Bundesamt für Sicherheit in der Informationstechnik

B 5.15 Allgemeiner Verzeichnisdienst

Logo Allgemeiner Verzeichnisdienst

Beschreibung

Ein Verzeichnisdienst stellt in einem Computernetz Informationen über beliebige Objekte in einer definierten Art zur Verfügung. Mit einem Objekt können zugehörige Attribute gespeichert werden, zum Beispiel zu einer Benutzerkennung Namen und Vornamen des Benutzers, die Personalnummer und der Rechnername. Diese Daten können dann gleichermaßen von verschiedenen Applikationen verwendet werden. Der Verzeichnisdienst und seine Daten werden aber nur einmal von zentraler Stelle aus verwaltet.

Einige typische Anwendungsgebiete von Verzeichnisdiensten sind:

  • Verwaltung von Adressbüchern, z. B. für Telefonnummern, E-Mail-Adressen, Zertifikate für elektronische Signaturen
  • Ressourcen-Verwaltung, z. B. für Computer, Drucker, Scanner und andere Peripherie-Geräte
  • Benutzer-Verwaltung, z. B. zur Verwaltung von Benutzerkonten und Benutzerberechtigungen
  • Authentisierung, z. B. zur Anmeldung an Betriebssystemen oder Anwendungen

Verzeichnisdienste sind auf Lesezugriffe hin optimiert, da Daten aus dem Verzeichnisdienst typischerweise abgerufen werden, während Schreibzugriffe, wie das Erstellen, Ändern oder Löschen von Einträgen, seltener notwendig sind.

Die Daten in einem Verzeichnisdienst sind in der Regel objektbasiert in einer Baumstruktur logisch angeordnet. Die Struktur kann politische, geografische oder organisatorische Verhältnisse der Daten im Verzeichnis abbilden. Die Objekte werden in, gegebenenfalls verteilten, Verzeichnissen und Datenbanken hierarchisch gespeichert. Ausgehend von einem Wurzelobjekt (Root) verzweigen die Objekte in Eltern-Kind-Beziehungen bis hin zu den Blättern. Während Objekte, die selbst Objekte enthalten, als Containerobjekte bezeichnet werden, werden die Objekte am Ende des Baumes Blattobjekte genannt.

Software für Verzeichnisdienste wird von vielen Herstellern angeboten. Beispiele hierfür sind Active Directory von Microsoft (siehe B 5.16 Active Directory ) und Novell eDirectory (siehe B 5.9 Novell eDirectory ). Andere Verzeichnisdienste basieren auf dem frei verfügbaren OpenLDAP (sie B 5.20 OpenLDAP ), das in vielen Unix-basierten Systemen Verwendung findet, aber beispielsweise auch von Mac OS X genutzt wird.

Dieser Baustein betrachtet allgemeine Sicherheitsaspekte von Verzeichnisdiensten unabhängig vom eingesetzten Produkt. Für produktspezifische Sicherheitsaspekte existieren in den IT-Grundschutz-Katalogen weitere Bausteine, die zusätzlich auf den jeweiligen Verzeichnisdienst anzuwenden sind.

Gefährdungslage

Verzeichnisdienste sind einer Reihe von direkten Gefährdungen ausgesetzt. Hinzu kommen indirekte Gefährdungen, die in Zusammenhang mit dem darunter liegenden Betriebssystem stehen.

Für den IT-Grundschutz von Verzeichnisdiensten werden die folgenden Gefährdungen angenommen:

Höhere Gewalt

G 1.2 Ausfall von IT-Systemen

Organisatorische Mängel

G 2.1 Fehlende oder unzureichende Regelungen
G 2.2 Unzureichende Kenntnis über Regelungen
G 2.7 Unerlaubte Ausübung von Rechten
G 2.123 Fehlende oder unzureichende Planung des Einsatzes von Verzeichnisdiensten
G 2.124 Fehlerhafte oder unzureichende Planung der Partitionierung und Replizierung im Verzeichnisdienst
G 2.125 Fehlerhafte oder unzureichende Planung des Zugriffs auf den Verzeichnisdienst

Menschliche Fehlhandlungen

G 3.9 Fehlerhafte Administration von IT-Systemen
G 3.13 Weitergabe falscher oder interner Informationen
G 3.16 Fehlerhafte Administration von Zugangs- und Zugriffsrechten
G 3.43 Ungeeigneter Umgang mit Passwörtern oder anderen Authentikationsmechanismen
G 3.87 Fehlerhafte Konfiguration von Verzeichnisdiensten
G 3.88 Falsche Vergabe von Zugriffsrechten
G 3.89 Fehlerhafte Konfiguration des LDAP-Zugriffs auf Verzeichnisdienste

Technisches Versagen

G 4.10 Komplexität der Zugangsmöglichkeiten zu vernetzten IT-Systemen
G 4.13 Verlust gespeicherter Daten
G 4.33 Schlechte oder fehlende Authentikationsverfahren und -mechanismen
G 4.67 Ausfall von Verzeichnisdiensten

