IT-Sicherheit. Tipps und Angebote des RRZN zum sicheren Betrieb von Rechnern im Netz der Universität Hannover. Stand: 9.

Transkript

1 Universität Hannover IT-Sicherheit Tipps und Angebote des RRZN zum sicheren Betrieb von Rechnern im Netz der Universität Hannover Stand: 9. November 2005 Regionales Rechenzentrum für Niedersachsen

2 Das Verbinden eines Rechners mit einem Datennetz stellt bereits ein Sicherheitsrisiko dar. Viele Rechner sind auf Gefahren, die im Netz lauern, nur unzureichend vorbereitet. Aus Komfortgründen sind viele Programme in ihren Standardeinstellungen für Virenbefall, Hackereinbruch und ähnliche Angriffe sehr anfällig. Server, die nicht vollständig abgesichert werden, stellen potentielle Ziele von Hackern dar. Hier werden Sicherheitslücken von Programmen ausgenutzt, um beispielsweise unbemerkt illegale Inhalte (Raubkopien, Pornos etc.) im weltweiten Datennetz verteilen zu können. Insbesondere Universitätsrechner sind beliebte Ziele, da sie in der Regel über schnelle und breitbandige Netzanbindungen verfügen und das Sicherheitsbewusstsein in einem traditionell wissenschaftlich ausgerichteten Umfeld bisher geringer ist als beispielsweise im Rechenzentrum einer Bank. Mit diesem Faltblatt möchten wir Anwendern und Administratoren einen Wegweiser an die Hand geben, der es ermöglicht, schnell und einfach die größten Risiken in der Benutzung eines Rechners im Netz der Universität Hannover (UH) zu erkennen und zu vermeiden. Informationen und Ressourcen im Netz Das zentrale Informationsangebot des RRZN findet sich im Netz unter der Adresse: Es lohnt sich auch ein regelmäßiger Blick auf die Homepage des RRZN. Dort wird in den News-Meldungen wird aktuell auf gravierende Sicherheitsprobleme hingewiesen. Informationen des zentralen IT-Sicherheitsbeauftragten der Universität Hannover finden Sie unter: 2

3 Antivirensoftware, Viren, Würmer etc. Viren, Würmer, Trojaner u. ä. sind kleine Programme, die sich per , eigenständig oder über Datenträger verbreiten. Die häufigste Verbreitungsart ist die per in Form eines Anhangs, dessen Öffnen zur Installation des Virus führt. Das eigene -Programm muss also so konfiguriert werden, dass Anhänge nicht automatisch geöffnet werden. Erst ein wohl überlegter Klick auf den Anhang darf diesen öffnen. Ein unerlässlicher Schutz Ihres Rechners ist Antivirensoftware. Eine Landeslizenz ermöglicht allen Mitarbeitern und Studierenden der Universität Hannover einen kostenfreien Einsatz des Antiviren-Programms Sophos-Antivirus (auch auf den privaten Rechnern zuhause). Machen Sie unbedingt von diesem Angebot Gebrauch. Nutzern von MS Windows-Rechnern im Datennetz der Universität Hannover steht außerdem ein automatischer Update-Service zur Verfügung, der nach einmaliger Aktivierung die ständige Aktualisierung der Antivirensoftware im Hintergrund durchgeführt. Achtung: Antivirensoftware, die nicht regelmäßig aktualisiert wird, bietet keinen Virenschutz! Der Mail-Service des RRZN bereinigt virenverseuchte Mails. Nutzen Sie aus diesem Grund den Mail-Service des RRZN. Software Update Service (WSUS) Die Produkte der Software-Hersteller sind aufgrund ihrer Komplexität nicht frei von Fehlern. Vorhandene Sicherheitsschlupflöcher werden von Hackern und Crackern mit Vorliebe aufgespürt und als Einfalltore nicht nur für Viren und Würmer genutzt. Oft beeilen sich die Software-Hersteller Softwarekorrekturen (Patches) zeitnah zu veröffentlichen. Ein Einspielen der Korrekturprogramme schließt dann die 3

4 gefährliche Sicherheitslücke. Mit dem Software-Update- Service (WSUS) des RRZN können Sie Ihre Windows-Betriebssysteme auf einfache Weise aktuell halten. Machen Sie von der Möglichkeit Gebrauch, den für das Campusnetz vom RRZN betriebenen WSUS-Server für Microsoft- Betriebssystem-Updates (Windows 2000, Windows XP) zu nutzen. Im Rahmen des MSDN-AA-Programms können teilnahmeberechtigte Institute der Universität Hannover Windows XP Professional kostenlos beziehen. Sollten Sie eine ältere Windows-Version einsetzen, ist eine Aktualisierung auf die Professional-Variante wegen seiner ausgefeilteren Rechteverwaltung sinnvoll. Auch für einige weitere Betriebssysteme bieten die Hersteller automatische Aktualisierungen über das Internet an. Nutzen Sie diese Dienste und aktualisieren Sie Betriebssystem und Software! Abonnieren von Warnmeldungen Um sich gegen Gefahren durch Sicherheitslöcher in Softwareprodukten wappnen zu können, ist es wichtig, frühzeitig informiert zu sein. Das DFN-CERT verschickt regelmäßig die neuesten verfügbaren Sicherheitsmeldungen bekannter Hersteller. Diese Meldungen können Sie über die Webseiten des RRZN abonnieren. Die Warnungen sind durch Stichworte in verschiedene Themengebiete geordnet. Sie können die Meldungen für eine beliebige Auswahl an Stichworten abonnieren, je nachdem, welche Thematik für Sie von Belang ist. 4

5 RRZN-Netzschutz für Institute Unter der Bezeichnung RRZN-Netzschutz wird den Instituten der UH der Service eines RRZN-administrierten Firewall- Schutzes angeboten. Das komplette Institutsnetz wird hinter eine Firewall geschaltet, die im RRZN für das Institut betrieben wird. Der ein- und ausgehende Datenverkehr wird nach Regeln gefiltert, die auf die Institutsbedürfnisse abgestimmt sind: Das Institut nennt dem RRZN alle Dienste und Server, die von außen ansprechbar bleiben sollen (z. B. den Instituts-Webserver für http und https) und alle Dienste, die von innen möglich sein sollen (z. B. Surfen, u. ä.). Der übrige Datenverkehr wird verboten, so dass nur erwünschte Verbindungen zustandekommen können. Die anfallenden Logdaten und eine die Logdatenanalyse erleichternde, grafische Aufbereitung im HTML-Format werden dem Institut auf einem zentralen Server zur Verfügung gestellt. Die Kontrolle und Analyse der Logdaten ist Aufgabe des Institutes. Achtung: Eine Firewall schützt Ihren Rechner nicht vor Viren, sondern ausschließlich vor unerwünschtem Datenverkehr. Personal Firewall Es empfiehlt sich als Ergänzung der Sicherheitskernelemente Virenschutz und Software-Update für den lokalen Schutz, eine Personal Firewall einzusetzen. Die Personal Firewall ist ein Programm, das auf dem Arbeitsrechner installiert ist und lokal den ein- und ausgehenden Datenverkehr nach individuellen Regeln des Benutzers filtert. Die Linux-Gemeinde nutzt das mitgelieferte IPTables als Frontend für den im Kernel integrierten Netfilter. Für Windows-Betriebssysteme gibt es eine Vielzahl von verfügbaren Produkten. Hinweise dazu finden Sie unter Achtung: Eine Personal Firewall ersetzt nicht den Netzschutz am Eingang des Institutsnetzes. 5

