Bundesamt für Sicherheit in der Informationstechnik

M 4.319 Sichere Installation von VPN-Endgeräten

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Mit dem Aufbau eines VPNs kann begonnen werden, sobald die erforderlichen Komponenten dafür beschafft worden sind (siehe M 2.419 Geeignete Auswahl von VPN-Produkten ). Grundvoraussetzung für den sicheren VPN-Betrieb ist, dass die Installation und Konfiguration aller Komponenten gewissenhaft erfolgt und sich mit den gewählten VPN-Produkten auch tatsächlich die geforderten Sicherheitsfunktionen umsetzen lassen.

Zusätzlich muss die Sicherheit der IT-Systeme gewährleistet werden, auf denen die VPN-Komponenten eingesetzt werden. Dies betrifft besonders IT-Systeme, auf denen ein Standard-Betriebssystem installiert ist und das als VPN-Endpunkt betrieben wird (Beispiel: Linux-System mit VPN-Unterstützung). Daher sind zunächst die generellen Sicherheitsmaßnahmen für jedes dieser Betriebssysteme umzusetzen, wie sie in den jeweiligen Bausteinen der IT-Grundschutz-Kataloge beschrieben werden. Es gibt auch VPN-Komponenten, bei denen die Konfiguration der Plattform vom Hersteller vorgegeben ist und nicht geändert werden kann (VPN-Appliances). Der Einsatz solcher VPN-Geräte spart einerseits Zeit und es wird im Gegensatz zu einer individuellen Lösung weniger fachkundiges IT-Personal benötigt, z. B. für die Konfiguration des Betriebssystems. Andererseits muss beim Einsatz von Appliances den Vorgaben des Herstellers vertraut werden.

Im Rahmen der Installation eines VPNs sollten ebenfalls folgende Punkte betrachtet werden:

  • Während der Installationsphase sollten weder Benutzer noch Dritte auf das VPN oder Teile davon zugreifen dürfen. Es dürfen in dieser Phase also keine Verbindungen zu anderen Netzen vorhanden sein.
  • Es muss sichergestellt werden, dass die Installation aller VPN-Komponenten durch qualifiziertes Personal durchgeführt wird. Dies kann vor allem dann schwierig sein, wenn die zu vernetzenden Standorte geografisch weit voneinander entfernt sind. Beispielsweise muss geklärt werden, ob die nötigen Personalressourcen für eine VPN-Installation auch in anderen Ländern zur Verfügung stehen. Auch VPN-Endpunkte auf mobilen IT-Systemen, beispielsweise Laptops von Außendienstmitarbeitern, dürfen nur von qualifiziertem IT-Personal installiert werden.
  • Die Installation und Konfiguration der VPN-Komponenten ist zu dokumentieren. Dies kann entweder durch eine separate Installationsdokumentation erfolgen oder aber durch eine Bestätigung, dass die Installation mit den Planungsvorgaben übereinstimmt. Abweichungen von der festgelegten Systemarchitektur (beispielsweise zusätzliche Verbindungen) müssen hierbei begründet und dokumentiert werden. Die Qualität der Dokumentation spielt im Hinblick auf die kontinuierliche Verbesserung des VPNs eine wesentliche Rolle.
  • Die korrekte Funktion jeder einzelnen Komponente muss überprüft werden (z. B. durch Funktionsprüfungen bzw. Selbsttests oder Lasttests).
  • Bei den eingesetzten Produkten müssen vor der Inbetriebnahme alle aktuellen sicherheitsrelevanten Patches bzw. Firmware-Updates eingespielt werden.
  • Für jede sicherheitsrelevante Einstellung muss ein Funktionstest der Sicherheitsmechanismen durchgeführt werden. Beispielsweise sollten die Verschlüsselung der Verbindung sowie die eingesetzten Authentisierungsfunktionen mittels eines Netzanalyse-Tools überprüft werden (siehe auch M 5.76 Einsatz geeigneter Tunnel-Protokolle für die VPN-Kommunikation ).
  • Bevor das System in den Produktiveinsatz genommen wird, muss es in einer vom Produktivnetz getrennten Umgebung aufgebaut und entsprechend getestet werden. Ebenfalls ist es empfehlenswert, bereits in der Testumgebung Performance-Messungen und einen Testlauf der Schlüsselverteilung durchzuführen. Nach Abschluss der Installation ist die korrekte Funktion des Gesamtsystems zu überprüfen (Abnahme und Freigabe der Installation). Bei allen durchgeführten Tests ist darauf zu achten, dass nur die zum Test befugten Personen Zugriff auf das VPN erhalten.

Ist die grundlegende Installation erfolgt, so kann mit der in Maßnahme M 4.320 Sichere Konfiguration eines VPNs ausgeführten Konfiguration begonnen werden. Diese muss das System in einen sicheren Betriebszustand überführen, damit anschließend der laufende Betrieb aufgenommen werden kann. Für den reibungslosen Betrieb des VPNs sind die in Maßnahme M 4.321 Sicherer Betrieb eines VPNs erwähnten Handlungsweisen essenziell. Die dabei gewonnenen Erkenntnisse und Korrekturmaßnahmen müssen angemessen dokumentiert und in das Feinkonzept eingearbeitet werden.

Beispiel:

Nachfolgend werden die wesentlichen Punkte bei der Installation eines VPN-Systems beispielhaft dargestellt. Da die jeweiligen Konfigurationen von Hersteller zu Hersteller differieren, wird nur ein Grundgerüst vorgestellt, welches keinen Anspruch auf Vollständigkeit erhebt.

Für einen Remote Access-VPN-Client sollten während der Installation folgende Punkte beachtet werden:

  • Die Server-Funktionen des VPN-Dienstes müssen deaktiviert werden. Dies erfolgt dadurch, dass auf allen Geräten, die für Remote Access verwendet werden können (z. B. Modem, ISDN -Karte, VPN-Adapter), nur ausgehende Anrufe erlaubt werden.
  • Für den VPN-Client sind nur die für Remote Access zugelassenen Protokolle freizugeben.
  • Die im VPN-Sicherheitskonzept festgelegten Parameter bezüglich Integrität, Authentizität und Vertraulichkeit müssen entsprechend konfiguriert werden.

Für einen Remote Access-VPN-Server sollten folgende Punkte beachtet werden:

  • Die Client-Funktionen des VPN-Dienstes müssen deaktiviert werden. Dies erfolgt dadurch, dass auf allen Geräten, die für Remote Access verwendet werden können, nur eingehende Anrufe erlaubt werden.
  • Für den VPN-Server sind nur die über Remote Access zugelassenen Protokolle freizugeben.
  • Die im VPN-Sicherheitskonzept festgelegten Parameter bezüglich Integrität, Authentizität und Vertraulichkeit müssen entsprechend konfiguriert werden.
  • Die Einwahl sollte nur berechtigten Benutzern gestattet werden.

Prüffragen:

  • Falls keine Appliance eingesetzt wird: Ist das zugrunde liegende Betriebssystem der VPN -Plattform sicher konfiguriert?

  • Steht für die Installation der VPN -Komponenten qualifiziertes Personal zur Verfügung?

  • Wurden die Installation und Konfiguration der VPN -Komponenten sowie eventuelle Abweichungen von den Planungsvorgaben dokumentiert?

  • Sind alle aktuellen Patches und Updates auf den VPN -Komponenten eingespielt?

  • Wurden die Funktionen und Sicherheitsmechanismen der VPN -Komponenten getestet?

Stand: 13. EL Stand 2013