Berlin, Netzwerksicherheit. gefördert durch das. IT-Sicherheit Netzwerksicherheit 1. Copyright 2006: Uwe Stache

Transkript

1 Berlin, Netzwerksicherheit gefördert durch das 1

2 Zur Person Geschäftsführer BERLIN-ONE.net Internet Serviceprovider mit eigener Serverfarm in Berlin Vorstand BCIX e.v. Internetknoten Berlin-Brandenburg Partner ecomm Kompetenzzentrum für elektronischen Geschäftsverkehr Gründungsmitglied We-Make-IT BerlinBrandenburger IT-Standortinitiative 2

3 Agenda Problemstellung Aufbau eines Firmennetzes Netzwerkbereiche Massnahmen 3

4 Standard heute DSL- bzw. ISDN-Anbindung, meist dauerhaft Verbindung über DFÜ-Netzwerk oder Router Virenscanner Häufig Personal Firewall Software IE/Outlook (Express) 4

5 Gefühlte Bedrohungen Ärger über SPAM Eigenleben der PC Langsame Netze Verunsicherung durch Publikationen über Würmer/Pishings/Trojaner/Datenverlust 5

6 Reale Bedrohungen [ I ] Image- bzw. juristische Probleme wegen realer oder gefakter s ausgehend vom Firmenaccount From - Thu May 19 08:51: X-Account-Key: account2 X-UIDL: UID X-Mozilla- Status: 0001 X-Mozilla-Status2: Return-Path: < D.P.Telefaxs.axt@wirtschaftsrat.de> Received: from localhost (localhost [ ]) by mail1.bb-one.net (Postfix) with ESMTP id 7CE7A106C0DF for <uwe.stache@stache.de>; Thu, 19 May :42: (CEST) Received: from mail1.bb-one.net ([ ]) by localhost (mail1.corporat .net [ ]) (amavisd-new, port 10024) with ESMTP id for <uwe.stache@stache.de>; Thu, 19 May :42: (CEST) Received: from porky.im-netz.de (mm1.im-netz.net [ ]) by mail1.bb-one.net (Postfix) with ESMTP id 2F87D106C079 for <uwe.stache@stache.de>; Thu, 19 May :42: (CEST) Received: by flachpost.im-netz.de (8.13.3/nora ) with SMTP from chqxich.de (pd9e7a6f5.dip.t-dialin.net [ ]) (envelope-from D.P.Telefaxs.axt@wirtschaftsrat.de) id j4j6c28t018749; Thu, 19 May :38: From: D.P.Telefaxs.axt@wirtschaftsrat.de 6

7 Mögliche Konsequenzen [ I ] Lernende SPAM-Filter interpretieren Absender als SPAM-Versender s verschwinden im SPAM-Filter Juristische Konsequenzen gegen realen Versender= Besitzer des gehackten/kompromittierten PC Access-Provider landet in RBL [ Realtime Blocking List ] 7

8 Gegenmassnahmen [ I ] Abkehr von Sensations- bzw. unqualifizierter Information Akzeptanz der Realität Einsatz von sinnvollen Werkzeugen Verhaltensänderungen 8

9 Konkretes [ I ] Wie können Arbeitsplatz-PC zu Mailservern werden? Weil Windows-PC Programminstallationen ohne Benutzereingriff ermöglichen... Unsichere Mailclients verwendet werden... Verfügbare Werkzeuge nicht oder falsch eingesetzt werden 9

10 Reale Bedrohung [ II ] PC und Server entwickeln Eigenleben Rechner öffnen sich gegenüber anderen Rechner sind möglicherweise kompromittiert 10

11 Mögliche Konsequenzen [ II ] Bestehender Zugriff auf Firmendaten Löschen Verändern Einsichtnahme Verwendung der Rechner für Zwecke Dritter SPAM-Absender DDOS 11

12 Gegenmassnahmen [ II ] Anpassbarer Zugriffsschutz für gesamtes Netzwerk mit Auswertung Einsatz weniger unsicherer Mail- und Web-Clients Betrieb von Windows-PC im Nicht-Administrator-Modus Regelmässiger sinnvoller Einsatz von Scannern 12

13 Netzwerk 13

14 Definitionen [ LAN ] Lokales Netzwerk KEIN Zugriff aus WAN Definierte Zugriffe aus DMZ und WLAN ( idealer Weise keine ) Definierte Zugriffs-Rechte in WAN 14

15 Definitionen [ DMZ ] Demilitarisierte Zone Ist Teil von WAN UND von LAN Ist aus WAN definiert erreichbar Hat Schlupflöcher zum LAN 15

16 Definitionen [ WLAN ] Wireless LAN Wie LAN, jedoch: ACL in Firewall via MAC-Adresse [ Access Control List ] Authentifizierung via WPA-PSK [ minimal ] Datenverschlüsselung Aus WLAN kein Zugriff auf LAN 16

17 Definitionen [ Firewall ] Hardware- und regelbasierte Netztrennung Drei oder vier Zonen Regeln frei definierbar Logging Zusatzfunktionen: Proxy SPAM-/Virenfilter Routerfunktion 17

18 LAN Massnahmen PC Virenscanner Trojanerscanner Läuft im Usermode Server Regelmässiges Backup Scanner (s.o.) Datenträger-Check Sinnvolle Freigaben 18

19 WLAN Massnahmen Laptop Virenscanner Trojanerscanner Läuft im Usermode Datenverschlüsselung Bootkontrolle 19

20 WAN 20

21 DMZ Massnahmen PBX Zugriff nur lokal Server Regelmässiges Backup Scanner (s.o.) Datenträger-Check Sinnvolle Freigaben 21

22 Vielen Dank für Ihr Interesse! 22