in Theorie + Praxis Holger Rank

Transkript

1 Netzwerk und IT-Sicherheitskonzepte in Theorie + Praxis Vorstellung Holger Rank Project Manager HP Services Hewlett-Packard GmbH Kieler Straße Hamburg Tel: Holger.Rank@hp.com page 2 1

2 Agenda Vorstellung HP NSG + Security Services Themeneinführung Security BSI Security-Konzept Aufbau Security Lösungen und Komponenten Network Security inkl. Content/Virus Access / VPN Intrusion Detection Security Standard 802.1X Desktop / Device Security Security Gesamtbild page 3 HP Services Network Solution Group (NSG) Vorstellung 2

3 Network Solutions Group Deutschland Mitarbeiter an 10 Standorten in Deutschland Business Management und Development Sales und Sales Development Technical Consultants Projektmanager Service Consultants Cisco Spezialisierung HP Deutschland Wireless LAN Voice Access IP Telephony VPN und Security Content Networks Network Management Zertifizierungen HP Deutschland 14 CCIE s 8 CCDP s 14 CCNP s 3 CCDA s 4 CCNA s Hamburg Hannover Berlin Ratingen Köln Frankfurt Nürnberg Stuttgart-Echterdingen Sindelfingen München page 5 Netzwerk Lifecycle NSG Projekt- und Qualitymanagement Netzwerk Integrations Services Netzwerk Managed Services Netzwerk Support Planung Design Migration & Integration Betrieb & Erweiterung Support Netzwerk Projekt Management Installation Outtasking/Betrieb Netzwerk Account Betreuung Beratung Infrastruktur Beschaffung LAN Integrierter Lösungssupport Assessment Management Konfiguration & Distribution WAN Netzwerk Lösungssupport Security Installation & Abnahme Security Netzwerk Verfügbarkeitssupport Web Infrastruktur Netzwerk HW & SW Support NSG Leistungen MS NSG page 6 3

4 NSG Fokusthemen Integrierte Service Architekturen i-building Network Infrastructure Campus LAN WAN, CDN Unternehmensweite Netzwerkstruktur Agile Network Architecture VPN Internet based VPN DWDM Devices Optical Networking IP Voice Services IP Telephony IP Contact Center WLAN HotSpot Mobile & Wireless Security Security Policy page 7 Überblick HP Netzwerk Services Consulting Assessments Cisco AS inside Monitoring NAS NCS HW Service Netzwerkplanung, Konzeptentwicklung Security Consulting, PKI Netzwerktrends, künftige Entwicklungen Netzwerk Ist-Aufnahmen & Dokumentation Analysen, Empfehlungen & Design-Ansätze Entscheidungsvorbereitung & Planungsunterstützung Kombination aus HP NAS & Cisco Service Dedizierter Ansprechpartner bei Cisco Cisco: SW Strategie, Performance, NW Design Network Monitoring = NAS plus Remote Netzwerk Überwachung Detailliertes Reporting Network Availability Support = NCS Plus Dedizierte Ansprechpartner im Supportcenter Netzwerk Supportplan Network Connectivity Support Problemmanagement: Single Point of Contact Remote Support mit Network Support Tool Problembehebung per Telefon / Internet Onsite Hardware Service verschiedene Level Zugriff auf Knowledge Database page 8 4

5 HP Security Themen Security Checks / Basis Sicherheitschecks Security Konzepte Security Reviews Network Security Application/System Security Security Virus und Content Security VPN / Session Encryption Security / PKI page 9 Themeneinführung Security Themeneinführung Security Security-Konzept Aufbau BSI Security-Konzept Security Lösungen und Komponenten Network Security Access / VPN Intrusion Detection Security Standard 802.1X Desktop / Device Security Security Gesamtbild 5

6 Themeneinführung Security Warum brauchen wir Security Lösungen? Die Firmen müssen die Vertraulichkeit, Integrität sowie die Verfügbarkeit der IT-Systeme und Daten sicherstellen Ein Imageschaden wäre für die meisten Firmen existenzbedrohlich Datenschutzauflagen der Regierung und Länder page 11 Themeneinführung Security Was sind die Gefahren die uns bedrohen? Keine sicherheitssensiblen Mitarbeiter kein Sicherheitsbewusstsein - wichtige Daten liegen frei zugänglich Informationen werden unbeabsichtigt nach außen getragen die offene Tür des Büros Fremde Personen im Gebäude Notizen über Passwörter Schwache Passwortverfahren - alle verwenden das gleiche Passwort page 12 6

7 Themeneinführung Security Was sind die Gefahren die uns bedrohen? Der gezielte Angriff von innen auf Firmendaten 60-80% der Angriffe kommen von innen! Beispiel: bewusstes platzieren von Fehlern z.b. in der Datenbank gezielte Angriff von außen auf Firmendaten Das neue Produkt Konkurrenz - Konkurrenten ausschalten Bei Schulen Angriffe der Schüler/Studenten auf die Zensurdatenbank, Klausuren usw. page 13 Themeneinführung Security Restriktive Policy Offene Policy One-Time Password Geschlossene Policy User ID/Password Security Policy Digitale Signatur Corporate Security Application Security 7

8 Themeneinführung Security Wie sieht die Lösung aus? page 17 Themeneinführung Security Was fehlt? ein Sicherheitskonzept page 18 8

9 Security-Konzept Aufbau Themeneinführung Security Security-Konzept Aufbau BSI Security-Konzept Security Lösungen und Komponenten Network Security Access / VPN Intrusion Detection Security Standard 802.1X Desktop / Device Security Security Gesamtbild Themeneinführung Security Der Inhalt eines Security Konzeptes 1. Ist-Aufnahme aller IT-Systeme 2. Schutzbedarfsfeststellung 3. Bedrohungsanalyse 4. Anforderungskatalog 5. Einteilen in Sicherheitsbereiche 6. Mögliche Sicherheitsmaßnahmen 7. Empfohlenen Sicherheitsmaßnahmen 8. Stufenkonzept page 20 9

10 BSI Security- Konzept Vorgehensmodell Themeneinführung Security Security-Konzept Aufbau BSI Security-Konzept Security Lösungen und Komponenten Network Security Access / VPN Intrusion Detection Security Standard 802.1X Desktop / Device Security Security Gesamtbild Ist-Situation Schutzbedarfsfeststellung Bedrohungsanalyse Anforderungskatalog Einteilen in Sicherheitsbereiche Mögliche Sicherheitsmaßnahmen Empfohlene Sicherheitsmaßnahmen Stufenplan 10

11 Ist-Situation Netzwerkstrukturen Betriebssysteme Anwendungen Dateninhalte Kommunikationsverhalten Schutzanforderungen Wie sieht die Policy heute aus? Wie ist das Sicherheitsgefühl? page 23 Ist-Situation Schutzbedarfsfeststellung Bedrohungsanalyse Anforderungskatalog Einteilen in Sicherheitsbereiche Mögliche Sicherheitsmaßnahmen Empfohlene Sicherheitsmaßnahmen Stufenplan 11

12 Schutzbedarfsfeststellung Erfassung aller IT-Systeme page 25 Schutzbedarfsfeststellung Erfassung der schutzbedürftigen IT-Anwendungen page 26 12

13 Schutzbedarfsfeststellung Feststellung des Schutzbedarfs für jedes IT-System page 27 Ist-Situation Schutzbedarfsfeststellung Bedrohungsanalyse Anforderungskatalog Einteilen in Sicherheitsbereiche Mögliche Sicherheitsmaßnahmen Empfohlene Sicherheitsmaßnahmen Stufenplan 13

14 Bedrohungsanalyse page 29 Ist-Situation Schutzbedarfsfeststellung Bedrohungsanalyse Anforderungskatalog Einteilen in Sicherheitsbereiche Mögliche Sicherheitsmaßnahmen Empfohlene Sicherheitsmaßnahmen Stufenplan 14

15 Anforderungskatalog Der Anforderungskatalog ist geprägt durch die Anforderungen der Sicherheitspolitik (Policy) und des Datenschutzes Basis für den Anforderungskatalog ist das Abschlussdokument der Schutzbedarfsfeststellung Ziel des Anforderungskataloges ist die genaue Beschreibung der Anforderungen eines oder einer Gruppe von IT-Systemen an das Sicherheitskonzept page 31 Anforderungskatalog Die einzusetzenden Sicherheitskriterien Verlust der Vertraulichkeit Daten werden bekannt Verlust der Integrität Daten werden verändert und verfälscht Verlust der Verfügbarkeit Systemstillstand page 32 15

16 Ist-Situation Schutzbedarfsfeststellung Bedrohungsanalyse Anforderungskatalog Einteilen in Sicherheitsbereiche Mögliche Sicherheitsmaßnahmen Empfohlene Sicherheitsmaßnahmen Stufenplan Sicherheitsbereiche Zweck von Sicherheitsbereichen: Schaffung einer klaren Sicherheitstopologie und IT- Infrastruktur Einbringen von Kontrollstrukturen beim Übergang von einem zum anderen Sicherheitsbereich Zusammenfassen von IT-Systemen mit gleichem Schutzbedarf Bildung klarer Kommunikationsflüsse Definition der anzuwendenden Sicherheitsmaßnahmen wie z.b. Verschlüsselung Kosteneinsparungen page 34 16

17 S D SD SD S D SD S D SD Sicherheitsbereiche Sicherheitsbereich Internet Services WWW Server SMTP Mail Gesichertes Netz FTP Server Schutzbedarf: HOCH Sicherheitsbereich Hausnetz private Client SD MS Exchange Server Client GS-Netz Client Win2000 Server Laserdrucker Client Drucker Schut zbedarf: SEHR HOCH Kein Schutzbedarf 2 Mbit Festverbindung zum Internet Sicherheitsbereich Public page 35 Ist-Situation Schutzbedarfsfeststellung Bedrohungsanalyse Anforderungskatalog Einteilen in Sicherheitsbereiche Mögliche Sicherheitsmaßnahmen Empfohlene Sicherheitsmaßnahmen Stufenplan 17

18 SD SD SD D S D Mögliche Sicherheitsmaßnahmen Hier werden alle möglichen Grundschutz- Sicherheitsmaßnahmen für ein IT-System benannt Als Basis dient das BSI Grundschutzhandbuch (BSI GSHB) Die BSI GSHB Maßnahmen werden unterteilt in Infrastruktur Organisation Personal Hard- / Software Kommunikation Notfallvorsorge Tiefergehende Maßnahmen als die des BSI-GSHB page 37 Mögliche Sicherheitsmaßnahmen Beispiel für ein Sicherheitsbereich Sicherheitsbereich Hausnetz Client S Client Client Client GS-Netz MS Exchange Server Win2000 Server Drucker Laserdrucker Schutzbedarf: SEHR HOCH page 38 18

19 Mögliche Sicherheitsmaßnahmen Extranet VPN Beispiel für eine Maßnahme Sales & Marketing Finance Manufacturing Corporate Network Internet Server World Wide Web File Transfer Internet Gateway Internet Internet Mobile User Customers Partners Remote Site page 39 Ist-Situation Schutzbedarfsfeststellung Bedrohungsanalyse Anforderungskatalog Einteilen in Sicherheitsbereiche Mögliche Sicherheitsmaßnahmen Empfohlene Sicherheitsmaßnahmen Stufenplan 19

20 Empfohlene Sicherheitsmaßnahmen Beispiele... Einsatz von VPNs mit Verschlüsselung Bildung verschiedener Sicherheitsbereiche wie z.b. DMZ (Demilitarisierte Zone) Einsatz von s inkl. Proxies für Content Checking Virusscanning Mail und Traffic Entkopplung Intrusion Detection Systeme page 41 Ist-Situation Schutzbedarfsfeststellung Bedrohungsanalyse Anforderungskatalog Einteilen in Sicherheitsbereiche Mögliche Sicherheitsmaßnahmen Empfohlene Sicherheitsmaßnahmen Stufenplan 20

21 Stufenplan Der Stufenplan definiert die zeitliche Vorgehensweise unterteilt in: kurzfristige Umsetzung mittelfristige Umsetzung langfristige Umsetzung page 44 Security Lösungen und Komponenten Themeneinführung Security Security-Konzept Aufbau BSI Security-Konzept Security Lösungen und Komponenten Network Security Access / VPN Intrusion Detection Security Standard 802.1X Desktop / Device Security Security Gesamtbild 21

22 Network Security Themeneinführung Security Security-Konzept Aufbau BSI Security-Konzept Security Lösungen und Komponenten Network Security Access / VPN Intrusion Detection Security Standard 802.1X Desktop / Device Security Security Gesamtbild Network Security Primary Data Center WAN Distributed Data Center Content Delivery Node Content Delivery Node User Community page 50 22

23 Themeneinführung Security Security-Konzept Aufbau BSI Security-Konzept Security Lösungen und Komponenten Network Security Access / VPN Intrusion Detection Security Standard 802.1X Desktop / Device Security Security Gesamtbild Überblick Paket Filter (Router, Switches) Stateful Inspection Application Gateway Kombination aus allen Verschiedene technische FW-Konzepte Lösungen für spezielle Erfordernisse page 57 23

24 Paketfilter Paket Filter Public Network Private Network page 58 Typ 1 - Standard Public Network Private Network page 59 24

25 Typ 2 Standard DMZ Public Network Ethernet Private Network DMZ page 60 Typ 3 2x FW Ethernet Public Network DMZ Private Network page 61 25

26 Typ 4 FW + PF Paket Filter Public Network Ethernet Private Network DMZ page 62 Typ 5 Kryptokom (Utimaco) Paket Filter Paket Filter Public Network Paket Filter Ethernet Private Network DMZ page 63 26

27 Redundanz Einfach (Appliance) active SYNC-Link Public Network Private Network standby page 64 Redundanz Software active SYNC-Link Public Network Private Network active page 65 27

28 Sicherheitsverständnis Sicherheit = ist nicht genug!!! Internet page 68 Access / VPN Themeneinführung Security Security-Konzept Aufbau BSI Security-Konzept Security Lösungen und Komponenten Network Security Access / VPN Intrusion Detection Security Standard 802.1X Desktop / Device Security Security Gesamtbild 28

29 ISDN Dial-In Konzentration Zentrale Cisco 3640 Zweigstelle Cisco PRI or 1-10 BRI ISDN 1-8 PRI or 1-26 BRI Cisco 700 Cisco PRI or 1-10 BRI Cisco 800 Home-Office page 70 ISDN, GSM, Analog Access GSM GSM Mobile ISDN ISDN + Analog Analog GSM Phone Access Router + Intranet des Kunden RADIUS Server Kunden Intranet Server + Services page 71 29

30 VPN Extranet Business Partner Mobile User POP Internet VPN HomeUser DSL Cable Central Site Site-to-Site Remote Office page 72 Und nun... alles zusammen: ISDN, Analog, GSM, GPRS, Wireless LAN und VPN page 73 30

31 ISDN GSM Analog ISDN Internet ISDN ISDN + Analog Analog Compaq ipaq Pocket PC Inkl. GPRS Jacket GSM-Netz GPRS-Gateway Access Router DMZ des Kunden Notebook GSM/GPRS Phone T-Data IP-VPN Frame Relay Authentisierter und Verschlüsselter Bereich RADIUS Server Kunden Intranet Server + Services page 74 VPN Überblick 31

32 Virtual Private Networks Use encryption to secure data across an untrusted network Provides confidentiality and integrity Extend our private network to mobile users page 76 Cisco Site-to-Site VPNs Access CPE - Remote Site Cisco VPN-Optimized Routers - 800, 1700, 2600, 3600, 7100 Cisco Broadband Access Platforms Cable Modem, ubr DSL Modem Enterprise - Central Site Cisco VPN Routers - 7x00: Routing + VPN Cisco Secure PIX : ing DSL Cable POP Internet VPN Intranet Extranet Business-to-Business GRE Tunnel Central Site Breiteste VPN Implementation Anforderungsspezifische Skalierbarkeit, Routing Protokolle, Multicast, Multiprotokoll Vielfältigste VPN Funktionalität in der Cisco IOS Software QoS Funktionalitäten page 77 32

33 Remote Access VPNs: Cisco VPN 3000 Concentrator Remote Access Client Cisco VPN Clients Microsoft Win 2000 (IPsec, PPTP) Microsoft Win 9x/NT (PPTP) DSL Cable Telecommuter Mobile POP POP Extranet Consumer-to-Business Internet VPN Enterprise - Central Site WAN Router - 7x00: Routing Cisco Secure PIX : ing Cisco VPN Concentrator: VPN Tunnel Termination Router Concentrator PIX Integrierte Lösung für sicheren Remote Access Standard-basierte Interoperabilität zentrales Client Management (push) page 78 Cisco -Based VPN Access CPE - Remote Site Cisco Secure PIX 506/515 Enterprise - Central Site Cisco VPN Routers - 7x00: Routing Cisco Secure PIX 520: ing + VPN Internet VPN Central Site Intranet Extranet Business-to-Business Alternative VPN Lösung Lösung für Unternehmen mit s als Basis für VPNs page 79 33

34 Citrix VPN Lösung Homeworker Homeworker VPN CITRIX Server Farm SAP ISDN Modem GSM Internet Lokale Thin Clients Datenbanken Mobile User Mobile User Hausnetz Fileserver page 80 Intrusion Detection Themeneinführung Security Security-Konzept Aufbau BSI Security-Konzept Security Lösungen und Komponenten Network Security Access / VPN Intrusion Detection Security Standard 802.1X Desktop / Device Security Security Gesamtbild 34

35 Was ist Intrusion Detection? Erkennung von Angriffsversuchen Einbrüchen Schadensumfang Viren Zielgenaue Analyse page 82 IDS - Baustein zur Verteidigung Hostsensoren Netzsensoren Zentraler Log und Management Server Alarming Correlation page 83 35

36 Übersicht: Intrusion Detection IDS IDS IDS IDS IDS Console IDS Network Agent System Agent page 89 IDS Management Zentrales Management für alle IDS Sensoren Zentrale Auswertung von Log-Files (auch 3rd Party) Alarmfunktionen ( , Pager, SNMP usw.) Angriffsreporting Automatischer Soft- und Regelupdate Download vom Hersteller Automatische Soft- und Regelupdates für alle IDS Sensoren page 90 36

37 Intrusion Detection, Router, Host log files... Dragon Squires & Server IDS Console Enterasys IDS Signature X Vendor C Signature C Vendor C Signature B Vendor C Signature A Vendor C Signature A Enterasys IDS Signature Y Internet Console Enterasys IDS Signature Z page 91 Security Standard 802.1X Themeneinführung Security Security-Konzept Aufbau BSI Security-Konzept Security Lösungen und Komponenten Network Security Access / VPN Intrusion Detection Security Standard 802.1X Desktop / Device Security Security Gesamtbild 37

38 IEEE 802.1x Standard verabschiedet Juni 2001 Port based Network Access Control Definiert Authentication Framework Mechanismen zur Zugangskontrolle Verschiedene Level zur Zugangskontrolle Verhalten der Ports innnerhalb dieser Level (transmission, reception of frames) Protokolle zur Kommunikation zwischen Authenticator und Authentication Server Ermöglicht interoperable Benutzer-Identifikation, zentralisierte Authentisierung, Key Management Nutzt existierende Standards: EAP, RADIUS, MD5 Compatibel mit existierende Roaming Technologien, ermöglicht Nutzung in Hotel und öffentlichen Plätzen Unterstützt wird Ethernet, Token Ring und IEEE (Wireless) page 93 IEEE 802.1x Funktionsweise Decodieren der Role und Ausführen der Klassifizierung Directory/Role Vergleich Web-based oder EAP Login Policy Manager Definition und Verteilung von Profilen Radius Authentication Verbindungsfreigabe RADIUS Server Hausnet z NOS/ Directory page 94 38

39 Desktop / Device Security Themeneinführung Security Security-Konzept Aufbau BSI Security-Konzept Security Lösungen und Komponenten Network Security Access / VPN Intrusion Detection Security Standard 802.1X Desktop / Device Security Security Gesamtbild Desktop Security Normales Username / Password Verfahren reicht nicht Einfaches aber sicheres Verfahren notwendig Rechtevergabe auf Basis der Policy (LDAP/AD) Bereitstellung von Applications nach Userpolicy Besitztum und Wissen als Passwort (Smartcard + PIN) Einsatz von biometrischen Verfahren (Fingerprint, Iris Scan usw.) Single SignOn page 96 39

40 Desktop Security Devices Alle IT-Systeme! Server PC s Terminals PDA Notebooks Unix Systeme Other System (VMS usw.) page 97 Mögliche Verfahren One Time Password - SecureID Token SmartCard Fingerprint Reader (Builtin, Mouse, PCMCIA) Iris Scan (Festinstallation / Zugangsschutz) Spracheingabe Handy SMS Verfahren USB Dongles Sonstige Dongles (Serial usw.) Zielsetzung: So einfach und komfortable wie möglich für den User!!! page 98 40

41 Einsatzgebiete Natürlich Benutzeranmeldung am System Remote Access VPN / Anmeldung Lokale und Remote Datenverschlüsselung Verschlüsselung und Signatur HBCI HomeBanking Zugangssysteme z.b. RZ PDA Öffentliche Terminals z.b. in Schalterhalle d. Bank page 99 Desktop Security weitere Maßnahmen Lokale Virenscanner mit automatischen Update Lokale Festplattenverschlüsselung (Notebook) in Hard- oder Software Bios Passwort Keine FileShares freigeben!! Personal sehr wichtig! Wirkliche Rechtevergabe für Access und Filezugriff lokal und remote Regelmäßige lokale Backups oder generelle Fileablage auf dem sicheren Fileserver Persönlich auf sein Device achten (Sperren usw.) page

42 Security Gesamtbild Themeneinführung Security Security-Konzept Aufbau BSI Security-Konzept Security Lösungen und Komponenten Network Security Access / VPN Intrusion Detection Security Standard 802.1X Desktop / Device Security Security Gesamtbild Gesamtbild Security betrifft alle Bereiche einer Infrastruktur Security ist keine Einzellösung! (nicht nur ) Security beinhaltet organisatorische wie technische Maßnahmen Security muss Abteilungsübergreifend in den Firmen betrachtet werden Einen 100% Schutz gibt es nicht, aber einen recht hohen Schutz! Security ist immer ein Kompromiss Schaden: 1. Image, 2. Wirtschaftlich!!! page

43 43