Bundesamt für Sicherheit in der Informationstechnik

M 2.404 Erstellung eines Sicherheitskonzeptes für Verzeichnisdienste

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: IT-Sicherheitsbeauftragter

Es muss ein Sicherheitskonzept zum Verzeichnisdienst erstellt werden. Darin wird geregelt, welche Dienste, Komponenten, etc. in welcher Weise genutzt werden sollen und dürfen. Die folgende Liste gibt einen groben Überblick über Bereiche, die im Konzept geregelt werden sollten. Die Liste muss je nach Einsatzszenarien in der Institution entsprechend angepasst, ausgestaltet und erweitert werden. Diese spezifischen Sicherheitsvorgaben müssen mit dem übergreifenden Sicherheitskonzept der Institution abgestimmt sein.

Allgemeines:

  • Wie sollen die Verzeichnisdienst-Server physikalisch abgesichert werden?
  • Welche Verzeichnisdienst-Komponenten dürfen genutzt werden?
  • Welche Werkzeuge zur Administration sollen verwendet werden?
  • Wie wird der Baum des Verzeichnisdienstes strukturiert und partitioniert?
  • In welchem Ausmaß dürfen Schema Änderungen vorgenommen werden und zu welchem Zeitpunkt?
  • Welche Objektklassen mit welchen Attributsätzen dürfen eingesetzt werden?
  • Welche Replikationen welchen Typs sollen angelegt werden?
  • Welche Rechner sind Verzeichnisdienst-Server und welche Rechner sollen eine Replikation halten?
  • Welche Rechner sind als Root-Domäne besonders zu schützen?

Rechtevergabe:

  • Welcher Benutzer soll welche Rechte ausüben können?
  • Welcher Administrator soll welche Rechte ausüben können?
  • Welche Authentisierungsverfahren sollen genutzt werden?
  • Wie wird die Vererbung von Rechten innerhalb der Baumstruktur definiert?

Administration:

  • Welche Administratorrollen werden definiert?
  • Wer darf zu welchem Zeitpunkt Schema Änderungen vornehmen?
  • Welche Administrationsaufgaben dürfen bzw. sollen delegiert werden?

Datenkommunikation:

  • Welche Datenkommunikation ist abgesichert abzuwickeln?
  • Mit welchen Mechanismen werden Verfügbarkeit, Vertraulichkeit und Integrität der Daten geschützt?

Zertifikatsautorität:

  • Welche Parameter für die Zertifizierungsstelle sind zu verwenden?
  • Wer darf Einstellungen der Zertifizierungsstelle ändern?
  • Welche Objekte sind mit Zertifikaten zu versehen?
  • Welche Zertifikate sind für SSL-Verbindungen einzusetzen?

Dateisystem des unterliegenden Betriebssystems:

  • Welche Berechtigungen auf Systemdateien sollen für die verschiedenen Administratoren und Benutzer gelten?
  • Soll Verschlüsselung auf Dateisystemebene eingesetzt werden?

LDAP:

  • Welche Benutzer dürfen unter welchen Bedingungen über LDAP auf den Verzeichnisdienst zugreifen?
  • Soll ein anonymer Login unterstützt werden?
  • Welche Netzapplikationen dürfen via LDAP auf den Verzeichnisdienst zugreifen?
  • Soll die LDAP-Kommunikation generell über SSL laufen?
  • Dürfen die Benutzerpasswörter im Klartext übertragen werden?

Client-Zugriff auf den Verzeichnisdienst:

  • Welche Authentisierungsverfahren sollen eingesetzt oder erlaubt werden?
  • Auf welchen Verzeichnisbaum darf vom Netz aus zugegriffen werden?
  • Welche Ressourcen sind aus dem Netz von welchen Benutzern zugreifbar?

Verschlüsselung von Attributen:

  • Soll die Verschlüsselung von Attributen genutzt werden?

Fernzugriff zur Systemüberwachung und Administration:

  • Darf ein Werkzeug zur Fernwartung genutzt werden?
  • Wer darf solche Werkzeuge nutzen?
  • Wie wird das Protokoll HTTPS zu diesem Zweck konfiguriert?

Die hier beschriebenen Punkte müssen in einer Sicherheitsrichtlinie für Verzeichnisdienste weiter konkretisiert werden (siehe M 2.405 Erstellung einer Sicherheitsrichtlinie für den Einsatz von Verzeichnisdiensten ).

Prüffragen:

  • Wurde ein Sicherheitskonzept für Verzeichnisdienste erstellt?

  • Wurde dieses Sicherheitskonzept mit dem Sicherheitskonzept der gesamten Institution abgestimmt?

Stand: 13. EL Stand 2013