Bundesamt für Sicherheit in der Informationstechnik

M 2.357 Aufbau eines Administrationsnetzes für Speichersysteme

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Die Verwaltung und Überwachung von Ressourcen wie SAN- oder NAS-Komponenten, an die hohe Sicherheitsanforderungen gestellt werden, muss angemessen umgesetzt werden. Der Aufbau eines eigenen LANs, das ausschließlich administrativen Aufgaben dient, ist oft der übersichtlichste, effektivste und wirtschaftlichste Weg, um diesen Anforderungen zu genügen. In diesem Administrationsnetz werden PCs stationiert, die ausschließlich zur Verwaltung kritischer Komponenten dienen.

Grundsätzlich sollen auch innerhalb dieses Netzes nur sichere Protokolle (SSH statt Telnet, HTTPS statt HTTP) zur Administration genutzt werden. Die zumindest logische, wenn nicht gar physische Trennung dieses Administrationsnetzes von Produktionsnetz macht jedoch den Einsatz unsicherer Protokolle, insbesondere des in vielen Produktionsumgebungen immer noch fast unvermeidlichen SNMP Version 1, tolerierbar.

Konzeption/Planung

  • Ein sehr einfacher Aufbau eines solchen Netzes kann damit starten, dass ein separater Switch in Betrieb genommen wird.
  • Alle Clients der Administratoren werden mit ihrem Netzanschluss an das Administrationsnetz gebunden.
  • Alle Server und Systeme mit erhöhtem Sicherheitsbedarf (aktive Netzkomponenten, Speichersysteme) erhalten einen zusätzlichen Netzanschluss und werden damit an das Administrationsnetz gebunden.
  • Auf den Servern wird der Administrationszugang der Betriebs- und Anwendungssoftware, wo immer das möglich ist, exklusiv an die Netzadresse im Administrationsnetz gebunden.

Im Administrationsnetz sollten private (wie in RFC-Standard 1918 beschrieben) Adressen benutzt werden. Solche Adressen werden in "offiziellen" Netzen nicht geroutet, so dass ein Anschluss an offizielle Netze, wenn er denn nötig werden sollte, stets NAT (Network Address Translation) und weitere Schutzmaßnahmen, die durch eine Firewall realisiert werden, erfordert.

Im Administrationsnetz sollte auf allen IT-Komponenten durch Nutzung oder Einsatz eines NTP-Servers eine einheitliche Uhrzeit sichergestellt werden. Damit wird die Auswertung von Protokollen erleichtert und die Bewertung von Vorfällen, die Wirkung auf mehreren Komponenten zeigen, ermöglicht.

Die verfügbaren Ressourcen für den gesamten Aufbau eines Speichersystems sind zu ermitteln. Hierzu gehören sowohl Personalressourcen, die erforderlich sind, um ein Konzept zu erstellen und umzusetzen bzw. um das Netz zu betreiben, als auch die hierfür notwendigen finanziellen Ressourcen.

Die Ergebnisse sind entsprechend zu dokumentieren.

Es ist zudem zu prüfen, ob im Administrationsnetz zusätzliche Überwachungsmaßnahmen etabliert werden sollten. Zum Beispiel kann durch Einsatz von netzbasierten IDS zusätzlich überwacht werden, ob unzulässige Aktivitäten im Netz zu beobachten sind.

Ebenso könnte in einem solchen Netz auch eine zentrale Protokollierung etabliert werden, in der eine zentrale Instanz als Protokollserver die Logdaten aller Server und Speichersysteme verwaltet. Es ist zu beachten, dass solche besonderen Maßnahmen gegebenenfalls mit der Personalvertretung abgestimmt werden müssen.

Falls das Administrationsnetz einen komplexen Aufbau aufweist, sollte der Baustein B 4.1 Lokale Netze für Aufbau und Prüfung herangezogen werden.

Umsetzung

Zunächst ist zu untersuchen, wie ein Produktionsnetz und die darin stationierten Server und sonstigen Geräte (aktive Netzkomponenten, Speichersysteme) um ein Administrationsnetz erweitert werden können.

Zunächst sind die Maßnahmen M 2.139 Ist-Aufnahme der aktuellen Netzsituation und M 2.140 Analyse der aktuellen Netzsituation zu bearbeiten. Anschließend sind die Anforderungen an die Netzkommunikation des neu aufzubauenden Administrationsnetzes zu ermitteln sowie eine Schutzbedarfsfeststellung des zukünftigen Netzes durchzuführen.

Die Schutzbedarfsanforderungen des Administrationsnetzes sind aus den bestehenden IT-Verfahren, die über dieses Netz administriert werden sollen, abzuleiten.

Betrieb

Mit Aufnahme des Testbetriebes muss eine Prüfung stattfinden, die die Sicherheitsvorkehrungen testet und zur Grundlage der Betriebsdokumentation dieses Netzes wird. Typische Prüffragen sind:

  • Ist eine durchgängige Trennung des Administrationsnetzes vom Produktionsnetz gegeben?
  • Werden, wo immer möglich, sichere Dienste (secure shell, https) genutzt? Sind die unsicheren Varianten dieser Dienste (telnet, http) auf den administrierten Geräten deaktiviert?
  • Ist überschaubar und dokumentiert, wo auf den Einsatz unsicherer Dienste nicht verzichtet werden kann?
  • Sind alle Default-Kennungen und -Passwörter auf PC, Servern und aktiven Netzkomponenten etc. geändert?

Anschließend kann der produktive Betrieb gestartet werden.

Aussonderung

Wenn PCs oder andere Hardware ausgesondert oder auch nur zur Reparatur zeitweise aus dem Netz genommen werden, ist sicherzustellen, dass keine internen Informationen (Passwörter, Protokolldateien, Dokumente zu Interna etc.) darauf gespeichert sind.

Notfallvorsorge

Es muss eine Notfallplanung geben, so dass der Betrieb des produktiven Netzes sichergestellt wird, wenn das Administrationsnetz ausfällt.

Prüffragen:

  • Wird die Verwaltung und Überwachung des Speichersystems den Sicherheitsanforderungen des Speichersystems gerecht?

  • Ist für alle Komponenten des Administrationsnetzes eine einheitliche Uhrzeit sichergestellt?

  • Werden während des Testbetriebs des Administrationsnetzes die Sicherheitsvorkehrungen getestet und der Test sowie die Ergebnisse dokumentiert?

  • Gibt es eine Notfallplanung, so dass bei Ausfall des Administrationsnetzes das produktive Netz weiterbetrieben werden kann?

Stand: 13. EL Stand 2013

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK