Konzept für die Datensicherheit im Daten- u. Kommunikationsnetz der Kernuniversität der Friedrich Schiller Universität Jena (FSU Jena)

Transkript

1 Knzept für die Datensicherheit im Daten- u. Kmmunikatinsnetz der Kernuniversität der Friedrich Schiller Universität Jena (FSU Jena) 1. Zielstellung Bei Nutzung eines Cmputers erwartet der Anwender, dass einerseits die Daten vr Verfälschung, Diebstahl, Missbrauch und Verlust geschützt sind und dass man andererseits nicht durch Viren, unerwünschten Mailverkehr u.ä. in seiner Arbeit beeinträchtigt wird. Dies wird aber nicht erreicht, wenn Arbeitsplatzrechner, Server der Netze sich selbst überlassen werden. Eine 100%ige Sicherheit für IT Systeme wird es nicht geben. Jeder Anwender sllte aber dieser Thematik seine ständige Aufmerksamkeit widmen, um eine ptimale Sicherheit zu erreichen. Diese Ordnung sll Grundregeln für einen sicheren Betrieb vn Datenverarbeitungsgeräten und Kmmunikatinsnetzen in der Friedrich Schiller Universität festlegen und wurde entsprechend der Betriebs-/Benutzerrdnung für das Datennetz der FSU ( ) erarbeitet. 2. Verantwrtlichkeiten Für Betrieb, Wartung und Ausbau der Servertechnik für die angebtenen Dienste als auch der Netzübertragungstechnik der Kernuniversität ist das Universitätsrechenzentrum (URZ) zuständig. Eine Ausnahme bildet hierbei die Tertiärverkabelung, bei der Aufgaben im Zusammenhang mit Ausbau und Wartung kperativ durch Verwaltung und URZ wahrgenmmen werden. Der Betrieb dieser Verkabelung erflgt arbeitsteilig durch das URZ und die Dezernate 3 - Betriebstechnische Dienste /Bauwesen /Fernmeldetechnik und 4 - Liegenschaften und Vermögensverwaltung. Anschlusspunkte der Inhuse Verkabelung (Patchfelder) und Netzaktivtechnik sind in den Netzkntenräumen (Datenverteilern) der einzelnen Gebäude/Standrte untergebracht. Diese sind als betriebstechnische Räume im Sinne der Datensicherheit ausschließlich dem URZ und dem Dezernat 3 zugänglich. Durch die Benennung vn Endgeräte- und Anschlussverantwrtlichen gemäß Punkt 2 der Betriebs- und Benutzungsrdnung für das Datenkmmunikatinsnetz der Kernuniversität (DKNK) der Friedrich-Schiller-Universität Jena werden die Vraussetzungen geschaffen, damit eine kntinuierliche, qualifizierte Betreuung der Endgeräte erflgen kann. 3. Generelle rganisatrische Maßnahmen zur Datensicherheit - Zentrale Sicherheitsmaßnahmen des URZ Mail als Hauptvirenquelle: Einsatz eines Virenscanners zum Prüfen vn s bei deren Eintreffen. Datensicherheit: Zentral im Rechenzentrum gespeicherte Daten werden vr unberechtigtem Zugriff geschützt. Bei fahrlässigem Verhalten des Nutzers (Passwörter (s.u.), Benutzung unverschlüsselter Datenkanäle durch den Nutzer, usw.) kann keine Verantwrtung übernmmen werden. Seite 1 vn 6

2 Nutzerdaten werden im Rahmen der Datenverwaltung im Rechenzentrum nur verschlüsselt übertragen. Nutzerdaten werden regelmäßig und autmatisch gesichert, um diese im Havariefall (z.b. Hardwareausfall) wieder herstellen zu können. Es werden für alle kritischen Anwendungen verschlüsselte Verbindungen angebten: ssh, sftp, scp, pp3s, imaps, https... Es liegt in der Verantwrtung des Nutzers, diese auch anstelle der unverschlüsselten Verbindungen zu verwenden; die Verwendung unverschlüsselter Verbindungen wird grundsätzlich als fahrlässig eingestuft. - Zentralserverbetrieb Das URZ ist verantwrtlich für den stabilen und sicheren Betrieb der zentralen Serverdienste, die vn allen Einrichtungen genutzt werden. Das betrifft insbesndere flgende Dienste: Server zur zentralen Nutzerverwaltung und zentrale Verzeichnisdienste (z.b. LDAP, RADIUS, NIS, NDS, ADS) DNS Server - Dmain Name System DHCP Server - Dynamic Hst Cnfiguratin Prtcl Mail Server WWW Server - Wrld Wide Web FTP Server - File Transfer Prtcl File- und Archivserver Backupserver Rllendatenbank Cmputeserver Lizenzserver Dwnladserver für Windws Sicherheitsupdates Server für die Verteilung vn Windws Virensignaturen Der Betrieb vn eigenen Servern in den Einrichtungen ist grundsätzlich mit dem Rechenzentrum abzustimmen. Sie sind entsprechend der gefrderten Sicherheitsstufe für die auf diesen Servern laufenden Dienste in die Firewall - Struktur der Universität einzubinden. Server, die bereits vm Rechenzentrum vrgehaltene zentrale Dienste anbieten, werden in der Regel nur genehmigt, wenn deren Ntwendigkeit ausreichend begründet werden kann. Für diese dezentralen Server ist durch den Betreiber ein stabiler und sicherer Betrieb zu garantieren auch in Krankheits- der Urlaubszeiten. - Registrierung vn Endgeräten Die Struktureinheiten - Identifikatren sind den Kstenstellenummern der entsprechenden Einrichtungen zugerdnet und werden überall drt verwendet, w IV - Strukturen mit Universitätsstrukturen in Verbindung stehen (Verzeichnisdienste u. ä.). Eine Pflege der Struktureinheiten - Identifikatren und interne Veröffentlichung erflgt durch die Zentrale Universitätsverwaltung (Dezernat 1). Es erflgt eine generelle Kennzeichnung aller Endgeräte mit Statins- und Subdmainnamen in Abstimmung mit den entsprechenden Anschlussverantwrtlichen. Bezüglich der Arbeitsplatzrechnernamen wurde im Jahr 2000 ein System der Namensgebung eingeführt, das neben Statinsnamen einen Identifikatr für die jeweilige Struktureinheit enthält. Die Subdmainnamen werden ebenfalls schrittweise auf diese zentralen Struktureinheiten - Identifikatren umgestellt. Alle am Netz autrisierten Endgeräte erhalten einen DNS-Namen und werden zentral erfasst. Seite 2 vn 6

