht habe ich noch nicht endgültig entschieden.
Trackbacks