6 Passwörter Die Kombination von Passwort und Benutzerkennung schützt zum einen persönliche Daten vor unbefugtem Zugriff, zum anderen aber auch den persönlichen Account vor Missbrauch. Letzteres ist um so wichtiger, als einfache Passwörter Hackern den denkbar einfachsten Weg bieten, in ein System einzudringen. Der Hacker wird im Namen des Account- Inhabers tätig! Deshalb sollten Passwörter immer folgende Bedingungen erfüllen: Ein Passwort ist mindestens acht Zeichen lang. Ein Passwort enthält kein zusammenhängendes Wort einer (auch fremden) Sprache und mindestens zwei Sonderzeichen, die auf allen Tastaturen vorhanden sind und nicht am Anfang oder Ende des Passwortes stehen sollten. Passwörter werden nicht notiert (oder sicher verwahrt). 6 VPN-Nutzung Der Einsatz von VPN-Software ermöglicht verschlüsselten und passwortgeschützten Datenverkehr. Durch das VPN- Netzwerk wird der Rechner in das Uni-Netz eingegliedert. Wird ein VPN-Klient am heimischen Rechner eingesetzt (DSL-Leitung, Modem... ), wird der Rechner mittels der VPN-Software zu einem virtuellen Uni-Rechner. So kann man beispielsweise das für den Einsatz im Büro konfigurierte -Programm ohne Änderung der Konfiguration auch zuhause nutzen. Sämtlicher Datenverkehr wird verschlüsselt. Ohne die VPN- Software ist eine vollständige Netzanbindung im WLAN der Universität Hannover nicht möglich.

7 Funkvernetzung (WLAN) Das Notebook erfreut sich immer größerer Beliebtheit. Insbesondere im Rahmen der Funkvernetzung an der Uni Hannover lockt der Einsatz mobiler Rechner. Da das Funknetz der Uni zumindest intern direkt von jedem genutzt werden kann, ist beim Einsatz von mobilen Rechnern besondere Vorsicht geboten. Betreiben Sie Ihr Gerät keinesfalls ohne aktuelle Antivirensoftware und Personal Firewall! Um das Funknetz nutzen und mit der Außenwelt Kontakt aufnehmen zu können, muss das Notebook über eine WLAN- Karte und zusätzlich über einen VPN-Klienten verfügen. Vertrauenswürdige Kommunikation durch digitale Signaturen Die Certification Authority der Universität Hannover (UH-CA) stellt digitale Zertifikate gemäß Standard X.509v3 aus. Diese Zertifikate ermöglichen eine vertrauenswürdige Kommunikation auch zwischen unbekannten Partnern. Wesentliches Element ist die asymmetrische Verschlüsselung. Hierbei wird für das Ver- und Entschlüsseln von Daten ein Schlüsselpaar benötigt: Der sogenannte Public Key wird veröffentlicht und steht so allen Kommunikationspartnern zur Verfügung, während der Private Key nur für den eigenen Zugriff bestimmt ist und vor Dritten verborgen gehalten werden muss. Durch die Signatur der CA wird im Zertifikat die Zusammengehörigkeit von Public Key und den Angaben des Schlüsselinhabers zu seiner Person beglaubigt. Mitarbeiter und Studierende der Universität Hannover können für folgende Anwendungsgebiete ein Zertifikat bei der UH-CA beantragen: 1. Signieren und Verschlüsseln von Das benötigte Schlüsselpaar zum Ver- und Entschlüsseln der 7

8 übertragenen Daten wird komfortabel von Ihrem Browser generiert, die Zertifizierung erfolgt nach einem persönlichen Treffen mit einem Mitarbeiter der Registrierungsstelle der UH-CA. 2. Server-Authentifizierung Verfügt Ihr Server über ein Serverzertifikat einer übergeordneten Instanz wie der UH-CA, können Ihre Benutzer die Authentizität des Servers (z.b. Webserver) eindeutig nachvollziehen. Arbeiten auch die Klienten mit einem Zertifikat, ist der gesicherte Datenaustausch nach Authentifizierung beider Kommunikationspartner gewährleistet. 3. Signieren von Programmcode Setzen Sie ein digitales Zertifikat zum Signieren von Programmcode ein, gewährleisten Sie, dass Sie eindeutig der Urheber sind und dass das Programm nicht von Dritten verändert wurde. Die UH-CA ist durch die Toplevel-CA des Deutschen Forschungsnetzes (DFN) zertifiziert und somit Teil der DFNweiten Public Key Infrastruktur (PKI). 8 IT-Sicherheit Tipps und Angebote des RRZN zum sicheren Betrieb von Rechnern im Netz der Universität Hannover Regionales Rechenzentrum für Niedersachsen Universität Hannover Schloßwender Straße 5 D Hannover Telefon Telefax security@rrzn.uni-hannover.de Internet