Bundesamt für Sicherheit in der Informationstechnik

B 4.2 Netz- und Systemmanagement

Logo Netz- und Systemmanagement

Beschreibung

Ein Managementtool für ein im Allgemeinen lokales Rechnernetz ( LAN ) dient dazu, möglichst alle im lokale Netz angesiedelten Netz-Komponenten zentral zu verwalten. Außerdem gibt ein solches System Auskunft über den aktuellen Status des Netzes und der darin enthaltenen Komponenten. Auf diese Weise kann ein Netzmanagementtool helfen, Sicherheit im Netz zu etablieren. Grundsätzlich kann zwischen Netzmanagement und Systemmanagement unterschieden werden. Die Unterschiede ergeben sich durch die jeweils verwalteten Komponenten.

Das Netzmanagement umfasst die Gesamtheit der Vorkehrungen und Aktivitäten, um sicherzustellen, dass ein Netz effektiv eingesetzt wird. Hierzu gehört beispielsweise die Überwachung der Netzkomponenten auf ihre korrekte Funktion, das Monitoring der Netzperformance und die zentrale Konfiguration der Netzkomponenten. Netzmanagement ist in erster Linie eine organisatorische Problemstellung, deren Lösung lediglich mit technischen Mitteln unterstützt werden kann.

Systemmanagement befasst sich in erster Linie mit dem Management verteilter IT -Systeme. Hierzu gehört beispielsweise eine zentrale Verwaltung der Benutzer, Softwareverteilung, Management der Anwendungen usw. In einigen Bereichen, wie z. B. dem Konfigurationsmanagement (dem Überwachen und Konsolidieren von Konfigurationen eines Systems oder einer Netzkomponente), sind Netz- und Systemmanagement nicht klar zu trennen.

Im Folgenden wird das (Software-) Tool, das zum Verwalten eines Netzes und dessen Komponenten dient, immer als "Managementsystem" bezeichnet, die damit verwalteten Komponenten werden als "verwaltetes System" bezeichnet. Im Englischen werden hier die Begriffe "management system" und "managed system" verwendet, dies gilt insbesondere für den Bereich Netzmanagement.

Prinzipiell ist die Architektur von Managementsoftware zentralistisch aufgebaut: Es gibt eine zentrale Managementstation oder -konsole, von der aus die Systemadministratoren das ihnen anvertraute Netz mit den darin befindlichen Hard- und Software-Komponenten verwalten können. Insbesondere die Systeme zum Netzmanagement bauen darauf auf.

Einem Netzmanagement-System liegt in der Regel ein Modell zugrunde, das zwischen "Manager", "Agent" (auch "Managementagent") und "verwalteten Objekten" (auch "managed objects") unterscheidet. Die weiteren Bestandteile sind das zur Kommunikation verwendete Protokoll zwischen Manager und den Agenten, sowie eine Informationsdatenbank, die so genannte "MIB" (Management Information Base). Die MIB muss sowohl dem Manager als auch jedem Managementagenten zur Verfügung stehen. Konzeptionell werden Managementagenten und deren MIB als Teil des verwalteten Systems angesehen.

Ein Agent ist für ein oder mehrere zu verwaltende Objekte zuständig. Es ist möglich, die Agenten hierarchisch zu organisieren: Ein Agent ist dann für die ihm zugeordneten Unteragenten zuständig. Am Ende einer jeden auf diese Art entstehenden Befehlskette steht immer ein zu verwaltendes Objekt. Ein zu verwaltendes Objekt ist entweder ein physisch vorhandenes Objekt (Gerät), wie ein Rechner, ein Drucker oder ein Router, oder ein Softwareobjekt, wie z. B. ein Hintergrundprozess zur Verwaltung von Druckaufträgen. Bei Geräten, die über ein Managementsystem verwaltet werden können, ist der Managementagent in der Regel schon vom Hersteller in das Gerät "fest" eingebaut. Versteht dieser das vom Manager verwendete Kommunikationsprotokoll nicht, ist z. B. ein Software-Managementagent nötig, der die Protokollumsetzung beherrscht. In ähnlicher Weise können Software-Komponenten den Managementagenten schon enthalten, oder es wird ein spezieller Managementagent benötigt, der für die Verwaltung dieser Software-Komponente konzipiert ist.

Um die einzelnen Komponenten des zu verwaltenden Systems anzusprechen, tauschen der Manager und die jeweiligen Agenten Informationen aus. Die Art des zur Kommunikation verwendeten Protokolls bestimmt maßgeblich die Mächtigkeit und insbesondere die Sicherheit des Managementsystems.

Prinzipiell können Managementsysteme bezüglich des verwendeten Kommunikationsprotokolls in drei Kategorien unterteilt werden (siehe auch M 2.144 Verwendung von SNMP als Netzmanagement-Protokoll ):

  • Es wird SNMP (Simple Network Management Protocol) benutzt, das weit verbreitete Standardprotokoll des TCP / IP -basierten Systemmanagements.
  • Es wird CMIP (Common Management Information Protocol) benutzt. CMIP wird hauptsächlich zum Management von Telekommunikationsnetzen eingesetzt und hat in der TCP / IP -basierten Kommunikation keine Bedeutung.
  • Es wird ein herstellerspezifisches Protokoll benutzt. Es existiert meist die Möglichkeit, so genannte Adapter zum Einbinden der Standardprotokolle zu verwenden, wobei in der Regel lediglich eine SNMP -Anbindung existiert.

Systemmanagementsysteme sind zwar in der Regel auch zentralistisch ausgelegt, um das Verwalten des Systems von einer Managementstation aus zu erlauben, die konkrete Architektur hängt jedoch davon ab, wie groß die Systeme, die verwaltet werden können, sein dürfen und welcher Funktionsumfang angeboten wird. Hier reicht die Palette von einfachen Sammlungen von Management-Tools, die ohne Integration nebeneinander in kleinen Netzen eingesetzt werden, bis hin zu Managementplattformen, die ein weltumspannendes Firmennetz mit mehreren tausend Rechnern verwalten können.

Bestimmte Managementplattformen benutzen proprietäre Protokolle zur Kommunikation zwischen den Komponenten. Diese Systeme weisen in der Regel ein wesentlich höheres Leistungsspektrum auf und dienen nicht nur dem Netz- und Systemmanagement, sondern bieten unternehmens- bzw. behördenweites Ressourcenmanagement an.

Gefährdungslage

Für den IT -Grundschutz eines Managementsystems werden die folgenden typischen Gefährdungen angenommen:

Höhere Gewalt

G 1.1Personalausfall
G 1.2Ausfall von IT-Systemen

Organisatorische Mängel

G 2.27Fehlende oder unzureichende Dokumentation
G 2.59Betreiben von nicht angemeldeten Komponenten
G 2.60Fehlende oder unzureichende Strategie für das Netz- und Systemmanagement
G 2.61Unberechtigte Sammlung personenbezogener Daten

Menschliche Fehlhandlungen

G 3.9Fehlerhafte Administration von IT-Systemen
G 3.28Ungeeignete Konfiguration der aktiven Netzkomponenten
G 3.34Ungeeignete Konfiguration des Managementsystems
G 3.35Server im laufenden Betrieb ausschalten
G 3.36Fehlinterpretation von Ereignissen

Technisches Versagen

G 4.31Ausfall oder Störung von Netzkomponenten
G 4.38Ausfall von Komponenten eines Netz- und Systemmanagementsystems

Vorsätzliche Handlungen

G 5.2Manipulation an Informationen oder Software
G 5.9Unberechtigte IT-Nutzung
G 5.18Systematisches Ausprobieren von Passwörtern
G 5.28Verhinderung von Diensten
G 5.66Unberechtigter Anschluss von IT-Systemen an ein Netz
G 5.67Unberechtigte Ausführung von Netzmanagement-Funktionen
G 5.86Manipulation von Managementparametern

Maßnahmenempfehlungen

Um den betrachteten Informationsverbund abzusichern, müssen zusätzlich zu diesem Baustein noch weitere Bausteine umgesetzt werden, gemäß den Ergebnissen der Modellierung nach IT -Grundschutz. Hierzu zählen zwingend die Bausteine B 4.1 Lokale Netze , B 2.12 IT-Verkabelung und B 3.302 Router und Switches .

