Bundesamt für Sicherheit in der Informationstechnik

M 4.479 Schutz von Richtlinien in einer SOA

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

In serviceorientierten Architekturen ( SOA ) werden Dienstzugriffe und Berechtigungen über verschiedene SOA -Plattformen hinweg mit Hilfe von Richtlinien (Policies) organisiert. Sie müssen bereits vorhanden sein, bevor ein Dienstnutzer in einer SOA -Umgebung agiert oder ein Service-Provider Informationen bzw. Dienste auf einer SOA -Plattform verfügbar macht. In einer Informationsdomäne kann nur eine Richtlinie implementiert sein. Anders ausgedrückt: eine Informationsdomäne definiert sich durch ihre Policy. Wird eine Richtlinie auf allen SOA -Plattformen einer Informationsdomäne umgesetzt, erzwingt dies, dass ein lokaler Policy-Enforcement-Point ( PEP ) pro SOA -Plattform verwendet wird.

Die Richtlinien müssen für alle SOA -Plattformen einer Informationsdomäne zentral verfügbar sein, z. B. in einem Service-Repository. Sie werden in der Regel in einem Web-Services-Description-Language-( WSDL )-Statement festgelegt und bereitgestellt. Durch Modifikation einer solchen WSDL -Datei auf der Provider- oder Consumer-Seite kann auf eine falsche Richtlinie geschlossen werden. Damit die Policy-Einstellungen nicht manipuliert werden können, muss ein Signaturwert "hart" an die WSDL -Datei gebunden werden, z. B. über XML Strong Binding.

Mehrere Informationsdomänen lassen sich so miteinander koppeln, sodass ein Dienstnutzer der Domäne A auf einen Service-Provider der Domäne B zugreifen kann. Hierbei sind zwischen den Administratoren der einzelnen Domänen die Richtlinien so abzustimmen, dass ein Dienstnutzer durch mehrere aufeinanderfolgende Zutritte zu Domänen nicht unberechtigterweise Rechte akkumuliert. Die Vorgehensweise und die daraus entstandenen Richtlinien sollten nachvollziehbar festgehalten werden.

Prüffragen:

  • Werden die Policy-Einstellungen bzw. Regelungen in einer SOA gegen Manipulationen geschützt?

  • Wird die SOA-Richtlinie mit nachvollziehbaren Regeln erzeugt?

Stand: 15. EL Stand 2016

Hinweis zur Verwendung von Cookies

Um unsere Webseite für Sie optimal zu gestalten und fortlaufend verbessern zu können, verwenden wir Cookies. Durch die weitere Nutzung der Webseite stimmen Sie der Verwendung von Cookies zu. Weitere Informationen hierzu erhalten Sie in unserer Datenschutzerklärung.

OK