Bundesamt für Sicherheit in der Informationstechnik

M 2.279 Erstellung einer Sicherheitsrichtlinie für Router und Switches

Verantwortlich für Initiierung: Behörden-/Unternehmensleitung, IT-Sicherheitsbeauftragter

Verantwortlich für Umsetzung: IT-Sicherheitsbeauftragter

Da Router und Switches zentrale Elemente eines Netzes sind, ist der sichere und ordnungsgemäße Betrieb besonders wichtig. Dieser kann nur sichergestellt werden, wenn das Vorgehen in die bestehenden sicherheitstechnischen Vorgaben integriert ist.

Die zentralen sicherheitstechnischen Anforderungen (das zu erreichende Sicherheitsniveau) ergeben sich aus der organisationsweiten Sicherheitsleitlinie und sollten in einer spezifischen Sicherheitsrichtlinie für Router und Switches formuliert werden, um die übergeordnet und allgemein formulierte Sicherheitsleitlinie im gegebenen Kontext zu konkretisieren und umzusetzen.

In diesem Zusammenhang ist zu prüfen, ob neben der organisationsweiten Sicherheitsleitlinie weitere übergeordnete Vorgaben wie bspw. IT-Richtlinien, Passwortrichtlinien oder Vorgaben zur Internetnutzung zu berücksichtigen sind.

Die Sicherheitsrichtlinie muss allen Personen und Gruppen, die an der Beschaffung und dem Betrieb von Routern und Switches beteiligt sind, bekannt sein und Grundlage für deren Arbeit sein. Wie bei allen Richtlinien sind ihre Inhalte und ihre Umsetzung im Rahmen einer übergeordneten Revision regelmäßig zu prüfen.

Die Sicherheitsrichtlinie sollte zunächst das generell zu erreichende Sicherheitsniveau spezifizieren und grundlegende Aussagen zum Betrieb von Routern und Switches treffen. Nachfolgend sind einige Punkte aufgeführt, die berücksichtigt werden sollten:

  • Allgemeine Konfigurationsstrategie ("Liberal" oder "Restriktiv")
  • Regelungen für die Arbeit der Administratoren und Revisoren:
    • Über welche Zugangswege dürfen Administratoren und Revisoren auf die Systeme zugreifen (beispielsweise nur lokal an der Konsole, über ein eigenes Administrationsnetz oder über verschlüsselte Verbindungen)?
    • Welche Vorgänge werden müssen dokumentiert werden? In welcher Form wird die Dokumentation erstellt und gepflegt?
    • Gilt für bestimmte Änderungen ein Vieraugenprinzip?
    • Nach welchem Schema werden Administrationsrechte vergeben?
  • Vorgaben für Beschaffung von Geräten anhand eines Anforderungsprofils
  • Vorgaben für die Installation und Konfiguration
    • Vorgehen bei der Erstinstallation
    • Überprüfung der Default-Einstellungen hinsichtlich Sicherheitsgefährdungen
    • Regelungen zur physikalischen Zugriffskontrolle
    • Verwendung und Konfiguration von Konsole und sonstigen Zugriffsarten
    • Regelungen zur Benutzer- und Rollenverwaltung, Berechtigungsstrukturen (Ablauf und Methoden der Authentisierung und Autorisierung, Berechtigung zu Installation, Update, Konfigurationsänderungen etc.). Nach Möglichkeit sollte ein Rollenkonzept für die Administration erarbeitet werden.
    • Regelungen zur Einrichtung und Nutzung von VLANs und VPNs (beispielsweise: keine VLANs mit unterschiedlichem Schutzbedarf auf einem Switch)
    • Regelungen zu Erstellung und Pflege von Dokumentation, Form der Dokumentation: Verfahrensanweisungen, Betriebshandbücher
    • Falls allgemeine Vorgaben existieren: Zugelassene und nicht zugelassene Dienste, Protokolle und Netze
  • Vorgaben für den sicheren Betrieb
    • Absicherung der Administration (beispielsweise: Zugriff nur über abgesicherte Verbindungen)
    • Einsatz von Verschlüsselung (Standards, Schlüsselstärken, Einsatzbereiche)
    • Vorgaben zu Passwortnutzung (Passwortregeln, durch Passwörter zu schützende Bereiche, Regeln und Situationen für Passwortänderungen, gegebenenfalls Hinterlegung von Passwörtern)
    • Werkzeuge für Betrieb und Wartung, Integration in ein bestehendes Netzmanagement
    • Berechtigungen und Vorgehensweisen bei Softwareupdates und Konfigurationsänderungen
  • Protokollierung
    • Welche Ereignisse werden protokolliert?
    • Wo werden die Protokolldateien gespeichert?
    • Wie und in welchen Abständen werden die Protokolle ausgewertet?
  • Datensicherung und Recovery (siehe auch M 6.91 Datensicherung und Recovery bei Routern und Switches )
    • Einbindung in das organisationsweite Datensicherungskonzept
  • Störungs- und Fehlerbehandlung, Incident Handling
    • Regelungen für die Reaktion auf Betriebsstörungen und technische Fehler (lokaler Support, Fernwartung)
    • Regelungen für Sicherheitsvorfälle
    • Notfallvorsorge (siehe auch M 6.92 Notfallvorsorge bei Routern und Switches )
    • Einbindung in das organisationsweite Notfallvorsorgekonzept
  • Revision und Audit (Verantwortlichkeiten, Vorgehen, Integration in ein übergreifendes Revisionskonzept)

Die Verantwortung für die Sicherheitsrichtlinie liegt beim Sicherheitsmanagement, Änderungen und Abweichungen hiervon dürfen nur in Abstimmung mit dem Sicherheitsmanagement erfolgen.

Bei der Erstellung einer Sicherheitsrichtlinie ist es empfehlenswert, so vorzugehen, dass zunächst ein Maximum an Forderungen und Vorgaben für die Sicherheit der Systeme aufgestellt wird. Diese können anschließend den tatsächlichen Gegebenheiten angepasst werden. Idealerweise wird so erreicht, dass alle notwendigen Aspekte berücksichtigt werden. Für jede im zweiten Schritt verworfene oder abgeschwächte Vorgabe sollte der Grund für die Nicht-Berücksichtigung dokumentiert werden.

Prüffragen:

  • Berücksichtigt die Sicherheitsrichtlinie für Router und Switches die Vorgaben übergeordneter Sicherheitsrichtlinien?

  • Werden die Inhalte und Umsetzungen der Sicherheitsrichtlinie für Router und Switches im Rahmen einer Revision regelmäßig geprüft?

Stand: 13. EL Stand 2013

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK