Black Box erklärt: Risikomanagement in IT-Räumen BLACK BOX

Transkript

1 White with FC black diamond White with process black diamond Black Box erklärt: White with 5th black diamond Risikomanagement in IT-Räumen BLACK BOX / blackbox.com black-box.de

2 Risikomanagement in IT-Räumen Durch effektive Zugangskontrolle Gefahrenpotenziale nachhaltig senken Seit etlichen Jahren erleben wir im IT-Bereich immer neue Bedrohungen. Unsere IT-Systeme sind auf vielfältige Weise angreifbar und manipulierbar geworden, gleichzeitig sind alle Unternehmen jedoch in hohem Maße abhängig von einer funktionierenden IT-Infrastruktur. Viele Studien belegen, dass die eigenen Mitarbeiter oftmals die größte Bedrohung für die Sicherheit eines Firmennetzwerkes sind. Häufig wird dem Bedrohungsfall von innen jedoch nicht genügend Beachtung geschenkt bzw. wird hier in erster Linie der fahrlässige Umgang am Desktoprechner etwa beim Schutz von Passwörtern oder dem Herunterladen von Software adressiert. Dabei werden allerdings zumeist die sensibelsten Zonen die IT-Räume vernachlässigt. Nicht nur der Zugang zu den Applikationen und sensiblen Daten muss geregelt sein, sondern vor allem auch zu den IT-Räumen. Die Grenzen der Biometrie Bei der Konzeption von IT-Räumlichkeiten wird sicherlich der physikalische Zugang zu den Räumen bedacht, doch schon hier passieren in den meisten Fällen die ersten Planungsfehler. Meist wird bei aktuellen Projekten der Zugang mittels eines unveränderlichen, biometrischen Merkmals wie Iris, Stimme, Fingerabdruck, Gesicht und deren Verknüpfung, auch in Verbindung mit elektronischen Erfassungsmedien, wie Smartcards oder RFID, realisiert. Mit dem Einsatz biometrischer Zugangskontrollen alleine lässt sich keine umfassende Sicherheit gewährleisten Damit ist jedoch nur sichergestellt, dass bekannt ist, wer den IT-Raum wann betreten hat. Wir wissen jedoch nicht, wie lange sich diese Person dort befindet und ob sie alleine oder mehrere andere gleichzeitig mit einem Öffnungsvorgang der Türe den Bereich betreten haben. Hierbei sollten die grob fahrlässigen Fälle einmal unbeachtet sein. Wie oft finden wir offen stehende IT-Räumlichkeiten, da im Sommer die Klimatisierung nicht ausreichend ist und somit die Türe offen steht? Oder auch das berüchtigte Lager im IT-Raum, das gerade durch den Lieferanten befüllt wird und die Türe im Moment mit eingesetztem Keil geöffnet und unbeaufsichtigt ist? 0811/ black-box.de Seite 2

3 Vereinzelungssysteme, also Systeme mit denen sichergestellt ist, dass nur eine berechtigte Person den Raum nach einer Identifikation betritt, sind eher eine Seltenheit, ebenso wie automatisierte Kamerasysteme mit Bewegungsmeldern oder die Identifikation beim Verlassen der Räumlichkeiten. Mit solchen Installationen wäre eine Aussage, wer wie lange und mit wem die Bereiche benutzt hat, gesicherter möglich. Manipulation nicht ausgeschlossen Ist die existierende Zugangskontrolle einmal überwunden, steht der Zugang zu allen Daten, Servern und Netzwerken uneingeschränkt offen. Zwar sind meist aufwendige Verschlüsselungssysteme oder Systeme zur Authentifizierung auf den Rechnern installiert und es wird alles getan, Speichermedien zu kontrollieren und zu protokollieren, bzw. deren Benutzung einzuschränken. Ein Ansatz ist häufig jedoch unbeachtet. Hat man einmal Zugang zu allen IT-Ressourcen, ist es leicht möglich, die vorhandenen Infrastruktursysteme, wie Router, Switches, Telefonanlagen, Verkabelungssysteme, usw. zu manipulieren. Zusätzlich eingebrachte Hardware in einem der vielen Verkabelungsschränke oder zusätzliche Hardware im Bereich Switching und Routing oder Telefonanlage kontrolliert regelmäßig sicherlich kein Administrator. Wann hat der IT-Sicherheitsbeauftragte das letzte Mal den Netzwerkschrank in Gebäude D, 3. Etage, Abstellraum, kontrolliert? Ist in dem dort vorhandenen Switch vielleicht ein Port belegt, ein Hardwaremodul installiert, etc., das nicht dort hin gehört? Wann ist das letzte Mal kontrolliert worden, welche Admin-Ports an der Telefonanlage belegt sind, die über den Umweg Telefonanlage unmittelbar Zugriff auf das Firmennetzwerk haben? Eine Manipulation, Überwachung oder auch die Industriespionage ist so jederzeit möglich. Ein zusätzliche angebrachtes Kabel oder Modul fällt oftmals nicht auf. 0811/ black-box.de Seite 3