Das zu verwaltende System besteht aus einzelnen Clients, Servern, aktiven Netzkomponenten (Netzkoppelelementen) und passiven Netzkomponenten (Verkabelung und Patchfelder). Jede dieser Komponenten ist ein potentielles Sicherheitsrisiko für das gesamte Netz. Diese Risiken können im Allgemeinen nicht alleine durch die Einführung von Managementsoftware vollständig beseitigt werden. Dies gilt schon deshalb, weil in der Regel nicht alle Systeme in gleichem Maße durch ein Managementsystem erfasst werden. Als Grundvoraussetzung für die Systemsicherheit muss eine institutionsweiten Sicherheitsrichtlinie festgelegt werden, die sich im betrachteten Fall insbesondere in der sicheren Konfiguration von Hard- und Software niederschlagen muss. Aus diesem Grund sollten neben den oben erwähnten Bausteinen insbesondere auch die Bausteine der Schicht 3 betrachtet werden.

Da Netz- und Systemmanagementsysteme von einem zentralistischen Ansatz ausgehen, kommt der zentralen Managementstation unter Sicherheitsgesichtspunkten eine besondere Bedeutung zu. Diese ist daher besonders zu schützen. Zentrale Komponenten eines Netz- und Systemmanagementsystems sollten daher in Räumen aufgestellt werden, die den Anforderungen an einen Serverraum (vergleiche Baustein B 2.4 Serverraum ) entsprechen. Wenn kein Serverraum zur Verfügung steht, können sie alternativ in einem Serverschrank aufgestellt werden (vergleiche Baustein B 2.7 Schutzschränke ).

Für den erfolgreichen Aufbau eines Netz- und Systemmanagementsystems sind eine Reihe von Maßnahmen umzusetzen, beginnend mit der Konzeption über die Beschaffung bis zum Betrieb.Die Schritte, die dabei durchlaufen werden sollten, sowie die Maßnahmen, die in den jeweiligen Schritten beachtet werden sollten, sind im Folgenden aufgeführt.

Planung und Konzeption

Grundlegend für die Einführung eines Managementsystems ist die Erstellung eines Konzepts für das Netzmanagement (siehe M 2.143 Entwicklung eines Netzmanagement-Konzeptes ) und einer Strategie für das Systemmanagement (siehe M 2.169 Entwickeln einer Systemmanagementstrategie ). Konzept und Strategie müssen sich an der Größe und Struktur des zu verwaltenden Netzes orientieren und zukünftige Entwicklungen des Netzes berücksichtigen.

Eng mit der Entscheidung für ein Netzmanagement-Tool verknüpft ist die Wahl eines Netzmanagement-Protokolls (M 2.144 Verwendung von SNMP als Netzmanagement-Protokoll ). Die Auswahl eines Systemmanagement-Tools wird von der Analyse der im Netz enthaltenen IT beeinflusst (M 2.168 IT-System-Analyse vor Einführung eines Systemmanagement-Systems ).

Es muss verhindert werden, dass Managementinformationen, die zwischen der zentralen Komponente des Managementsystems und den zu verwaltenden IT -Systemen übertragen werden, abgehört bzw. manipuliert werden können (siehe M 2.144 Verwendung von SNMP als Netzmanagement-Protokoll sowie M 2.581 Aufbau eines Administrationsnetzes für das Netzmanagement ).

Schon in der Planungsphase sollten Protokollierung inklusive Auswertung der gesammelten Protokollinformationen vorbereitet werden (siehe M 2.499 Planung der Protokollierung ). Neben deren Absicherung ist hierfür eine einheitliche Systemzeit für alle Komponenten, die protokolliert werden, wesentlich, da sonst eine Auswertung der Protokolldaten erschwert wird (siehe M 4.227 Einsatz eines lokalen NTP-Servers zur Zeitsynchronisation Einsatz eines lokalen NTP-Servers zu Zeitsynchronisation ).

Aufgrund der Komplexität des Netz- und Systemmanagements sowie der hohen Anforderungen an die Verfügbarkeit des Netzes ist darauf zu achten, dass die Administratoren ausreichen geschult sind (siehe M 3.11 Schulung des Wartungs- und Administrationspersonals ).

Beschaffung

Neben dem Management-Konzept und der Auswahl des Netzmanagement-Protokolls gibt es noch weitere Aspekte, die bei der Wahl eines Management-Tools berücksichtigt werden müssen (siehe M 2.145 Anforderungen an ein Netzmanagement-Tool , M 2.170 Anforderungen an ein Systemmanagement-System , M 2.583 Geeignete Auswahl eines Netzmanagement-Systems und M 2.171 Geeignete Auswahl eines Systemmanagement-Produktes ).

Umsetzung

Beim Aufbau einer neuen Systemlandschaft muss auch ein Management-Tool installiert werden (siehe M 4.497 Sichere Installation eines Netzmanagement-Systems und M 4.91 Sichere Installation eines Systemmanagementsystems ).

In den meisten Fällen dürfte hingegen ein bereits existierendes Netz mit vorhandenen Systemen und ein entsprechendes Netz- und Systemmanagement vorhanden sein. Ein Missbrauch des Management-Tools kann zu Angriffen auf das gemanagte Netz bzw. die darin enhaltenen Systeme führen. Das Management-Tool muss daher gegen unerlaubte lokale Zugriffe sowie Fernzugriffe geschützt werden (siehe M 4.79 Sichere Zugriffsmechanismen bei lokaler Administration und M 4.80 Sichere Zugriffsmechanismen bei Fernadministration ).

Betrieb

Für den sicheren Betrieb des Netz- und Systemmanagement-Systems sind einige Grundregeln zu beachten (siehe M 2.146 Sicherer Betrieb eines Netzmanagement-Systems und M 4.92 Sicherer Betrieb eines Systemmanagementsystems ).

Ein besonderer Schwerpunkt liegt außerdem auf der Behandlung von Warn- und Fehlermeldungen (siehe M 2.498 Behandlung von Warn- und Fehlermeldungen ) und der Protokollierung der Netzaktivitäten (siehe M 4.81 Audit und Protokollierung der Aktivitäten im Netz ).

Notfallvorsorge

Durch die Wichtigkeit der Netze und Systeme für IT -gestützte Prozesse müssen auch für das Netz- und Systemmanagement Notfallpläne für den Fall eines Ausfalls vorgehalten werden (siehe M 6.57 Erstellen eines Notfallplans für den Ausfall des Managementsystems ). Das Netz und die angeschlossenen Systeme arbeiten zwar auch weiter, falls das Management-System nicht zur Verfügung steht, gerade für den sicheren Betrieb eines Netzes ist aber das Netzmanagement-System essentiell.

Um im Falle eines Ausfall des Netzes schnell reagieren zu können, ist es zwingend erforderlich, die wesentlichen Konfigurationen der Netzelemente gesichert wieder einspielenen zu können (siehe M 6.52 Regelmäßige Sicherung der Konfigurationsdaten aktiver Netzkomponenten ).

Nachfolgend wird das Maßnahmenbündel für den Baustein Netz- und Systemmanagement vorgestellt.

Planung und Konzeption

M 2.143(A)Entwicklung eines Netzmanagement-Konzeptes
M 2.144(A)Verwendung von SNMP als Netzmanagement-Protokoll
M 2.168(A)IT-System-Analyse vor Einführung eines Systemmanagement-Systems
M 2.169(A)Entwickeln einer Systemmanagementstrategie
M 2.581(B)Aufbau eines Administrationsnetzes für das Netzmanagement
M 2.582(W)Möglichkeiten zur Einrichtung eines Managementnetzes
M 4.277(C)Absicherung der SMB-, LDAP- und RPC-Kommunikation unter Windows Servern

Beschaffung

M 2.145(B)Anforderungen an ein Netzmanagement-Tool
M 2.170(A)Anforderungen an ein Systemmanagement-System
M 2.171(A)Geeignete Auswahl eines Systemmanagement-Produktes
M 2.583(C)Geeignete Auswahl eines Netzmanagement-Systems

Umsetzung

M 2.498(C)Behandlung von Warn-, und Fehlermeldungen
M 4.91(A)Sichere Installation eines Systemmanagementsystems
M 4.497(A)Sichere Installation eines Netzmanagement-Systems

Betrieb

M 2.146(A)Sicherer Betrieb eines Netzmanagement-Systems
M 3.11(A)Schulung des Wartungs- und Administrationspersonals
M 4.81(B)Audit und Protokollierung der Aktivitäten im Netz
M 4.92(A)Sicherer Betrieb eines Systemmanagementsystems

Aussonderung

M 2.584(A)Geregelte Außerbetriebnahme eines Netz- und Systemmanagement-Tools

Notfallvorsorge

M 6.52(A)Regelmäßige Sicherung der Konfigurationsdaten aktiver Netzkomponenten
M 6.57(C)Erstellen eines Notfallplans für den Ausfall des Managementsystems

Stand: 15. EL Stand 2016