Vorsätzliche Handlungen

G 5.16 Gefährdung bei Wartungs-/Administrierungsarbeiten
G 5.18 Systematisches Ausprobieren von Passwörtern
G 5.19 Missbrauch von Benutzerrechten
G 5.20 Missbrauch von Administratorrechten
G 5.65 Verhinderung der Dienste eines Datenbanksystems
G 5.71 Vertraulichkeitsverlust schützenswerter Informationen
G 5.78 DNS-Spoofing
G 5.85 Integritätsverlust schützenswerter Informationen
G 5.144 Kompromittierung von Verzeichnisdiensten durch unbefugten Zugriff

Maßnahmenempfehlungen

Um den betrachteten Informationsverbund abzusichern, müssen zusätzlich zu diesem Baustein noch weitere Bausteine umgesetzt werden, gemäß den Ergebnissen der Modellierung nach IT-Grundschutz.

Verzeichnisdienste können sowohl bereits in ein Betriebssystem integriert sein, wie Active Directory in Windows Server ab Windows 2000, als auch in eigenständigen Software-Komponenten, wie dem quelloffenen OpenLDAP angeboten werden. Entsprechend muss für die Sicherheit der in einem Verzeichnis gespeicherten Daten stets auch die Sicherheit des zugrunde liegenden Betriebssystems mit berücksichtigt werden. Letzteres ist jedoch nicht Bestandteil dieses Bausteins. Es wird deshalb auf die entsprechenden Beschreibungen zum sicheren Betrieb des genutzten Betriebssystems in den Bausteinen der Schicht 3 verwiesen.

Ebenso wird beim Einsatz eines Verzeichnisdienstes auch die Behandlung der übergreifenden Aspekte vorausgesetzt, die in den relevanten Bausteinen der Schicht 1 zu finden sind. Die Sicherheitsanforderungen des Verzeichnisdienstes sollten daher bei der Erstellung von übergreifenden Konzepten (siehe beispielsweise B 1.6 Schutz vor Schadprogrammen ) mit einbezogen werden.

Im Rahmen der sicheren Implementierung eines Verzeichnisdienstes ist eine Reihe von Maßnahmen umzusetzen, beginnend mit der Konzeption über die Beschaffung bis zum Betrieb. Die Schritte, die dabei zu durchlaufen sind, sowie die Maßnahmen, die in den jeweiligen Schritten beachtet werden sollten, sind im Folgenden aufgeführt.

Planung und Konzeption

Als Einstieg empfiehlt es sich zunächst die Maßnahme M 3.61 Einführung in Verzeichnisdienst-Grundlagen zu betrachten, die einen Überblick über den Aufbau und die Begrifflichkeiten eines Verzeichnisdienstes beinhaltet.

Um eine Entscheidung zu treffen, welche Art von Verzeichnisdienst in der Institution eingesetzt werden kann, ist zunächst eine Anforderungsanalyse vorzunehmen. Auf dieser Grundlage muss anschließend der Einsatz des Verzeichnisdienstes geplant werden (siehe Maßnahmen M 2.403 Planung des Einsatzes von Verzeichnisdiensten und M 2.409 Planung der Partitionierung und Replikation im Verzeichnisdienst ). Dabei ist die Verteilung der administrativen Aufgaben von wesentlicher Bedeutung (siehe Maßnahme M 2.407 Planung der Administration von Verzeichnisdiensten ).

In diesem Zusammenhang ist eine Sicherheitskonzeption und eine -richtlinie zu erarbeiten (siehe M 2.404 Erstellung eines Sicherheitskonzeptes für Verzeichnisdienste und M 2.405 Erstellung einer Sicherheitsrichtlinie für den Einsatz von Verzeichnisdiensten ,). Diese müssen sich in den Kontext bereits bestehender Sicherheitskonzepte und -richtlinien eingliedern und gleichzeitig spezifische Ergänzungen für Verzeichnisdienste definieren.

Wenn aufgrund von Umstrukturierungen oder Aktualisierungen im Informationsverbund ein Verzeichnisdienst zu migrieren ist, sind ebenfalls umfangreiche planerische und konzeptionelle Arbeiten erforderlich (siehe Maßnahme M 2.408 Planung der Migration von Verzeichnisdiensten ).

Beschaffung

Nach der Entscheidung einen Verzeichnisdienst einzusetzen, muss die dafür notwendige Software und eventuell zusätzlich benötigte Hardware beschafft werden. Da ein Verzeichnisdienst verschiedene Einsatzmöglichkeiten zulässt, hängt die Auswahl und Beschaffung (siehe Maßnahme M 2.406 Geeignete Auswahl von Komponenten für Verzeichnisdienste ) von den geplanten Einsatzszenarien ab.

Umsetzung

Nachdem die organisatorischen und planerischen Vorbereitungen durchgeführt wurden und die Entscheidung über die Beschaffung des Verzeichnisdienstes getroffen ist, kann der Verzeichnisdienst installiert werden. Folgende Maßnahmen sind dabei zu ergreifen:

Die Installation dient dem erstmaligen Aufbau eines Verzeichnisdienstes (siehe M 4.308 Sichere Installation von Verzeichnisdiensten ) und gilt erst dann als abgeschlossen, wenn der Verzeichnisdienst in einen sicheren Zustand überführt wurde. So ist sichergestellt, dass in der anschließenden Konfigurationsphase nur berechtigte Administratoren auf den Verzeichnisdienst zugreifen können.