4 Aus Sicht des Datenschutzes ist diese lückenhafte Überwachung höchst bedenklich. Im Bundesdatenschutzgesetz (BDSG - Stand 22. August 2006) wird in der Anlage (zu 9 Satz 1) hierzu folgende Aussage getroffen: Werden personenbezogene Daten automatisiert verarbeitet oder genutzt, ist die innerbehördliche oder innerbetriebliche Organisation so zu gestalten, dass sie den besonderen Anforderungen des Datenschutzes gerecht wird. Dabei sind insbesondere Maßnahmen zu treffen, die je nach der Art der zu schützenden personenbezogenen Daten oder Datenkategorien geeignet sind, unbefugten den Zutritt zu Datenverarbeitungsanlagen, mit denen personenbezogene Daten verarbeitet oder genutzt werden, zu verwehren (Zutrittskontrolle), zu verhindern, dass Datenverarbeitungssysteme von Unbefugten genutzt werden können (Zugangskontrolle) Die Ordnungswidrigkeiten aus dem BDSG können im Einzelfall mit einer Geldbuße von bis zu Euro geahndet werden. Mit sehr einfachen und schnell zu realisierenden Mitteln lassen sich hier jedoch deutliche Verbesserungen erzielen, die auch in existierende Strukturen jederzeit zu implementieren sind. Personenkreis einschränken Grundüberlegung hierbei ist die Einschränkung des persönlichen Zugriffs auf alle IT-Systeme. Je weniger Personen physikalisch Zugriff auf die Systeme erhalten, umso einfacher gestaltet sich die Nachvollziehbarkeit der jeweiligen Tätigkeit und die Vergabe von zugedachten Vertrauensstellungen. Ein Telefontechniker muss zwar den IT-Raum betreten können, da dort die Telefonanlage und die entsprechenden Verteiler verbaut sind, benötigt aber nur Zugang zu den ihm zugewiesenen Ressourcen. Der zuständige Mitarbeiter für die Datensicherung braucht keinen Zugriff auf die Router und Switches und der Software-Verantwortliche benötigt keinen auf die Server, sondern nur auf das Betriebssystem bzw. die Applikation. Der erste und einfachste Schritt ist die Regulierung des Zugangs von Personal auf alle IT-Datenschränke. Im Zuge eines vollständigen Sicherheits- und Gebäudemanagement-Systems sollten auch die Server- und Datenschränke sowie die Telefonverteiler in das Sicherheitskonzept eingebunden werden. 0811/ black-box.de Seite 4

5 Aus technischer Sicht ist es problemlos und ohne allzu großen Aufwand möglich, alle Schränke mit Identifikationssystemen und automatisierten Öffnungssystemen zu versehen. Dies ermöglicht unterschiedliche Berechtigungen im Gegensatz zum heutigen Status, der, einmal die Zugangskontrolle zum IT-Raum überwunden, uneingeschränkt Zugriff auf alle Systeme bietet. Eine Abfrage, wer wann Zugriff auf welche Systeme genommen hat, ist somit ebenfalls ermöglicht. Die Realisierung kann mit den existierenden Terminals und den existierenden Identifikationsmedien erfolgen. Die Öffnung der Schränke erfolgt hier über Magnetkontakte. Ebenso kann über eine Zugangskontrolle das unberechtigte, gewaltsame Öffnen der Datenschränke überwacht und an die Administratoren gemeldet werden. Der zugriffsberechtigte Personenkreis kann außerdem angewiesen werden, regelmäßig die Installation auf Besonderheiten zu überprüfen und dies zu protokollieren. Noch sinnvoller wäre hier die räumliche Trennung der Systeme, welches im existierenden Umfeld nachträglich schwierig zu realisieren ist. Eine Trennung der verschiedensten IT-Ressourcen (Telefon, aktive Komponenten, Server, etc.) in unterschiedlichen Datenschränken sollte jedoch sichergestellt sein. Ende der Turnschuh-Administration Um den Personenkreis, der Zugang zu den Räumlichkeiten hat, noch stärker einzuschränken, bietet sich als weiterer Schritt der Einsatz von KVM-Komponenten an: Müssen alle Software-Administratoren tatsächlich direkten Zugriff auf den jeweiligen Rechner bzw. die CPU haben? Sicherlich nicht, denn hier lässt sich durch den Einsatz entsprechender KVM-Technologie ein erheblicher Sicherheitsvorteil erzielen: entfernt sitzende Administratoren haben über eine entsprechende Hardware Zugriff auf die ihnen zugewiesenen Rechner ohne den eigentlichen IT-Raum betreten zu müssen. Viele Administratoren verwenden Remote Access-Software, um aus der Ferne auf Server zuzugreifen und diese zu steuern. Wenn der Server, auf den sie zugreifen wollen, nicht läuft, ist die Software jedoch nutzlos. Mit KVM-Technologie kann der Administrator einen Warmstart auf einem System durchführen (mit zusätzlicher Hardware auch einen Kaltstart) und auf alle BIOS- Einstellungen zugreifen. Ideal ist hier sicherlich der Einsatz von IP-basierenden Lösungen, die sich sofort und ohne aufwendige, zusätzliche Verkabelung in ein bestehendes Netzwerk integrieren lassen. Der Zugriff auf die Backboneserver kann ohne Entfernungsbeschränkung erfolgen und bietet heute hochauflösendes digitales und analoges Video mit hoher Farbtiefe ebenso wie Audio in CD-Qualität. Diese Systeme sind ohne Softwareinstallation nutzbar und alle Rechner sind somit vor unberechtigtem physikalischen Zugriff geschützt. Darüber hinaus werden durch die gemeinsame Nutzung von Monitoren für viele Server direkte Stromkosten sowie Ausgaben für Raumklimatisierung eingespart. Kein Unternehmen kann sich einen Vertrauensverlust der Kundschaft durch Sicherheitslücken leisten. Deshalb investieren immer mehr Unternehmen in eine sichere Architektur der Informationssysteme und in die Telekommunikationsnetze. Es werden Firewalls, Schutzsysteme, Virenscanner und vieles mehr mit einem sehr hohen administrativen und damit verbunden auch finanziellem Aufwand eingesetzt. Dies ist notwendig und wichtig. Jedoch kann durch eine ganzheitliche Herangehensweise an die Sicherheit in der Informationstechnologie mit entsprechender Basistechnologie schon ein erheblicher Zugewinn erzielt werden, der mit wenig Verwaltungsaufwand und überschaubaren Investitionen realisierbar ist und den Zugang für die Serverräume und dadurch die potenzielle Bedrohung erheblich reduziert. Zugang zu den notwendigen Ressourcen, ohne selbst vor Ort zu sein. Dank KVM- Technologie kein Problem. Egbert Stamm Black Box Deutschland GmbH - Tel +49 (0) / black-box.de Seite 5

6 Ludwigstrasse 45B Hallbergmoos Data Konzeption, Installation, Produkte & Wartung für Kabel-, Wireless- und Hybridsysteme Voice Konzeption, Installation, Produkte & Wartung für IP Telefon- und Nebenstellenanlagen Hotline Direktvertrieb von mehr als IT-Prduktlösungen mit kostenlosem Telefonsupport Warum Black Box» Umfassendes Service- und Produktportfolio Produktlösungen und erfahrene Dienstleister mit weltweitem Erfahrungsschatzzeption» FREE TECH SUPPORT Kostenlose technische Beratung ohne Warteschleife und Vertragption» Teststellung Testen Sie die Katalogprodukte kostenlos in Ihrer Applikationep» Umfassende Garantie Sollte ein Gerät doch einmal zu Reparatur müssen, bieten wir Ihnen umfangreiche Garantieserviceseption Tech Support Vertrieb Customer Service Telefonie Installation Tel 0811/ Tel 0811/ Tel 0811/ Tel 0811/ Tel 0811/