Infrastruktur und Netzwerksicherheit Martin Seeger NetUSE AG 1. Februar 2002

Copyright ©2002 by NetUSE AG2 Infrastruktur und Netzwerksicherheit Wenn Du den Feind und Dich selbst kennst, dann brauchst du den Ausgang von hundert Schlachten nicht zu fürchten. - Sunzi, Die Kunst des Krieges (ca. 500 v. Chr.)

Copyright ©2002 by NetUSE AG3 Infrastruktur und Netzwerksicherheit Agenda –Der Netzplan, das unbekannte Wesen –Strukturierung von Netzen –Verschlüsselung –Verwaltung und Ausbildung der Benutzer –Konsolidierung von Monitoring und Protokollierung

Copyright ©2002 by NetUSE AG4 Infrastruktur und Netzwerksicherheit Der Netzplan, das unbekannte Wesen –Typischer Netzplan in einem mittelständischen Unternehmen:

Copyright ©2002 by NetUSE AG5 Infrastruktur und Netzwerksicherheit Der Netzplan, das unbekannte Wesen –Anderer typischer Netzplan in einem mittelständischen Unternehmen: LAN Server PC Server PC Notebook Modem Router Stand:

Copyright ©2002 by NetUSE AG6 Infrastruktur und Netzwerksicherheit Der Netzplan, das unbekannte Wesen –Merkmale eines guten Netzplans IP-Adressen Enthält auch passive Komponenten (Switche) Enthält Typ der Systeme (OS, Hardware) Gibt Hinweise, wo die Systeme zu finden sind... und ist aktuell

Copyright ©2002 by NetUSE AG7 Infrastruktur und Netzwerksicherheit Strukturierung von Netzen –Zuordnung von Netzbereichen zu Standorten –Unterscheidung nach Zugangsklassen Technik, Office, etc. Notebooks (Mobile Benutzer, externe Consultants) Server, Infrastrukturkomponenten Unterschiedliche Klassen sollten getrennte Adreßbereiche verwenden –Bündelung von externen Verbindungen an einer Stelle Keine Modems/ISDN-Karten am Arbeitsplatz Statt Festverbindungen zu Partnern: VPN

Copyright ©2002 by NetUSE AG8 Infrastruktur und Netzwerksicherheit Strukturierung von Netzen –Choke Points Datenverkehr zwischen unterschiedlichen Netzen findet über wohldefinierte, zentrale Schnittstellen statt (Router, Firewalls) Auch ohne die Implementierung von Filtern machen Choke Points Sinn –Fehlersuche wird einfacher (snoop, tcpdump) –Im Notfall kann man „den Stecker ziehen“ –Einführung Filtern ist später mit weniger Schmerzen möglich –Hochverfügbarkeit ist leichter zu realisieren

Copyright ©2002 by NetUSE AG9 Infrastruktur und Netzwerksicherheit Verschlüsselung –Zunehmende Verbreitung von Hilfsmitteln zur Fernwartung setzen Verschlüsselung zwingend voraus Statt TELNET: SSH Statt FTP: SCP... unverschlüsselte Zugänge sind abzuschalten –Für fast jedes Betriebssystem gibt es hier freie Software –Kommerzielle Tools (Citrix, PCAnyWhere, RDP) bieten auch die Möglichkeit zur Verschlüsselung –Verschlüsselung ist kein Zeichen von Mißtrauen!

Copyright ©2002 by NetUSE AG10 Infrastruktur und Netzwerksicherheit Verwaltung und Ausbildung von Benutzern –In gewisser Weise sind Benutzer Teile der Infrastruktur –Für eine Sicherheitsplanung ist es unumgänglich, die Benutzer identifizieren zu können und daß sich Benutzer authentisieren können –Anmeldung der Benutzer ist möglich über folgende Authentisierungsmethoden Was man weiß: z.B. Paßwörter Was man hat: z.B. Token-Karten Was man ist: z.B. Fingerabdruck –Einfache Authentisierung: eine der drei Methoden –Starke Authentisierung: mind. zwei der drei Methoden –Notwendig: Einheitliche Schnittstelle zu den Daten

Copyright ©2002 by NetUSE AG11 Infrastruktur und Netzwerksicherheit Verwaltung und Ausbildung von Benutzern –Ein Benutzer der die Systeme nur unzureichend kennt ist ein Sicherheitsrisiko –In einen Großunternehmen reicht es, wenn weniger als 0.1% der Benutzer einen -Virus (z.B. I Love You) aktiviert, um das Mailsystem für Stunden auszuschalten –Eine grundsätzliche Ausbildung von Benutzern im Umgang mit der Infrastruktur ist zur Sicherung eines Netzes notwendig –Inakzeptabel: Den Benutzern kann es nicht zugemutet werden, sich jedes Mal anzumelden

Copyright ©2002 by NetUSE AG12 Infrastruktur und Netzwerksicherheit Konsolidierung von Monitoring und Protokollierung –Es muß sichergestellt sein, daß der Ausfall von Komponenten (insbesondere redundanter Komponenten) bemerkt wird –Für alle zentralen Systeme (Router, Switche, Server) sollten bestimmte Rahmenparameter (Systemlast, Plattenplatz, etc.) überwacht werden bzw. zumindest die Überschreitung vorher festgelegter Grenzen eine Alarmierung auslösen –99.999% aller Logfiles werden nicht gelesen –Eine zentrale Stelle, an der alle Meldungen zusammenlaufen, macht das Lesen erst möglich