Nach der Installation erfolgt eine erstmalige Konfiguration des Verzeichnisdienstes (siehe Maßnahmen M 4.307 Sichere Konfiguration von Verzeichnisdiensten , M 4.309 Einrichtung von Zugriffsberechtigungen auf Verzeichnisdienste und M 4.310 Einrichtung des LDAP-Zugriffs auf Verzeichnisdienste ).

Die Benutzer und Administratoren des Verzeichnisdienstes sind ausreichend zu schulen, um Sicherheitsvorfälle zu minimieren und auf mögliche Gefahren bei einer unsachgemäßen Verwendung des Verzeichnisdienstes hinzuweisen und zu sensibilisieren (siehe Maßnahmen M 3.62 Schulung zur Administration von Verzeichnisdiensten und M 3.63 Schulung der Benutzer zur Authentisierung mit Hilfe von Verzeichnisdiensten ).

Betrieb

Nach der Konfiguration und einer Testbetriebsphase wird der Regelbetrieb aufgenommen. Dabei sind unter Sicherheitsgesichtspunkten folgende Aspekte zu beachten:

Verzeichnisdienste sind naturgemäß kontinuierlichen Veränderungen unterworfen. Entsprechend müssen die sicherheitsrelevanten Konfigurationsparameter ständig angepasst werden (siehe Maßnahme M 4.78 Sorgfältige Durchführung von Konfigurationsänderungen ). Die für den sicheren Betrieb relevanten Aspekte finden sich in M 4.311 Sicherer Betrieb von Verzeichnisdiensten sowie speziell zur Kommunikationssicherung in M 5.147 Absicherung der Kommunikation mit Verzeichnisdiensten .

Um den Sicherheitszustand eines Verzeichnisdienstes nachvollziehen zu können, ist es ratsam, diesen kontinuierlich zu überwachen (siehe M 4.312 Überwachung von Verzeichnisdiensten ).

Aussonderung

Wird entschieden, einen Verzeichnisdienst nicht weiter zu betreiben, sind insbesondere die verbliebenen Daten und Rechte sicher zu löschen. Aber auch wenn nur Teile eines Verzeichnisdienstes ausgesondert werden, sind einige Punkte zu beachten, die M 2.410 Geregelte Außerbetriebnahme eines Verzeichnisdienstes näher erläutert.

Notfallvorsorge

Neben den Maßnahmen zur Absicherung des Verzeichnisdienstes im laufenden Betrieb besitzen auch die Maßnahmen zur Notfallvorsorge eine relevante Bedeutung. Hinweise zu diesem Thema finden sich in M 6.106 Erstellung eines Notfallplans für den Ausfall eines Verzeichnisdienstes sowie in M 6.107 Erstellung von Datensicherungen für Verzeichnisdienste .

Nachfolgend wird das Maßnahmenbündel für den Baustein "Verzeichnisdienst" vorgestellt:

Planung und Konzeption

M 2.403 (A) Planung des Einsatzes von Verzeichnisdiensten
M 2.404 (A) Erstellung eines Sicherheitskonzeptes für Verzeichnisdienste
M 2.405 (A) Erstellung einer Sicherheitsrichtlinie für den Einsatz von Verzeichnisdiensten
M 2.407 (A) Planung der Administration von Verzeichnisdiensten
M 2.408 (Z) Planung der Migration von Verzeichnisdiensten
M 2.409 (B) Planung der Partitionierung und Replikation im Verzeichnisdienst
M 3.61 (W) Einführung in Verzeichnisdienst-Grundlagen

Beschaffung

M 2.406 (B) Geeignete Auswahl von Komponenten für Verzeichnisdienste

Umsetzung

M 3.62 (A) Schulung zur Administration von Verzeichnisdiensten
M 3.63 (A) Schulung der Benutzer zur Authentisierung mit Hilfe von Verzeichnisdiensten
M 4.307 (A) Sichere Konfiguration von Verzeichnisdiensten
M 4.308 (A) Sichere Installation von Verzeichnisdiensten
M 4.309 (A) Einrichtung von Zugriffsberechtigungen auf Verzeichnisdienste
M 4.310 (B) Einrichtung des LDAP-Zugriffs auf Verzeichnisdienste

Betrieb

M 4.78 (A) Sorgfältige Durchführung von Konfigurationsänderungen
M 4.311 (A) Sicherer Betrieb von Verzeichnisdiensten
M 4.312 (B) Überwachung von Verzeichnisdiensten
M 5.147 (C) Absicherung der Kommunikation mit Verzeichnisdiensten

Aussonderung

M 2.410 (B) Geregelte Außerbetriebnahme eines Verzeichnisdienstes

Notfallvorsorge

M 6.106 (Z) Erstellung eines Notfallplans für den Ausfall eines Verzeichnisdienstes
M 6.107 (C) Erstellung von Datensicherungen für Verzeichnisdienste

Stand: 13. EL Stand 2013

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK