IT-Grundschutz Einführung und Anwendung auf Datenbanken

Transkript

1 IT-Grundschutz Einführung und Anwendung auf Datenbanken 16.Oktober 2012 DOAG IT-Sicherheit, Köln Prof. Dr. Dirk Loomans, Mainz

2 Durchbruch bei Ford Automobiles Die Whiz Kids bringen den Erfolg Loomans & Matz AG Folie 2

3 Grundlagen zum IT-Grundschutz

4 Grundlagen zum IT-Grundschutz Allgemeines Der IT-Grundschutz nach BSI betrachtet Verfügbarkeit, Integrität, und Vertraulichkeit der technischen IT. Perimetrie (Sabotage, technisches Versagen der Kontrollen und Versorgungseinheiten) Daten (unerlaubter/unberechtigter Zugriff) Hard- und Software (Informationsübertragung, -verarbeitung) Einhalten der gültigen Gesetze Verträglichkeit der Risikominderungsmaßnahmen mit den IT-Prozessen IT-Risk-Management geht weiter als dieser technische Ansatz! Loomans & Matz AG Folie 4

5 Grundlagen zum IT-Grundschutz Allgemeines Das "IT-Grundschutzhandbuch" heißt seit der Version 2005 IT-Grundschutz-Kataloge Die IT-Grundschutz-Kataloge beinhalten die Baustein-, Maßnahmen- und Gefährdungskataloge Die Vorgehensweise nach IT-Grundschutz, Ausführungen zum IT- Sicherheitsmanagement und zur Risikoanalyse sind in den BSI-Standards zu finden. Loomans & Matz AG Folie 5

6 Grundlagen zum IT-Grundschutz BSI-Standard Managementsysteme für Informationssicherheit (ISMS) definiert allgemeine Anforderungen an ein ISMS. Er ist vollständig kompatibel zum ISO Standard und berücksichtigt weiterhin die Empfehlungen der ISO-Standards und Loomans & Matz AG Folie 6

7 Grundlagen zum IT-Grundschutz BSI-Standard IT-Grundschutz-Vorgehensweise beschreibt Schritt für Schritt, wie IT-Sicherheitsmanagement in der Praxis aufgebaut und betrieben werden kann. Die Aufgaben des IT-Sicherheitsmanagements und der Aufbau einer IT-Sicherheitsorganisation sind dabei wichtige Themen. Loomans & Matz AG Folie 7

8 Grundlagen zum IT-Grundschutz BSI-Standard Risikoanalyse auf der Basis von IT-Grundschutz enthalten Standard-Sicherheitsmaßnahmen aus den Bereichen Organisation, Personal, Infrastruktur und Technik. Loomans & Matz AG Folie 8

9 Grundlagen zum IT-Grundschutz BSI-Standard Notfall-Management Zeigt einen systematischen Weg auf, um bei Notfällen der verschiedensten Art adäquat und effizient zu reagieren und die wichtigen Geschäftsprozesse schnell wieder aufnehmen zu können. Loomans & Matz AG Folie 9

10 Grundlagen zum IT-Grundschutz IT-Grundschutz Kataloge Bausteine Gefährdungskataloge Maßnahmenkataloge B 1: Übergreifende Aspekte der Informationssicherheit B 2: Sicherheit der Infrastruktur B 3: Sicherheit der IT-Systeme B 4: Sicherheit im Netz B 5: Sicherheit in Anwendungen G 1: Höhere Gewalt G 2: Organisatorische Mängel G 3: Menschliche Fehlhandlungen G 4: Technisches Versagen G 5: Vorsätzliche Handlungen M 1: Infrastruktur M 2: Organisation M 3: Personal M 4: Hard- und Software M 5: Kommunikation M 6: Notfallvorsorge Loomans & Matz AG Folie 10

11 Sicherheitskonzeption (BSI Standard 100-2)

12 Sicherheitskonzeption (BSI-Standard 100-2) Sicherheitsprozess Loomans & Matz AG Folie 12

13 Sicherheitskonzeption (BSI-Standard 100-2) Strukturanalyse Netzplanerhebung (1) Definition des Geltungsbereichs (2) Strukturanalyse (3) Schutzbedarfsfeststellung (4) Modellierung (5) Basis-Sicherheitscheck (6) Ergänzende Sicherheitsanalyse (7) Umsetzung von Sicherheitskonzepten (8) Sicherheitsrevision (9) Zertifizierung nach ISO auf Basis von IT-Grundschutz Erfassung der Anwendungen Erfassung der IT-Systeme Erfassung der Räume Quelle: BSI Loomans & Matz AG Folie 13

14 Sicherheitskonzeption (BSI-Standard 100-2) Strukturanalyse: Bereinigter Netzplan Internet S2: Primärer Domänen- Controller (Windows NT) S3: Exchange- Server (Windows NT) S4: File- Server (Novell Netware) S5: Kommunikations- Server (Unix) S6: Backup Domänen- Controller (Windows NT) N1: Router N3: Switch IP IP N7: Switch N2: Firewall N4: Switch N5: Router Standleitung N6: Router S1: Server für Personalverwaltung (Windows NT) C1: 5 Client- Computer für Personalverwaltung (Windows NT) C2: 10 Client- Computer für Verwaltung (Windows NT) C3: 75 Client- Computer für Fachabteilungen (Windows NT) C4: 40 Client-Computer (Windows NT) Liegenschaft Bonn Liegenschaft Berlin Loomans & Matz AG Folie 14

15 Sicherheitskonzeption (BSI-Standard 100-2) Strukturanalyse: Erfassung der IT-Systeme Loomans & Matz AG Folie 15

16 Sicherheitskonzeption (BSI-Standard 100-2) Strukturanalyse: Erfassung der IT-Anwendungen Loomans & Matz AG Folie 16

17 Sicherheitskonzeption (BSI-Standard 100-2) Schutzbedarfsfeststellung Definition der Schutzbedarfskategorien (1) Definition des Geltungsbereichs (2) Strukturanalyse (3) Schutzbedarfsfeststellung (4) Modellierung (5) Basis-Sicherheitscheck (6) Ergänzende Sicherheitsanalyse (7) Umsetzung von Sicherheitskonzepten (8) Sicherheitsrevision (9) Zertifizierung nach ISO auf Basis von IT-Grundschutz SB-Feststellung der Anwendungen SB-Feststellung der IT-Systeme SB-Feststellung für Räume SB-Feststellung der Kommunikationsverbindungen Quelle: BSI Loomans & Matz AG Folie 17

18 Sicherheitskonzeption (BSI-Standard 100-2) Schutzbedarfsfeststellung: Schutzbedarfskategorien Ziel der Schutzbedarfsfeststellung ist es, für jede erfasste IT-Anwendung einschließlich ihrer Daten zu entscheiden, welchen Schutzbedarf sie bezüglich Vertraulichkeit, Integrität und Verfügbarkeit besitzt. Dieser Schutzbedarf orientiert sich an den möglichen Schäden, die mit einer Beeinträchtigung der betroffenen IT-Anwendung verbunden sind. Da der Schutzbedarf meist nicht quantifizierbar ist, beschränkt sich der IT-Grundschutz im Weiteren auf eine qualitative Aussage, indem der Schutzbedarf in drei Kategorien unterteilt wird: Loomans & Matz AG Folie 18

19 Sicherheitskonzeption (BSI-Standard 100-2) Schutzbedarfsfeststellung: IT-Anwendungen Loomans & Matz AG Folie 19

20 Sicherheitskonzeption (BSI-Standard 100-2) Schutzbedarfsfeststellung: IT-Systeme Es müssen die Ergebnisse für die Anwendungen auf die betroffenen IT- Systeme übertragen werden. Zu beachten sind: Maximumprinzip Abhängigkeiten, Kummulationseffekte, aber auch Verteilungseffekte Loomans & Matz AG Folie 20

21 Sicherheitskonzeption (BSI-Standard 100-2) Schutzbedarfsfeststellung: IT-Systeme Loomans & Matz AG Folie 21

22 Sicherheitskonzeption (BSI-Standard 100-2) Schutzbedarfsfeststellung: Kommunikationsverb. Loomans & Matz AG Folie 22

23 Sicherheitskonzeption (BSI-Standard 100-2) Schutzbedarfsfeststellung: IT-Räume Loomans & Matz AG Folie 23

24 Sicherheitskonzeption (BSI-Standard 100-2) Modellierung Modellierung übergreifender Aspekte (1) Definition des Geltungsbereichs (2) Strukturanalyse (3) Schutzbedarfsfeststellung (4) Modellierung (5) Basis-Sicherheitscheck (6) Ergänzende Sicherheitsanalyse (7) Umsetzung von Sicherheitskonzepten (8) Sicherheitsrevision (9) Zertifizierung nach ISO auf Basis von IT-Grundschutz Modellierung der Infrastruktur Modellierung der IT-Systeme Modellierung der Netze Modellierung der Anwendungen Quelle: BSI Loomans & Matz AG Folie 24

25 Sicherheitskonzeption (BSI-Standard 100-2) Modellierung Loomans & Matz AG Folie 25

26 Sicherheitskonzeption (BSI-Standard 100-2) Basis-Sicherheitscheck (1) Definition des Geltungsbereichs (2) Strukturanalyse (3) Schutzbedarfsfeststellung (4) Modellierung (5) Basis-Sicherheitscheck (6) Ergänzende Sicherheitsanalyse (7) Umsetzung von Sicherheitskonzepten (8) Sicherheitsrevision (9) Zertifizierung nach ISO auf Basis von IT-Grundschutz Quelle: BSI Loomans & Matz AG Folie 26

27 Sicherheitskonzeption (BSI-Standard 100-2) Basis-Sicherheitscheck: Fragebögen Loomans & Matz AG Folie 27

28 Sicherheitskonzeption (BSI-Standard 100-2) Ergänzende Sicherheitsanalyse (1) Definition des Geltungsbereichs (2) Strukturanalyse (3) Schutzbedarfsfeststellung (4) Modellierung (5) Basis-Sicherheitscheck (6) Ergänzende Sicherheitsanalyse (7) Umsetzung von Sicherheitskonzepten (8) Sicherheitsrevision (9) Zertifizierung nach ISO auf Basis von IT-Grundschutz für alle Zielobjekte des Informationsverbundes mit hohem oder sehr hohem Schutzbedarf in mindestens einem der drei Grundwerte oder die nicht mit den existierenden Bausteinen abgebildet werden können Frage: Für welche Objekte ist eine Risikoanalyse notwendig und für welche ist sie aus welchen Gründen entbehrlich? Loomans & Matz AG Folie 28

29 Sicherheitskonzeption (BSI-Standard 100-2) Ergänzende Sicherheitsanalyse BSI Standard BSI Standard Loomans & Matz AG Folie 29

30 Datenbanken - Gefährdungen

31 Baustein B 5.7 Datenbanken Gefährdungen Organisatorische Mängel Menschliche Fehlhandlungen Technisches Versagen Vorsätzliche Handlungen Link zum IT-Grundschutz Baustein 5.7 Loomans & Matz AG Folie 31

32 Baustein B 5.7 Datenbanken Gefährdungen Vorsätzliche Handlungen G 5.9 Unberechtigte IT-Nutzung G 5.10 Missbrauch von Fernwartungszugängen G 5.18 Systematisches Ausprobieren von Passwörtern G 5.64 Manipulation an Daten oder Software bei Datenbanksystemen G 5.65 Verhinderung der Dienste eines Datenbanksystems G SQL-Injection Loomans & Matz AG Folie 32

33 Baustein B 5.7 Datenbanken Gefährdungen Vorsätzliche Handlungen G 5.131SQL-Injection Mit SQL-Injection wird das Einschleusen (Injizieren) schädlicher oder unerwünschter Datenbankbefehle in die Datenbankabfragen einer Applikation bezeichnet. Ermöglicht wird diese Technik durch eine unzureichende Prüfung bzw. Maskierung der Eingaben innerhalb der Applikation. Die in Eingabefelder oder Parameter der Applikation eingetragenen Daten werden benutzt, um dynamisch Anfragen an die dahinterliegende Datenbank zu generieren. Ein Angreifer verwendet bestimmte Sonderzeichen in seinen Eingaben, um die dynamisch erzeugte Datenbankanfrage zu manipulieren und so seine eigenen Befehle an die Datenbank zu schicken. Loomans & Matz AG Folie 33

34 Datenbanken - Maßnahmen

35 Baustein B 5.7 Datenbanken Maßnahmen Empfehlungen Planung und Konzeption Beschaffung Umsetzung Betrieb Notfallvorsorge Link zum IT-Grundschutz Baustein 5.7 Loomans & Matz AG Folie 35

36 Baustein B 5.7 Datenbanken Maßnahmen Empfehlungen Planung und Konzeption M 2.80 M M M M M 5.58 (A)Erstellung eines Anforderungskatalogs für Standardsoftware (A)Erstellung eines Datenbanksicherheitskonzeptes (A)Regelung für die Einrichtung von Datenbankbenutzern/-benutzergruppen (B)Richtlinien für Datenbank-Anfragen (B)Schutz gegen SQL-Injection (B)Auswahl und Installation von Datenbankschnittstellen-Treibern Loomans & Matz AG Folie 36

37 Baustein B 5.7 Datenbanken Maßnahmen Empfehlungen M (B)Schutz gegen SQL-Injection Um die Ausnutzung von SQL-Injections (siehe G SQL-Injection ) zu verhindern oder zumindest zu erschweren, sind eine Reihe von Maßnahmen zu ergreifen. Diese erstrecken sich über alle Komponenten einer Anwendung, von der Applikation selbst über den Server bis hin zum Datenbank-Managementsystem (DBMS). Loomans & Matz AG Folie 37

38 Baustein B 5.7 Datenbanken Beispiel SQL-Injection Datenbank-Server verändern Ausspähen von Daten Quelle: Wikipedia Loomans & Matz AG Folie 38

39 Baustein B 5.7 Datenbanken Maßnahmen Empfehlungen Beschaffung M (A)Geeignete Auswahl einer Datenbank-Software Loomans & Matz AG Folie 39

40 Baustein B 5.7 Datenbanken Maßnahmen Empfehlungen Umsetzung M M M 4.7 M 4.71 M 4.73 (A)Installation und Konfiguration einer Datenbank (C)Gesicherte Datenübernahme in eine Datenbank (A)Änderung voreingestellter Passwörter (C)Restriktive Handhabung von Datenbank-Links (C)Festlegung von Obergrenzen für selektierbare Datensätze Loomans & Matz AG Folie 40

41 Baustein B 5.7 Datenbanken Maßnahmen Empfehlungen Betrieb I M 2.31 M 2.34 M 2.65 M M M (A)Dokumentation der zugelassenen Benutzer und Rechteprofile (A)Dokumentation der Veränderungen an einem bestehenden System (B)Kontrolle der Wirksamkeit der Benutzer-Trennung am IT-System (B)Inferenzprävention (A)Zugangskontrolle einer Datenbank (A)Zugriffskontrolle einer Datenbank Loomans & Matz AG Folie 41

42 Baustein B 5.7 Datenbanken Maßnahmen Empfehlungen Betrieb II M M M M 3.18 (A)Gewährleistung der Datenbankintegrität (C)Aufteilung von Administrationstätigkeiten bei Datenbanksystemen (A)Kontrolle der Protokolldateien eines Datenbanksystems (A)Verpflichtung der Benutzer zum Abmelden nach Aufgabenerfüllung Loomans & Matz AG Folie 42

43 Baustein B 5.7 Datenbanken Maßnahmen Empfehlungen Betrieb III M 4.67 M 4.68 M 4.69 M 4.70 M 4.72 M (B)Sperren und Löschen nicht benötigter Datenbank- Accounts (A)Sicherstellung einer konsistenten Datenbankverwaltung (B)Regelmäßiger Sicherheitscheck der Datenbank (C)Durchführung einer Datenbanküberwachung (Z)Datenbank-Verschlüsselung (Z)Integration eines Datenbank-Servers in ein Sicherheitsgateway Loomans & Matz AG Folie 43

44 Baustein B 5.7 Datenbanken Maßnahmen Empfehlungen Notfallvorsorge M 6.48 M 6.49 M 6.50 M 6.51 (A)Verhaltensregeln nach Verlust der Datenbankintegrität (A)Datensicherung einer Datenbank (Z)Archivierung von Datenbeständen (B)Wiederherstellung einer Datenbank Loomans & Matz AG Folie 44

45 Vielen Dank für Ihre Aufmerksamkeit Prof. Dr. Dirk Loomans Loomans & Matz AG August-Horch-Straße 6a Mainz Tel: Fax: