Informationssicherheit

Transkript

1 secorvo security Consulting Zentrale Bausteine der Informationssicherheit Autoren: Petra Barzin (Kapitel 12, 15, Übersicht Standards) Natalie Dambier (Kapitel 20) Dirk Fox (Kapitel 2, 21) Stefan Gora (Kapitel 1, 4, 10) Safuat Hamdy (Kapitel 9, 11, 16, 17, 18, 20) Volker Hammer (Kapitel 7, 19, 24, 26, Index) Kai Jendrian (Kapitel 6, 8, 20, 26) HansJoachim Knobloch (Kapitel 14) Michael Knopp (Kapitel 3) Sven Köhler (Kapitel 25) Christoph Schäfer (Kapitel 3) Frank Schaefer(Kapitel 13, 14) Jochen Schlichting (Kapitel 17, 23) Jörg Völker (Kapitel 5) Redaktion: Volker Hammer, Nadine Gehrlein, Dirk Fox

2 Best Inhaltsverzeichnis Vorwort IV Vorwort des TeleTrusT Deutschland e.v. V Inhaltsübersicht VI Inhaltsverzeichnis VII 1 Aufgaben und Ziele der Informationssicherheit Aufgaben und Anforderungen eines I5MS Risikomanagement Gefährdungen erkennen und bewerten Angreifermodelle betrachten Hauptursachen für Sicherheitsprobleme identifizieren Sicherheitskonzept erstellen Sicherheitsmaßnahmen überprüfen Generische Sicherheitsziele Integrität Integrität Verfügbarkeit Authentizität Sicherheitsziele und Sicherheitskonzept 11 2 Betriebswirtschaftliche Aspekte der Informationssicherheit Quantitative Modelle Kosten von Risiken Kosten von Sicherheitsvorfällen Kosten von Sicherheitsmaßnahmen Das ROSIModell Grenzen des ROSIAnsatzes Alternative quantitative Modelle Qualitative Betrachtungen Grenzen betriebswirtschaftlicher Betrachtungen Wirtschaftlichkeit von Investitionsentscheidungen Risikomatrix ParetoPrinzip Erfahrungswerte Practice 26 3 Rechtliche Aspekte der Informationssicherheit Informationssicherheit und Recht Rechtsbereiche mit Sicherheitsanforderungen 31 3,2,1 Gesellschaftsrecht 31 VII

3 3.2.2 ßankenrecht Steuer und Handelsrecht Datenschutzrecht Telekommunikationsrecht Telemedienrecht Strafrecht Verträge und Vertragsrecht Arbeitsrecht Regelungen im Arbeitsverhältnis Regelungen durch Betriebsvereinbarung Regulierte Infrastrukturen Signaturrecht D Rechtliche Grenzen für Sicherheitsmaßnahmen Datenschutzrecht Telekommunikationsrecht Telemedienrecht Betriebliche Mitbestimmung 82 4 Hackermethoden Begriffsdefinition Hacker" Ursachen von Sicherheitsproblemen SQLInjection Buffer Overflows Motivation eines Angreifers Vorgehensweise bei Penetrationstests Informationsbeschaffung Portscans Automatische Überprüfungen Manuelle Untersuchungen Anwendung von Exploits Social Engineering Angriffswerkzeuge Rootk/ts Virus Construction Kits Trojaner 98 5 ISO und ISO Entstehungsgeschichte Die Familie der ISO 27000Standards ISO Vorgehensweise und Anwendungen Inhaltliche Elemente der ISO Notwendige Dokumentation Prüfungs und Zertifizierungsprozess 112 VIII

4 5.4 ISO ITGrundschutz Historie ITGrundschutz Ansatz ITGrundschutz Dokumente BSIStandard 1001: Managementsysteme für Informationssicherheit BSIStandard 1002: ITGrundschutzVorgehensweise BSIStandard 1003: Risikoanalyse auf der Basis von ITGrundschutz BSIStandard 1004: Notfallmanagement ITGrundschutzKataloge ToolUnterstützung ISO 27001Zertifizierung auf Basis von ITGrundschutz Sicherheitskonzept Ziele des Sicherheitskonzepts Zentrale Aufgaben im Sicherheitskonzept Berechtigte und Unberechtigte Schwachsteilen vermeiden Identifikation von Unregelmäßigkeiten Reaktionen aufstörfälle Physische Sicherheit 141^ 8.1 Bedrohungen Erhöhung der Gebäudesicherheit Bewusste Standortwahl Sichere bauliche Gestaltung Schutzzonen Rettungs und Fluchtwege Angemessene Überwachung Monitoring und automatisierte Maßnahmensteuerung Wirksamer Brandschutz Stromversorgung Physische Schutzmaßnahmen in externen Bereichen Mobile Endgeräte Häuslicher Arbeitsplatz Datenträger Netzwerksicherheit Das OSlModell Protokolle, Adressen und Ports 156 IX

5 SSH MPLS DTLS Bedrohungen ' Das Internet Protocol IPv Address Resolution Protocol ARP ' Bedrohungen gegen IPv4 ' IPv Unterschiede zwischen IPv6 und IPv Neighbor Discovery ' HeaderErweiterungen Fragmentierung Privatsphäre NetzwerkScans Produkte und Implementierungen Multiprotocol Label Switching Transportprotokolle Sicherheitsmechanismen in Transportprotokollen Übersicht über verschiedene Transportprotokolle Netzwerkmanagementprotokolle Konfigurationsprotokolle Auskunftsdienste RoutingProtokolle Anmerkung zu verschiedenen Sicherheitsmechanismen der Protokolle Sicherheitsmechanismen für Netzwerke IEEE 802. IX IPsec SSUTLS Datagram Transport Layer Security Secure Shell Überwachung des Netzwerkverkehrs Architektur Einteilung des Netzes in Zonen Zugriffskontrolle auf Switchen Virtuelle LANs Network Address Translation Firewalls Grundlagen von Firewalls FirewallTypen Paketfilter Application Level Gateway Stealth Gateway FirewallArchitekturen Einstufige PaketfüterArchitektur MultiHomedArchitektur Demilitarisierte Zone PAPFirewallArdiitekturen 211 X

6 Vertraulichkeit Integrität Frische UrheberAuthentizität NichtAbstreitbarkeit 10.4 FirewallKonzepte Anforderungsanalyse für den FirewallEinsatz Betriebliche Anforderungen für die FirewallKonzeption Grenzen von Firewalls Kryptografie Vorgehensweise Begriffsklärung Angriffs und Sicherheitsziele Lesen von Daten Ändern von Daten Wiedereinspielen 21S 219 von Daten Vortäuschen einer Identität Abstreiten der Verantwortung von Daten Weitere Angriffsund Sicherheitsziele Grundsätzliche Angriffsszenarien Sichere Kanäle Verschlüsselung Chiffrierverfahren Betriebsmodi Integrität Authentisierte Verschlüsselung Weitere Anwendungen Herausforderungen der Schlüsselverteilung Der direkte Weg Der indirekte Weg über vertrauenswürdige Dritte Asymmetrische Verfahren zur Schlüsselverteilung Grundprinzipien asymmetrischer Verfahren Schlüsseltransport Schlüsselaustausch Digitale Signaturen Grundprinzipien digitaler Signaturen Digitale Signaturen für die NichtAbstreitbarkeit Digitale Signaturen für Zertifikate Praktischer Einsatz Schlüssellängen Proprietäre Verfahren Proprietäre Implementierungen Erzeugung von Zufallszahlen Vertrauensmodelle und PKIKomponenten ,1 Vertrauensmodelle Web of Trust Zentrales Modell der Public Key Infrastruktur 257 XI

7 \Psec L2TP 12.2 Public Key Infrastruktur Zertifikate und CRLs Zertifizierungshierarchien Verifikation einer digitalen Signatur Komponenten und Prozesse einer PKI Policies für Public Key Infrastrukturen Standards im Bereich PKI X.509 Standard PKIXStandards PKCSStandards Common PKI Spezifikationen Verknüpfung von Public Key Infrastrukturen Langzeitarchivierung Virtual Private Networks VPNSzenarien SitetoSiteVPN EndtoSiteVPN EndtoEndVPN Protokollebenen von VPNs und VPNTunnel Technische Realisierung von VPN PPP, L2F und PPTP Layer 2 Tunneling Protocol IP Security OpenVPN Spezielle Risiken von VPN Authentifizierung und Berechtigungsmanagement Benutzer Identität Identifizierung Authentifizierung Authentifizierung durch Wissen Authentifizierung durch Besitz Authentifizierung durch Biometrie Authentifizierung in verteilten Systemen Autorisierung und Zugriffskontrolle Zugriffsrechtematrix Zugriffskontrolllisten Capabilities Rollenbasierte Zugriffskontrolle Nachteile von Zugriffskontrollstrategien Identitäts und Berechtigungsmanagement Single SignOn 322 XII

8 Unternehmensweites Single SignOn SSO für WebServices OpenID OAuth OpenIDConnect SAML Mozilla Persona Sicherheit von SAML, OpenID, OAuth und Mozilla Persona Sicherheit in mobilen Netzen Bedrohungen in mobilen Netzen Wireless LAN Entwicklung und Standardisierung Netzarchitektur und Netzkomponenten Sicherheitsverfahren Empfohlene Sicherheitsmaßnahmen Bluetooth Entwicklung und Standardisierung Netzarchitektur und komponenten Sicherheitsverfahren in Bluetooth BluetoothSicherheitsmechanismen im Detail Bewertung der Sicherheitsmaßnahmen Mobilfunk GSM GPRS UMTS Mobile Anwendungen und Endgeräte USBSticks Anwendungsdaten und Zugriffsschutz Smartphone Betriebssysteme und Sicherheitsmechanismen Betriebssystemsicherheit Identität und Autorisierung Benutzer, Benutzergruppen und Rollen Ressourcen Zugriffsrechte Erweiterung von Rechten privilegierte Aktionen Systemzugang und Authentisierung Sicherer lokaler Zugang Sicherer Fernzugang SessionSicherheit Schutz der Anwenderdaten Ablage auf Speichermedien Verarbeitung im Speicher Transit über ein Netzwerk Konfigurationsmanagement 389 XIII

9 16.5 Protokollierung und Überwachung Protokollierung und Auswertung Überwachung im laufenden Betrieb Selbstschutz und Härtung des Betriebssystems Härtung gegen spezifische Bedrohungen Malwareschutz BootSchutz Verwaltung angeschlossener Geräte und Speichermedien Reduktion der Angriffsoberfläche Einschränkung des zulässigen Netzwerkverkehrs WindowsSicherheit Identifizierung und Autorisierung Benutzer, Benutzergruppen und Rollen Ressourcen Zugriffsrechte Erweiterung von Rechten privilegierte Aktionen Systemzugang und Authentisierung Sicherer lokaler Zugang Sicherer Fernzugang SessionSicherheit Schutz der Anwenderdaten ,3.1 Ablage auf Speichermedien Verarbeitung im Speicher Transit über ein Netzwerk Konfigurationsmanagement Die Registry Active Directory Domain Services Gruppenrichtlinien ManagementWerkzeuge Protokollierung und Überwachung Protokollierung und Auswertung Überwachung im laufenden Betrieb Selbstschutz und Härtung des Betriebssystems Härtung gegen spezifische Bedrohungen Malwareschutz Bootschutz Verwaltung angeschlossener Geräte und Speichermedien Reduktion der Angriffsoberfläche Einschränkung des zulässigen Netzwerkverkehrs UnixSicherheit Identität und Autorisierung Benutzer, Benutzergruppen und Rollen Ressourcen Zugriffsrechte 449 XIV

10 privilegierte Erweiterung von Rechten Aktionen Systemzugang und Authentisierung Sicherer lokaler Zugang Sicherer Fernzugang SessionSicherheit Schutz der Anwenderdaten Ablage auf Speichermedien Verarbeitung im Speicher Transit über ein Netzwerk Konfigurationsmanagement Protokollierung und Überwachung Protokollierung und Auswertung Überwachung im laufenden Betrieb Selbstschutz des Betriebssystems Härtung gegen spezifische Bedrohungen Malwareschutz BootSchutz Verwaltung angeschlossener Geräte und Speichermedien Reduktion der Angriffsoberfläche Einschränkung des zulässigen Netzwerkverkehrs Löschen und Entsorgen Anforderungen zum Löschen und Entsorgen Z Lösch und Entsorgungskonzept Speicherorte Angemessene Löschstrategien Verantwortlichkeiten und Integration in den Arbeitsalltag Technische Löschmaßnahmen Einfaches Löschen Sicheres Löschen Verschlüsselung und Löschen Löschen auf USBSticks und anderen FlashMedien Vernichten und Entsorgen Sicherheit in World Wide Web und ECommerce Bedrohungen und Sicherheitsmaßnahmen im Web Einführung in WebAnwendungen Ausgewählte Angriffe Sicherung von WebAnwendungen Phishing ECommerce und EPayment OnlineBanking Elektronische Bezahlverfahren 506 XV

11 oder 21 Awareness Risikofaktor" Mensch Zur Wahrnehmung von ITSicherheit Randbedingungen und Konsequenzen Durchführung von AwarenessKampagnen KampagnenProblematiken Zielsetzung einer AwarenessKampagne Awareness in der Praxis Erfolgsfaktoren Beteiligte Das VierPhasenKonzept einer AwarenessKampagne Erfolgsmessung ComputerViren und Content Security Verbreitungswege von Malware Unerwünschte Inhalte Klassen von Malicious Code" Spam Aktive Inhalte Bedrohungen durch Malware Ansätze zur Abwehr von Malware Abschottung von Systemen ContentAnalyse Erfassung des Netzwerkverkehrs Dekomposition der Inhalte und HeaderAnalyse Klassifikation von Inhalten Aktion Besonderheiten bei AntiSpamMaßnahmen ContentFilter und verschlüsselte Inhalte Verhaltensanalyse Intrusion Detection Einordnung und Definitionen Architektur und Komponenten von IntrusionDetectionSystemen Grundproblem der Analyse der Schein trügt" Typen von IntrusionDetectionSystemen Hostbased IntrusionDetectionSysteme Networkbased IntrusionDetectlonSystem Hybride IntrusionDetectionSysteme Komponenten von IntrusionDetectionSystemen Hostsensoren Netzsensoren Datenbankkomponenten 548 XVI

12 Erkennen Managementstation Auswertungsstation Methoden der Angriffserkennung Erkennen von Angriffsmustern Anomalieerkennung Korrelation von Ereignisdaten Das IntrusionDetectionDilemma Ausblick und Vorgaben für IDS Anforderungen an die Sicherheitsadministration Auswahl und Test eines IDS Datensicherung Zwecke der Datensicherung Strategien der Datensicherung Backups von vertraulichen Daten BackupMedien Erfolgsfaktoren für Recovery Physische Verfügbarkeit Betriebliche Voraussetzungen für Recovery RecoveryFähigkeit überprüfen Datensicherungskonzept IncidentManagement und Computer Emergency Response Teams Ziel und Aufgaben des IncidentManagement Der Aufbau des CERT Regelmäßige Aufgaben des CERT Überwachen der Informationsströme von Incidents Aufbau und Pflegearbeiten Der IncidentProzess Phase 1: Analysieren Phase 2: Reagieren Phase 3: Nachbereitung BusinessContinuityManagement Business Continuity Hohe Verfügbarkeit erreichen und schwere Störfälle beherrschen BusinessImpactAnalyse Verantwortung für Business Continuity Business Continuity vorbereiten NotfallTeams und Krisenstab etablieren Störfa/IEskalationswege aufbauen 593 XVII

13 Notfallhandbuch bereitstellen Notfallvorsorge Krisenkommunikation vorbereiten BCTraining, BCAwareness, und BCKultur BCM etablieren Das BQMJeam Initialisierung des BusinessContinuityManagement BCMPlanungsphase Umsetzungsphase Überwachung Weiterentwicklung Standards für BCM A.2 ISO ISO/IEC BSIStandard 1004 Notfallmanagement BCI Good Practice Guidelines 608 Verzeichnis der Autoren 611 Übersicht zu Standards der Informationssicherheit 615 Abbildungsverzeichnis 643 Tabellenverzeichnis 647 Abkürzungen und Glossar 649 Index 673 XVIII