INFORMATIKZENTRUM DER SPARKASSEN- ORGANISATION GMBH. 1. IT-Grundschutztag Baustein Lotus Notes. Gerhard Müller. Bonn, 9.

Transkript

1 INFORMATIKZENTRUM DER SPARKASSEN- ORGANISATION GMBH 1. IT-Grundschutztag 2012 Baustein Lotus Notes Gerhard Müller Bonn, 9. Februar 2012 GmbH 2012 S. 1,

2 Zielsetzung des Projekts Überarbeitung des bestehenden IT-Grundschutz-Bausteins Lotus Notes mit dem Fokus auf die Versionen 8.0.x und 8.5.x der Lotus Notes/Domino- Plattform Berücksichtigung der IT-strategischen und technologischen Entwicklung der Lotus Notes/Domino Plattform und ihrer Auswirkungen auf die Informationssicherheit der Plattform Berücksichtigung der Weiterentwicklung der BSI-Standards, insbesondere des IT-Grundschutzes Inhaltlich sollte der Baustein, soweit möglich, die Kontinuität zu dem Vorgänger wahren und praxisbezogenes, anwendbares Know-How zur Notes- Absicherung und Auditierung vermitteln GmbH 2012 S. 2,

3 Notes/Domino-Entwicklungen seit Notes/Domino 5.5 Zunehmende Bedeutung der elektronischen Kommunikation führt zu zunehmendem Schutzbedarf von Diensten wie , Intranet-,Extranet-, Internet-Zugang Neuere Dienste wie Presence, Instant Messaging Architektur im Wandel: von Client-Server zu dienstebasierter Architektur Neue, zusätzliche Basistechnologie: Java inklusive WebSphere Neue, zusätzliche Entwicklungsumgebung auf Eclipse-Basis Anbindung an etablierte Plattformen des Herstellers und Einbeziehen von Standards Umfangreiche Integrationsmöglichkeiten, sowohl client-als auch serverseitig, Integration in ERP-Plattform von SAP über Alloy GmbH 2012 S. 3,

4 Komplexität: Dienste der Lotus Notes/Domino Plattform (1) -Dienste Notes Mail POP3-Mail SMTP-Mail IMAP-Mail Web-Dienste Webserver Instant Messaging und Presence News (NNTP) Web Services konform zum W3C-Standard SOAP 1.1 WebDAV GmbH 2012 S. 4,

5 Komplexität: Dienste der Lotus Notes/Domino Plattform (2) Datenbank-Dienste (inklusive Datenbankreplizierung und DB2- Anbindung) DAOS (Domino Attachment and Object Service) Groupware-Dienste (Kalender, Ressourcenplanung, ) Directory- und CA-Dienste (Dienste der Zertifikatshierarchie) inklusive LDAP-Schnittstelle GmbH 2012 S. 5,

6 Binsenweisheit, dennoch oft vergessen: Komplexität und Sicherheit sind sich spinnefeind ERP-Plattform Anwendungskomplexität DBMS Webserver CRM-System Application- Server Mail- Komponente Wo ist Notes/ Domino? GmbH 2012 S. 6, Sicherheitsrisiken

7 Herausforderungen (1) Lotus Notes/Domino ist keine Anwendung, sondern eine Plattform: Bereits in dem vorangegangenen Baustein ging es nicht um den Notes Client sondern den Verbund zwischen Lotus Domino Server und Lotus Notes Client Um den Rahmen des Grundschutzes nicht zu sprengen, wurden bereits beim vorangegangenen Baustein Abgrenzungen vorgenommen, vornehmlich durch die Einschränkung der betrachteten Architekturen Die Versionen 8.0 und 8.5 haben nicht nur einen technologischen Quantensprung vollzogen sondern beinhalten auch einen strategischen Richtungswechsel der IBM in Ansätzen weg von der proprietären Plattform und hin zu offenen Standards Die Möglichkeiten der Integration von Notes (sowohl server- als auch clientseitig) mit anderen Plattformen haben sich grundlegend verändert Die Weiterentwicklung der IT beeinflusst auch die Notes/Domino-Plattform Virtualisierung (Server, Clients, Netze) Dienstebasierte Architekturen und Anwendungsentwicklungsmodelle Zunehmende Öffnung proprietärer Produkte GmbH 2012 S. 7,

8 Herausforderungen (2) Der Umfang der Lotus Notes/Domino-Plattform hat sich erheblich vergrößert: Unterschiedliche Clients ( alter Notes-Client = Basic Client, Eclipse-basierter Client = Standard Client, administrativer Client, Entwickler-Client, mobiler Client = Lotus Notes Traveler, browserbasierter Client = inotes) Integration offener Standards und der Web 2.0-Welt wie XML-Standards, Blogs, Wikis, Eclipse Integration von Presence und Instant Messaging Integration von Workflow Zugriff auf Domino-Server nicht nur mit Notes möglich, sondern auch POP3/IMAP4- Clients, RSS-Reader, MS-Outlook Direkter Zugriff auf SAP über Alloy Erweiterung der Entwicklungsmöglichkeiten um das Portfolio der Eclipse-Plattform auf J2EE-Basis WebSphere-Integration DB2-Einbindung GmbH 2012 S. 8,

9 Beherrschung der Komplexität: divide et impera Die Lotus Notes/Domino-Plattform ist bei der Absicherung und Auditierung nicht als konfigurierbare Anwendung zu betrachten sondern als Baukastensystem Welches ist das Einsatzszenario und die verwendete Architektur der Lotus Notes/Domino-Umgebung? Ist die Gesamtarchitektur angemessen für das Einsatzszenario? Ist die Architektur angemessen in die vorhandene Sicherheitsarchitektur eingebettet? Welches sind die verwendeten Server-Komponenten und Dienste und ihre Konfiguration? Ist die Verteilung der Dienste auf Serverkomponenten (auch) unter Sicherheitsgesichtspunkten erfolgt? Ist die Parametrisierung der Serverkomponenten und Dienste sicher? Welches sind die verwendeten Client-Komponenten? Welches sind die verwendeten Kommunikationsprotokolle? GmbH 2012 S. 9,

10 Beispiel: Planungs- und Konzeptionsphase Planung des Einsatzes Architekturplanung unter Berücksichtigung von Sicherheitsaspekten Planung der Rolle von Lotus Notes/Domino im Identity Management Planung der Domänen- und Zertifikatshierarchie Planung administrativer Tätigkeiten für Lotus Notes/Domino Stellenwert von Lotus Notes/Domino in der BCM- und Notfallplanung Kommunikationssicherheit in der Lotus Notes/Domino-Umgebung GmbH 2012 S. 10,

11 Beispiel: Planungs- und Konzeptionsphase Sicherheitskonzeption Sicherheitsrichtlinie Sicherheitskonzept zur Domänen- und Zertifikatshierarchie Konzeption für die Nutzung der Notes/Domino-Sicherheitsmechanismen Verschlüsselung und Schlüsselmanagement, Zertifikate Notes-Id s Passwortrichtlinien Protokollierung und Auswertung Archivierung Absicherung von Diensten Sicherheitsgefährdungen durch Altanwendungen und ihre sicherheitsgefährdenden Konfigurationen Richtlinie für die Anwendungsentwicklung für die Notes/Domino-Plattform Richtlinie für die Anwendungsintegration mit der Notes/Domino-Plattform Schutz vor Schadprogrammen Nutzung von Push-Diensten (z.b. für Blackberry oder mit Lotus Notes Traveler) GmbH 2012 S. 11,

12 Beispiel: Beschaffung - Lizenzmanagement und Lizenzierungsaspekte in der Beschaffung Prozess für Lizenzierung und Lizenzmanagement erforderlich Lizenzmodelle zunehmend komplexer und damit undurchsichtiger Erfüllung aller Randbedingungen nicht trivial Änderungen von Lizenzmodellen und Nutzungsbedingungen Besonderheiten: Nutzung in virtuellen Umgebungen, die nur einen Teil der physischen Serverressourcen nutzt (z.b. VMWare) Passprt Virtualization Nutzung von Tools für Lizenzierung und Lizenzmanagement Lizenzierungsberichte und Lizenzierungsaudits Abhängig von Lizenzmodell ggf. Erstellung und Archivierung von Lizenzierungsberichten und Toolausgaben erforderlich Lizenzierungsaudits sind qualifiziert zu begleiten GmbH 2012 S. 12,

