Bundesamt für Sicherheit in der Informationstechnik

M 2.280 Kriterien für die Beschaffung und geeignete Auswahl von Routern und Switches

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Aktive Netzkomponenten unterscheiden sich in ihrem Leistungsumfang, den angebotenen Sicherheitsmechanismen, Bedienkomfort und Wirtschaftlichkeit. Werden bei der Beschaffung Fehler gemacht, so kann dies schwerwiegende Folgen auf den sicheren Betrieb eines Netzes haben, da mit ungeeigneten Geräten das angestrebte Sicherheitsniveau unter Umständen nur schwer erreichbar ist.

Bevor Router und Switches beschafft werden, muss daher eine Anforderungsliste erstellt werden, anhand derer die am Markt erhältlichen Produkte bewertet werden. Aufgrund der Bewertung kann dann eine fundierte Kaufentscheidung erfolgen, die sicherstellt, dass das zu beschaffende Produkt im praktischen Betrieb den Anforderungen genügt.

Aus dem Blickwinkel der Informationssicherheit sind zentrale Anforderungen an aktive Netzkomponenten, dass diese die Administration über sichere Protokolle erlauben und dass die Benutzerverwaltung des Geräts es erlaubt, das organisationsweite Rollenkonzept entsprechend umzusetzen. Die Anforderung, dass Passwörter nur verschlüsselt im Gerät gespeichert werden dürfen, sollte eigentlich eine Selbstverständlichkeit sein, jedoch gibt es immer noch Geräte, bei denen Passwörter im Klartext in Konfigurationsdateien gespeichert werden müssen. Bei Neubeschaffungen sollten keine Geräte mehr berücksichtigt werden, die keine sichere Administrationsmöglichkeit bieten und bei denen es nicht möglich ist, Passwörter verschlüsselt abzuspeichern.

Auch rein funktionale Merkmale aktiver Netzkomponenten können Auswirkungen auf die Informationssicherheit haben. Meist ist dann der Grundwert Verfügbarkeit betroffen, beispielsweise wenn ein Gerät wegen unzureichender Speicherausstattung nicht die erforderlichen Durchsatzraten erreicht. Außerdem spielt die Unterstützung durch den Hersteller eine nicht zu vernachlässigende Rolle, wenn es beispielsweise darum geht, dass zeitnah Patches für Sicherheitslücken zur Verfügung gestellt werden.

Nachfolgend werden einige grundsätzliche Anforderungen bei der Beschaffung von Routern und Switches aufgelistet. Anschließend werden noch einige spezielle Anforderungen getrennt für Router und Switches beschrieben.

Allgemeine Kriterien für Router und Switches

  • Grundlegende funktionale Anforderungen
    • Unterstützt das Gerät alle benötigten Protokolle und Verkabelungstypen?
  • Sicherheit
    • Unterstützt das System sichere Protokolle zur Administration?
      Wenn Router und Switches nicht über ein eigenes Administrationsnetz administriert werden, müssen diese Geräte mit Hilfe von sicheren Netzprotokollen (beispielsweise SSH2) konfigurierbar sein.
    • Unterstützt das System die verschlüsselte Speicherung von Passwörtern?
      Geräte, bei denen Passwörter unverschlüsselt gespeichert werden, sollten nicht mehr beschafft werden.
  • Wartbarkeit
    • Bietet der Hersteller regelmäßige Updates und schnell verfügbare Sicherheitspatches an?
      Es ist insbesondere wichtig, dass der Hersteller zeitnah auf bekannt gewordene Sicherheitsmängel reagiert.
    • Wird für das Produkt die Möglichkeit des Abschlusses von Wartungsverträgen angeboten?
      Oft ist der Zugriff auf Updates und Unterstützungsleistungen vom Hersteller nur in Verbindung mit einem gültigen Wartungsvertrag möglich.
    • Können im Rahmen der Wartungsverträge maximale Reaktionszeiten für die Problembehebung festgelegt werden?
      Ein Wartungsvertrag ist nur dann geeignet, wenn mit den garantierten Reaktions- und Wiederinbetriebnahmezeiten die festgelegten Ansprüche an die Verfügbarkeit der Geräte abgedeckt werden können.
    • Bietet der Hersteller einen technischen Kundendienst (Hotline) an, der in der Lage ist, sofort bei Problemen zu helfen?
      Dieser Punkt sollte Bestandteil des abgeschlossenen Wartungsvertrags sein. Beim Abschluss des Vertrags ist auf die Sprache der zur Verfügung gestellten Hotline des Herstellers zu achten.
  • Zuverlässigkeit/Ausfallsicherheit
    • Wie zuverlässig und ausfallsicher ist das Produkt?
      Der Hersteller sollte Erfahrungswerte bezüglich der Zuverlässigkeit liefern können, beispielsweise Mean Time Between Failures (MTBF), Mean Time To Repair (MTTR).
    • Bietet der Hersteller Hochverfügbarkeitslösungen an?
      Wenn durch den Abschluss von Wartungsverträgen die Verfügbarkeitsanforderungen nicht abgedeckt werden können, muss das System Hochverfügbarkeitslösungen unterstützen.
  • Benutzerfreundlichkeit
    • Lässt sich das Produkt einfach installieren, konfigurieren, und administrieren?
      Es sollten darüber hinaus Schulungen für das Produkt angeboten werden.
  • Kosten
    • Wie hoch sind die Anschaffungskosten der Geräte?
    • Wie hoch sind die voraussichtlichen laufenden Kosten (Wartung, Betrieb, Support)?
      Diese Kosten sollten bereits in der Beschaffungsphase mit berücksichtigt werden. Der Inhalt der Wartungs- und Supportverträge sollte geprüft werden (Reaktionszeiten, Hotline, Qualifikation des Personals, etc.).
    • Wie hoch sind die voraussichtlichen laufenden Kosten für das Personal?
    • Müssen zusätzliche Soft- oder Hardware-Komponenten angeschafft werden (z. B. RADIUS-Server, Netz-Management-System)?
      Diese Frage sollte bereits in der Planungsphase beantwortet werden. Wenn beispielsweise bereits ein Netz-Management-System im Einsatz ist, sollte die Kompatibilität mit den zu beschaffenden Geräten geprüft werden. Zudem sollte der Aufwand zur Integration der Geräte in eine bestehende Infrastruktur beachtet werden.
    • Wie hoch sind die Kosten für die Schulung von Administratoren?
  • Funktionalität
    • Kann das System sicher in die bestehende Netz-Management-Architektur eingefügt werden?
      Der Aufwand zur Integration sollte berücksichtigt werden. Der Hersteller sollte MIB-Tables und Angaben zu den unterstützten NMS-Protokollen liefern.
    • Unterstützt das System NTP?
      NTP ist besonders im Hinblick auf die Protokollierung von Bedeutung, siehe auch M 4.227 Einsatz eines lokalen NTP-Servers zur Zeitsynchronisation .
    • Unterstützt das System die Einbindung von Authentisierungsservern (beispielsweise RADIUS oder TACACS+)?
      Ist bereits ein Authentisierungsserver im Einsatz, so sollte das System diesen nutzen können.
  • Protokollierung
    • Welche Möglichkeiten der Protokollierung sind vorhanden?
      Die angebotenen Möglichkeiten zur Protokollierung müssen mindestens die in der Sicherheitsrichtlinie festgelegten Anforderungen erfüllen. Insbesondere sind die folgenden Punkte relevant:
      • Ist der Detailgrad der Protokollierung konfigurierbar?
      • Werden durch die Protokollierung alle relevanten Daten erfasst?
      • Unterstützt das System zentrale Protokollierung (z. B. syslog)?
      Router und Switches sollten eine zentrale Protokollierung unterstützen, um eine gezielte Auswertung der Log-Dateien sicherstellen zu können.
    • Kann die Protokollierung so erfolgen, dass die Bestimmungen des Datenschutzes erfüllt werden können?
    • Werden Alarmierungsfunktionen unterstützt?
      Angriffe auf Router und Switches sollten durch Alarmierungsfunktionen der Geräte zentral und zeitnah gemeldet werden. Dies kann beispielsweise auf Basis eines Netz-Management-Systems geschehen.
  • Infrastruktur
    • Abmessungen und Kompatibilität mit Schutzschränken
      Auch der Platzbedarf von Routern und Switches ist bei der Beschaffung zu berücksichtigen. Kann das Gerät in die vorgesehenen Schutzschränke eingebaut werden (Formfaktor, Gewicht, Befestigungselemente)?
    • Stromversorgung und Abwärme
      Vom Hersteller sollten Angaben zum Stromverbrauch und zu den Anforderungen an die Umgebungstemperatur verfügbar sein. Reicht die vorhandene Kapazität der Stromversorgung und der USV aus? Reicht die vorhandene Kühlleistung zur Abfuhr der Abwärme des Geräts aus?

