Netzwerksicherheitsrichtlinie: Whitepaper zu Best Practices
Inhalt
Einleitung
Ohne Sicherheitsrichtlinien kann die Verfügbarkeit Ihres Netzwerks beeinträchtigt werden. Die Richtlinie beginnt mit der Bewertung der Risiken für das Netzwerk und der Bildung eines Teams, das darauf reagieren kann. Zur Fortführung der Richtlinie müssen Verfahren für das Management von Sicherheitsänderungen implementiert und das Netzwerk auf Sicherheitsverletzungen überwacht werden. Schließlich wird im Rahmen des Überprüfungsprozesses die bestehende Politik geändert und den gewonnenen Erkenntnissen Rechnung getragen.
Dieses Dokument ist in drei Bereiche unterteilt: Vorbereitung, Prävention und Reaktion. Sehen wir uns jeden dieser Schritte im Detail an.
Vorbereitung
Vor der Implementierung einer Sicherheitsrichtlinie müssen Sie folgende Schritte durchführen:
Aussagen zu Nutzungsrichtlinien erstellen
Wir empfehlen die Erstellung von Nutzungsrichtlinien, in denen die Rollen und Verantwortlichkeiten der Benutzer im Hinblick auf die Sicherheit beschrieben werden. Sie können mit einer allgemeinen Richtlinie beginnen, die alle Netzwerksysteme und Daten in Ihrem Unternehmen abdeckt. Dieses Dokument soll der allgemeinen Benutzer-Community ein Verständnis der Sicherheitsrichtlinie, ihres Zwecks, von Richtlinien zur Verbesserung ihrer Sicherheitsverfahren und von Definitionen ihrer Sicherheitszuständigkeiten vermitteln. Wenn Ihr Unternehmen bestimmte Maßnahmen identifiziert hat, die zu Straf- oder Disziplinarmaßnahmen gegen einen Mitarbeiter führen könnten, sollten diese Maßnahmen und die Möglichkeiten, sie zu vermeiden, in diesem Dokument klar formuliert werden.
Der nächste Schritt besteht darin, eine für Partner akzeptable Nutzungserklärung zu erstellen, um Partnern ein Verständnis der Informationen zu vermitteln, die ihnen zur Verfügung stehen, sowie der voraussichtlichen Einstufung dieser Informationen und des Verhaltens der Mitarbeiter Ihres Unternehmens. Sie sollten alle spezifischen Aktionen, die als Sicherheitsangriffe identifiziert wurden, und die Strafmaßnahmen, die im Falle eines Sicherheitsangriffs ergriffen werden, klar erläutern.
Erstellen Sie abschließend eine Benutzeranweisung für den Administrator, um die Verfahren für die Verwaltung von Benutzerkonten, die Richtliniendurchsetzung und die Berechtigungsprüfung zu erläutern. Wenn Ihr Unternehmen spezifische Richtlinien in Bezug auf Benutzerkennwörter oder die anschließende Verarbeitung von Daten hat, stellen Sie diese Richtlinien ebenfalls klar dar. Vergleichen Sie die Richtlinien mit den Richtlinien für akzeptable Nutzung durch den Partner und die Anweisungen für akzeptable Nutzung durch den Benutzer, um Einheitlichkeit zu gewährleisten. Stellen Sie sicher, dass die in der Richtlinie für akzeptable Nutzung aufgeführten Administratoranforderungen in den Schulungsplänen und Leistungsbewertungen berücksichtigt werden.
Durchführen einer Risikoanalyse
Eine Risikoanalyse sollte die Risiken für Ihr Netzwerk, Ihre Netzwerkressourcen und Ihre Daten identifizieren. Dies bedeutet nicht, dass Sie jeden möglichen Eintrittspunkt in das Netzwerk oder jedes mögliche Angriffsmittel identifizieren sollten. Ziel einer Risikoanalyse ist es, Teile Ihres Netzwerks zu identifizieren, diesen Teilen eine Bedrohungsbewertung zuzuweisen und ein angemessenes Sicherheitsniveau anzuwenden. Dies hilft, ein funktionierendes Gleichgewicht zwischen Sicherheit und erforderlichem Netzwerkzugriff zu gewährleisten.
Weisen Sie jeder Netzwerkressource eine der folgenden drei Risikostufen zu:
-
Systeme mit geringem Risiko oder Daten, die bei einer Kompromittierung (durch unbefugtes Personal angezeigte Daten, beschädigte Daten oder verlorene Daten) das Geschäft nicht stören oder rechtliche oder finanzielle Auswirkungen haben würden. Das Zielsystem bzw. die Zieldaten können leicht wiederhergestellt werden und erlauben keinen weiteren Zugriff auf andere Systeme.
-
Systeme mit mittlerem Risiko oder Daten, die bei einer Kompromittierung (durch unbefugtes Personal angezeigte Daten, beschädigte Daten oder verlorene Daten) eine moderate Unterbrechung des Geschäftsbetriebs, geringfügige rechtliche oder finanzielle Auswirkungen oder einen weiter gehenden Zugriff auf andere Systeme verursachen würden. Das Zielsystem bzw. die Zieldaten erfordern einen moderaten Wiederherstellungsaufwand, da andernfalls der Wiederherstellungsvorgang das System beeinträchtigt.
-
Systeme mit hohem Risiko oder Daten, die bei einer Kompromittierung (durch unbefugtes Personal angezeigte Daten, beschädigte oder verlorene Daten) eine extreme Störung des Geschäftsbetriebs verursachen, erhebliche rechtliche oder finanzielle Auswirkungen haben oder die Gesundheit und Sicherheit einer Person bedrohen würden. Das anvisierte System oder die anvisierten Daten erfordern einen erheblichen Aufwand für die Wiederherstellung, oder der Wiederherstellungsprozess führt zu Unterbrechungen des Geschäftsbetriebs oder anderer Systeme.
Weisen Sie jedem der folgenden Elemente eine Risikostufe zu: Netzwerkkerngeräte, Verteilernetzwerkgeräte, Zugangsnetzwerkgeräte, Netzwerküberwachungsgeräte (SNMP-Monitore und RMON-Tests), Netzwerksicherheitsgeräte (RADIUS und TACACS), E-Mail-Systeme, Netzwerkdateiserver, Netzwerkdruckserver, Netzwerkanwendungsserver (DNS und DHCP), Datenanwendungsserver (Oracle oder andere eigenständige Anwendungen), Desktop-Computer und andere Geräte (eigenständige Druckserver und Netzwerkfaxgeräte).
Netzwerkgeräte wie Switches, Router, DNS-Server und DHCP-Server können einen weiteren Zugriff auf das Netzwerk erlauben und sind daher Geräte mit mittlerem oder hohem Risiko. Es ist auch möglich, dass eine Beschädigung dieser Geräte den Zusammenbruch des Netzwerks selbst verursacht. Ein solcher Ausfall kann das Geschäft extrem stören.
Nachdem Sie eine Risikostufe zugewiesen haben, müssen Sie die Benutzertypen dieses Systems identifizieren. Die fünf häufigsten Benutzertypen sind:
-
Administratoren Interne Benutzer, die für Netzwerkressourcen verantwortlich sind
-
Privilegierte interne Benutzer, die umfangreicheren Zugriff benötigen
-
Benutzer Interne Benutzer mit allgemeinen Zugriffsrechten.
-
Partner Externe Benutzer, die Zugriff auf bestimmte Ressourcen benötigen.
-
Andere Externe Benutzer oder Kunden.
Die Identifikation des Risikograds und der erforderlichen Zugriffsart jedes Netzwerksystems bildet die Grundlage der folgenden Sicherheitsmatrix. Die Sicherheitsmatrix bietet eine Kurzreferenz für jedes System und einen Ausgangspunkt für weitere Sicherheitsmaßnahmen, z. B. die Erstellung einer geeigneten Strategie zur Beschränkung des Zugriffs auf Netzwerkressourcen.
| System | Beschreibung | Risikostufe | Benutzertypen |
|---|---|---|---|
| ATM-Switches | Core-Netzwerkgerät | Hoch | Administratoren für die Gerätekonfiguration (nur Support-Mitarbeiter); Alle anderen zur Verwendung als Transportmittel |
| Netzwerk-Router | Verteilernetzwerkgerät | Hoch | Administratoren für die Gerätekonfiguration (nur Support-Mitarbeiter); Alle anderen zur Verwendung als Transportmittel |
| Schrankschalter | Zugriff auf Netzwerkgerät | Mittel | Administratoren für die Gerätekonfiguration (nur Support-Mitarbeiter); Alle anderen zur Verwendung als Transportmittel |
| ISDN- oder DFÜ-Server | Zugriff auf Netzwerkgerät | Mittel | Administratoren für die Gerätekonfiguration (nur Support-Mitarbeiter); Partner und privilegierte Benutzer für speziellen Zugriff |
| Firewall | Zugriff auf Netzwerkgerät | Hoch | Administratoren für die Gerätekonfiguration (nur Support-Mitarbeiter); Alle anderen zur Verwendung als Transportmittel |
| DNS- und DHCP-Server | Netzwerkanwendungen | Mittel | Administratoren für die Konfiguration; Allgemeine und berechtigte Benutzer |
| Externer E-Mail-Server | Netzwerkanwendung | Niedrig | Administratoren für die Konfiguration; Alle anderen für den E-Mail-Transport zwischen dem Internet und dem internen Mail-Server |
| Interner E-Mail-Server | Netzwerkanwendung | Mittel | Administratoren für die Konfiguration; Alle anderen internen Benutzer |
| Oracle-Datenbank | Netzwerkanwendung | Mittel oder Hoch | Administratoren für die Systemadministration; Privilegierte Benutzer für Datenaktualisierungen allgemeine Benutzer für den Datenzugriff; Alle anderen für den partiellen Datenzugriff |
Aufbau einer Sicherheitsteam-Struktur
Erstellen Sie ein funktionsübergreifendes Sicherheitsteam unter der Leitung eines Security Managers mit Teilnehmern aus allen Betriebsbereichen Ihres Unternehmens. Die Vertreter im Team sollten sich der Sicherheitsrichtlinien und der technischen Aspekte von Sicherheitsdesign und -implementierung bewusst sein. Häufig sind hierfür zusätzliche Schulungen für die Teammitglieder erforderlich. Das Sicherheitsteam hat drei Aufgabenbereiche: Entwicklung von Richtlinien, Praxis und Reaktion.
Die Entwicklung von Richtlinien konzentriert sich auf die Erstellung und Überprüfung von Sicherheitsrichtlinien für das Unternehmen. Überprüfen Sie mindestens einmal jährlich sowohl die Risikoanalyse als auch die Sicherheitspolitik.
In der Praxis führt das Sicherheitsteam die Risikoanalyse, die Genehmigung von Änderungsanträgen für Sicherheitsmaßnahmen durch, prüft die Sicherheitswarnungen der Anbieter und der CERT
-Mailingliste und wandelt die klaren Sicherheitsrichtlinien in spezifische technische Implementierungen um.
Der letzte Verantwortungsbereich ist die Reaktion. Während die Netzwerküberwachung häufig einen Sicherheitsverstoß identifiziert, sind es die Mitglieder des Sicherheitsteams, die diesen tatsächlich beheben. Jedes Mitglied des Sicherheitsteams sollte die Sicherheitsfunktionen kennen, die von den Geräten in seinem Betriebsbereich bereitgestellt werden.
Wir haben die Verantwortlichkeiten des gesamten Teams definiert. Sie sollten jedoch die individuellen Rollen und Verantwortlichkeiten der Mitglieder des Sicherheitsteams in Ihren Sicherheitsrichtlinien definieren.
Prävention
Die Prävention kann in zwei Teile unterteilt werden: die Genehmigung von Sicherheitsänderungen und die Überwachung der Sicherheit Ihres Netzwerks.
Sicherheitsänderungen genehmigen
Sicherheitsänderungen werden als Änderungen an der Netzwerkausrüstung definiert, die sich auf die allgemeine Sicherheit des Netzwerks auswirken können. In Ihrer Sicherheitsrichtlinie sollten nicht-technische Angaben zu spezifischen Sicherheitskonfigurationsanforderungen enthalten sein. Mit anderen Worten, anstatt eine Anforderung wie "Keine externen Quellen FTP-Verbindungen werden durch die Firewall zugelassen", definieren Sie die Anforderung wie "Externe Verbindungen sollten nicht in der Lage sein, Dateien aus dem internen Netzwerk abzurufen". Sie müssen eine Reihe individueller Anforderungen für Ihre Organisation definieren.
Das Sicherheitsteam sollte die Liste der Anforderungen in verständlicher Sprache überprüfen, um spezifische Netzwerkkonfigurations- oder Designprobleme zu identifizieren, die die Anforderungen erfüllen. Sobald das Team die erforderlichen Änderungen an der Netzwerkkonfiguration erstellt hat, um die Sicherheitsrichtlinie zu implementieren, können Sie diese auf alle zukünftigen Konfigurationsänderungen anwenden. Zwar ist es dem Sicherheitsteam möglich, alle Änderungen zu überprüfen, doch erlaubt es dieser Prozess ihnen, nur Änderungen zu überprüfen, die ein ausreichendes Risiko darstellen, um eine Sonderbehandlung zu rechtfertigen.
Wir empfehlen dem Sicherheitsteam, die folgenden Änderungen zu überprüfen:
-
Alle Änderungen an der Firewall-Konfiguration
-
Änderungen an Zugriffskontrolllisten (ACLs)
-
Alle Änderungen an der Konfiguration des Simple Network Management Protocol (SNMP).
-
Jede Änderung oder Aktualisierung der Software, die von der Liste der genehmigten Softwareversionen abweicht.
Wir empfehlen außerdem die Einhaltung der folgenden Richtlinien:
-
Ändern Sie routinemäßig Kennwörter für Netzwerkgeräte.
-
Beschränken Sie den Zugriff auf Netzwerkgeräte auf eine genehmigte Liste von Mitarbeitern.
-
Stellen Sie sicher, dass die aktuellen Softwareversionsstufen der Netzwerkgeräte und Serverumgebungen den Sicherheitskonfigurationsanforderungen entsprechen.
Zusätzlich zu diesen Genehmigungsrichtlinien sollte ein Vertreter des Sicherheitsteams im Genehmigungsgremium des Änderungsmanagements sitzen, um alle vom Gremium überprüften Änderungen zu überwachen. Der Vertreter des Sicherheitsteams kann jede Änderung, die als Sicherheitsänderung angesehen wird, ablehnen, bis sie vom Sicherheitsteam genehmigt wurde.
Überwachung der Netzwerksicherheit
Die Sicherheitsüberwachung ähnelt der Netzwerküberwachung, konzentriert sich jedoch auf die Erkennung von Änderungen im Netzwerk, die auf eine Sicherheitsverletzung hindeuten. Der Ausgangspunkt für die Sicherheitsüberwachung ist die Bestimmung einer Verletzung. Im Abschnitt Durchführung einer Risikoanalyse haben wir den Grad der erforderlichen Überwachung basierend auf der Bedrohung für das System ermittelt. Bei der Genehmigung von Sicherheitsänderungen haben wir spezifische Bedrohungen für das Netzwerk identifiziert. Wenn wir uns diese beiden Parameter ansehen, erhalten wir ein klares Bild davon, was Sie überwachen müssen und wie oft.
In der Risikoanalysematrix wird die Firewall als risikoreiches Netzwerkgerät betrachtet. Daher sollten Sie sie in Echtzeit überwachen. Im Abschnitt Sicherheitsänderungen genehmigen wird angezeigt, dass Sie auf Änderungen an der Firewall achten sollten. Das bedeutet, dass der SNMP-Polling-Agent fehlgeschlagene Anmeldeversuche, ungewöhnlichen Datenverkehr, Änderungen an der Firewall, den der Firewall gewährten Zugriff und die Einrichtung von Verbindungen über die Firewall überwachen sollte.
Erstellen Sie anhand dieses Beispiels eine Überwachungsrichtlinie für jeden in Ihrer Risikoanalyse identifizierten Bereich. Wir empfehlen, Geräte mit geringem Risiko wöchentlich, Geräte mit mittlerem Risiko täglich und Geräte mit hohem Risiko stündlich zu überwachen. Wenn Sie eine schnellere Erkennung benötigen, sollten Sie die Überwachung in einem kürzeren Zeitrahmen durchführen.
Zuletzt sollte Ihre Sicherheitsrichtlinie darauf eingehen, wie Sie das Sicherheitsteam über Sicherheitsverletzungen informieren. Häufig erkennt Ihre Netzwerküberwachungssoftware als erste die Verletzung. Er sollte eine Benachrichtigung an die Einsatzzentrale auslösen, die wiederum das Sicherheitsteam ggf. mit einem Pager benachrichtigt.
Antwort
Die Reaktion kann in drei Teile unterteilt werden: Sicherheitsverletzungen, Wiederherstellung und Überprüfung.
Sicherheitsverletzungen
Wenn eine Verletzung erkannt wird, müssen schnell Entscheidungen getroffen werden, um die Netzwerkausrüstung zu schützen, das Ausmaß des unbefugten Zugriffs zu ermitteln und den normalen Betrieb wiederherzustellen. Da diese Entscheidungen im Voraus getroffen werden, ist die Reaktion auf unbefugte Zugriffe wesentlich einfacher zu handhaben.
Die erste Aktion nach der Erkennung eines Sicherheitsangriffs ist die Benachrichtigung des Sicherheitsteams. Ohne ein Verfahren wird es erhebliche Verzögerungen geben, wenn es darum geht, die richtigen Personen dazu zu bringen, die richtige Antwort zu geben. Definieren Sie in Ihrer Sicherheitsrichtlinie ein Verfahren, das rund um die Uhr zur Verfügung steht.
Anschließend müssen Sie festlegen, welche Berechtigungen das Sicherheitsteam für Änderungen erhält und in welcher Reihenfolge die Änderungen vorgenommen werden sollen. Mögliche Korrekturmaßnahmen sind:
-
Implementierung von Änderungen, um weiteren Zugriff auf die Verletzung zu verhindern.
-
Isolierung der verletzten Systeme.
-
Kontaktaufnahme mit dem Betreiber oder ISP, um den Angriff zu verfolgen.
-
Verwenden von Aufzeichnungsgeräten zum Erfassen von Beweisen.
-
Trennen der Verbindung zu Systemen oder der Quelle der Verletzung.
-
Kontaktaufnahme mit der Polizei oder anderen Regierungsbehörden.
-
Herunterfahren verletzter Systeme.
-
Systemwiederherstellung nach einer priorisierten Liste.
-
Benachrichtigung des internen leitenden und juristischen Personals.
Geben Sie alle Änderungen an, die ohne Genehmigung des Managements in der Sicherheitsrichtlinie durchgeführt werden können.
Und schließlich gibt es zwei Gründe für das Sammeln und Verwalten von Informationen während eines Sicherheitsangriffs: um festzustellen, in welchem Ausmaß Systeme durch einen Sicherheitsangriff kompromittiert wurden, und um Verstöße von außen zu verfolgen. Die Art der Informationen und die Art und Weise, wie Sie sie sammeln, unterscheiden sich je nach Ihrem Ziel.
Um das Ausmaß des Verstoßes zu bestimmen, gehen Sie wie folgt vor:
-
Aufzeichnen des Ereignisses durch Abrufen von Sniffer-Traces für das Netzwerk, Kopien von Protokolldateien, aktive Benutzerkonten und Netzwerkverbindungen
-
Weitere Kompromittierung wird durch die Deaktivierung von Konten, die Trennung der Netzwerkgeräte vom Netzwerk und der Verbindung zum Internet begrenzt.
-
Sichern Sie das kompromittierte System, um eine detaillierte Analyse des Schadens und der Angriffsmethode zu ermöglichen.
-
Suchen Sie nach weiteren Anzeichen für eine Kompromittierung. Wenn ein System kompromittiert wird, wirken sich häufig andere Systeme oder Konten aus.
-
Verwalten und überprüfen Sie die Protokolldateien von Sicherheitsgeräten und die Netzwerküberwachungsprotokolldateien, da diese häufig Hinweise auf die Angriffsmethode liefern.
Wenn Sie rechtliche Schritte einleiten möchten, lassen Sie Ihre Rechtsabteilung die Verfahren für die Beweisaufnahme und die Beteiligung der Behörden überprüfen. Eine solche Überprüfung erhöht die Wirksamkeit der Beweismittel in Gerichtsverfahren. Wenn es sich um eine interne Verletzung handelt, wenden Sie sich an Ihre Personalabteilung.
Wiederherstellung
Die Wiederherstellung des normalen Netzwerkbetriebs ist das letzte Ziel jeder Reaktion auf Sicherheitsverletzungen. Definieren Sie in der Sicherheitsrichtlinie, wie Sie normale Backups durchführen, sichern und verfügbar machen. Da jedes System über eigene Mittel und Verfahren für die Sicherung verfügt, sollte die Sicherheitsrichtlinie als Metarichtlinie dienen, in der für jedes System die Sicherheitsbedingungen angegeben sind, die eine Wiederherstellung aus der Sicherung erfordern. Wenn eine Genehmigung erforderlich ist, bevor die Wiederherstellung durchgeführt werden kann, schließen Sie auch den Prozess für den Erhalt der Genehmigung ein.
Überprüfen
Der Überprüfungsprozess stellt die letzte Anstrengung zur Erstellung und Aufrechterhaltung einer Sicherheitsrichtlinie dar. Es gibt drei Dinge, die Sie überprüfen müssen: Richtlinien, Schwachstellen und Verfahren.
Die Sicherheitsrichtlinien sollten ein lebendiges Dokument sein, das sich an eine sich ständig verändernde Umgebung anpasst. Durch das Überprüfen der vorhandenen Richtlinie anhand bekannter Best Practices wird das Netzwerk auf dem neuesten Stand gehalten. Auf der CERT-Website finden Sie außerdem nützliche Tipps, Vorgehensweisen, Verbesserungen der Sicherheit und Warnmeldungen, die in Ihre Sicherheitsrichtlinien integriert werden können.
Sie sollten auch den Netzwerkstatus im Vergleich zum gewünschten Sicherheitsstatus überprüfen. Ein externes Unternehmen, das sich auf die Sicherheit spezialisiert hat, kann versuchen, in das Netzwerk einzudringen und nicht nur den Status des Netzwerks, sondern auch die Sicherheitsreaktion Ihres Unternehmens testen. Für hochverfügbare Netzwerke empfehlen wir die jährliche Durchführung eines solchen Tests.
Als Übung wird schließlich eine Übung oder ein Test der Support-Mitarbeiter definiert, um sicherzustellen, dass diese genau wissen, was bei einem Sicherheitsverstoß zu tun ist. Diese Übung wird vom Management häufig nicht angekündigt und in Verbindung mit dem Netzwerkstatustest durchgeführt. Bei dieser Überprüfung werden Lücken bei den Verfahren und bei der Schulung des Personals festgestellt, sodass Abhilfemaßnahmen ergriffen werden können.
Feedback