13 Maßnahmen: Überblick (1) Planung und Konzeption (W) Einführung in die Grundbegriffe und Sicherheit von Lotus Notes/Domino (A) Planung des Einsatzes von Lotus Notes/Domino (A) Sicherheitskonzeption für Lotus Notes/Domino (B) Integration der Lotus Notes/Domino-Umgebung in die vorhandene Sicherheitsinfrastruktur (W) Integration bestehender Anwendungen mit der Notes/Domino-Plattform Beschaffung (A) (B) Lizenzmanagement und Lizenzierungsaspekte in der Beschaffung für Notes/Domino Geeignete Auswahl von Komponenten für die Infrastruktur einer Lotus Notes/Domino-Umgebung Umsetzung (A) Sichere Installation von Lotus Notes/Domino (A) Sichere Konfiguration von Lotus Notes/Domino (A) Zielgruppenspezifische Schulungen zu Lotus Notes/Domino GmbH 2012 S. 13,

14 Maßnahmen: Überblick (2) Betrieb (A) Sicherer Betrieb der Lotus Notes/Domino-Umgebung (B) Archivierung für die Lotus Notes/Domino-Umgebung (B) Überwachung der Lotus Notes/Domino-Umgebung (A) Sicherheitsrelevante Protokollierung und Auswertung für Lotus Notes/Domino (A) Audit der Lotus Notes/Domino-Umgebung Aussonderung (A) Sichere Aussonderung der Lotus Notes/Domino-Umgebung Notfallvorsorge (A) Notfallplanung und Notfallübungen für die Lotus Notes/Domino-Umgebung GmbH 2012 S. 14,

15 Zuordnung von Maßnahmen zu Gefährdungen G 2.1 G 2.2 G 2.4 G 2.7 G 2.19 G2.26 G 2.37 G 2.38 G 2.40 G G 2.xx G 3.1 G 3.9 G 3.43 G 3.45 G 3.46 G 3.xx G 3.80 G 4.22 G 4.26 G 4.28 G 4.30 G 4.32 G 4.35 G 4.47 G 4.52 G 5.2 G 5.7 G 5.8 G 5.10 G 5.19 G 5.20 G 5.22 G 5.27 G 5.71 G 5.83 G 5.84 G 5.85 G 5.90 G G B M P1 PK W x 2 M PK A x x x x x x x x x 3 M PK A x x x x x x x x x x x x x x x x x x x x 4 M P2 PK B x x x x x x x x x x x x x x x x 5 M P3 PK W x x x x 6 M BE1 BE A x 7 M BE2 BE B x 8 M U1 BT A x x x x x x x x x x 9 M U2 BT A x x x x x x x x x x 10 M U3 BT A x x x x x 11 M BT A x x x x x 12 M B2 BT B x x 13 M B3 BT B x x x x x x x x 14 M B4 BT A x x x x x x x x x x x x x x x x x x x x x 15 M B5 BT A x x x x x x x x x x x x x x x x x x 16 M A1 AU A x 17 M N1 NV A x x x GmbH 2012 S. 15,

16 Vielen Dank für Ihre Aufmerksamkeit INFORMATIKZENTRUM DER SPARKASSEN- ORGANISATION GMBH Gerhard Müller Diplom-Informatiker INFORMATIKZENTRUM DER SPARKASSEN- ORGANISATION GMBH CISM, CISA, zertifizierter SAP NetWeaver Security Consultant, lizenzierter ISO Auditteamleiter auf Basis von IT-Grundschutz, IS-Revisor/IS-Berater auf Basis von IT-Grundschutz Simrockstr Bonn Telefon: +49 (228) Telefax: +49 (228) Gerhard.Mueller@SIZ.de Internet: GmbH 2012 S. 16,