Besondere Kriterien für Switches

  • Performance und Skalierbarkeit
    • Kann das System den Ansprüchen an die Performance gerecht werden?
      Vom Hersteller sollten Angaben zum Datendurchsatz verfügbar sein, insbesondere sollte der Maximal-Durchsatz der Switch-Backplane beachtet werden. Weitere Größen, die Einfluss auf die Performance haben können, sind die Größe des Adress-Cache und des Speichers.
    • Wie groß ist die Anzahl der bereitgestellten Ports?
      Ein Access-Switch sollte über eine ausreichende Anzahl von Ports zum Anschluss von Endgeräten verfügen. Oft lassen sich die Anschaffungskosten von unterschiedlichen Switches anhand der Kosten pro Port vergleichen.
    • Ist das System "stackable" oder (beispielsweise durch zusätzliche Einschubkarten) modular erweiterbar?
      Zusätzlich erforderliche Funktionen oder der Bedarf an einer höheren Portdichte sollten nicht dazu führen, dass Geräte vorzeitig ausgetauscht werden müssen.
  • Funktionalität
    • Unterstützt der Switch Layer-3-Switching (Routing)?
      In lokalen Netzen kann diese Funktion im Hinblick auf die Performance (Datendurchsatz) vorteilhaft sein.
    • Unterstützt der Switch VLANs?
      Bei der Nutzung von VLANs sollte der Hersteller Angaben zum verwendeten Standard machen.
    • Unterstützt der Switch Cut Through oder/und Store and Forward?

Besondere Kriterien für Router

  • Performance und Skalierbarkeit
    • Kann das System den Ansprüchen an die Performance gerecht werden?
      Vom Hersteller sollten Angaben zum Datendurchsatz verfügbar sein. Falls der Router als VPN-Endpunkt eingesetzt werden soll, sind auch die unterstützten Verschlüsselungsverfahren und die Performance beim Ver- und Entschlüsseln der Daten wichtige Performance-Kriterien.
    • Ist das Gerät modular erweiterbar?
      Die Anzahl der im Standardumfang bereitgestellten Interfaces, insbesondere die maximale Anzahl von unterstützten Interfaces sollte berücksichtigt werden.
  • Funktionalität
    • Unterstützt der Router VPN-Funktionalität?
      Ein Router mit VPN-Funktionalität sollte den IPSec-Standard und starke Verschlüsselungsalgorithmen (3 DES , AES ) unterstützen.
    • Unterstützt der Router die Nutzung von ACL s?
      Die Filterfunktionen der zu beschaffenden Router sind zu berücksichtigen (siehe auch M 5.111 Einrichtung von Access Control Lists auf Routern ,).
    • Welche Routing-Protokolle werden unterstützt?
    • Der Router sollte sichere Routing-Protokolle unterstützen (siehe auch M 5.112 Sicherheitsaspekte von Routing-Protokollen ).

Prüffragen:

  • Ist eine Anforderungsliste zur Bewertung der am Markt erhältlichen Produkte, vor der Beschaffung von Routern und Switches, erstellt worden?

  • Sind bei der Neubeschaffung keine Geräte mehr berücksichtigt worden, die keine sichere Administrationsmöglichkeit bieten und bei denen es nicht möglich ist, Passwörter verschlüsselt abzuspeichern?

  • Sind die Anforderungen für neue Switches und Router schriftlich dokumentiert?

Stand: 13. EL Stand 2013