3 - Bereitstellung eines Truble Ticket System (TTS) durch das URZ Das URZ stellt den Anschlussverantwrtlichen ein Truble Ticket System bereit. Sie sind autrisiert für die Nutzung des Systems und die Einsicht in die Anschlussdkumentatin. Aufträge aller Art die Knfiguratin vn Endgeräten am Netz betreffend (Adressen, Namen, Anschlussparameter, Dsenzurdnung, Umzugsvrbereitungen u. a.) swie Störungs- und Fehlermeldungen werden vn den Anschlussverantwrtlichen in der Regel über das zentrale TTS mit Zugangsschnittstellen für WWW, in Ausnahmefällen über Mail der Telefn an die zuständigen URZ Bereiche erteilt. Das betrifft auch die Bearbeitung vn Sicherheitsprblemen. 4. Maßnahmen zur Datensicherheit im Bereich der Netzübertragungstechnik a) Organisatrische Maßnahmen - Der Betrieb swie die Administratin des Netzes wird entsprechend der Verantwrtlichkeiten zentral vm URZ wahrgenmmen. Dies geschieht unter Zuhilfenahme verschiedener Netzmanagementsysteme. - Der Betrieb vn einrichtungseigener der privater Netzübertragungstechnik (auch WLAN Strukturen) am Netz der FSU Jena ist nicht gestattet. Ist eine Finanzierung durch eine Fakultät / Einrichtung erfrderlich, s hat die Beschaffung in Abstimmung mit dem URZ zu geschehen, Installatin und Betrieb erflgt durch das URZ. - Netzadressen werden durch das URZ vergeben und zentral verwaltet - Anschlüsse für Endgeräte innerhalb dieser Netzstrukturen werden durch autrisierte Persnen (Anschlussverantwrtliche) auf Anfrderung durch die jeweiligen Endgeräteverantwrtliche beim URZ beantragt und durch das URZ realisiert und verwaltet. - zentrale Registrierung aller Endgeräte im Zusammenhang mit Aktivierung entsprechender Zugangsschutzmaßnahmen mit dem Ziel, unbekannte Geräte und Adressen vn der Netznutzung auszuschließen - Unterbringung der Netzaktivtechnik in abgeschlssenen Datenverteilerräumen (betriebstechnische Räume), die nur dem URZ und dem Dezernat Betriebstechnische Dienste/Bauwesen zugänglich sind, wdurch die Technik gegenüber dem physischen Zugriff Unberechtigter weitgehend gesichert ist - Betrieb eines universitätseigenen LWL-Netzes (dadurch besteht weitest gehende Unabhängigkeit vn angemieteten Leitungen) - Vermeidung der Inanspruchnahme vn Fremddiensten b) Regelungen für den Betrieb vn Netzen - Netzstrukturen (Subnetze/Teilnetze) werden nach Nutzergruppen unter Zuhilfenahme des zentral vrgegebenen strukturabbildenden Kstenstellenverzeichnisses ( ) für die FSU Jena erstellt. Bei Nutzung gemeinsamer Ressurcen können im Bedarfsfall gemeinsame Netze gebildet werden. Sinnvll ist dies immer dann, wenn aufgrund erhöhter Sicherheitsanfrderungen der Einsatz einer gemeinsamen Firewallösung realisiert wird. - Die Netze werden als virtuelle Netze (VLAN s) realisiert und können sich smit bei Bedarf über mehre Standrte erstrecken. Dies ist ausschließlich bei allen Standrten mit dienstffener Verkabelungsinfrastruktur möglich. Seite 3 vn 6

4 c) Regelungen für den Betrieb der Netzaktivtechnik - Die Kpplung der Switchsysteme erflgt mindestens im Distributin-Bereich unter Nutzung entsprechender Redundanz-Techniken über getrennte Lichtwellenleiterfasern (wenn durchführbar, auch über getrennte LWL-Kabel bzw. Kabeltrassen) - Verwendung redundanter Netzteile - Einsatz unterbrechungsfreier Strmversrgungen - Wartungsverträge für die Aktivtechnik garantieren im Fall vn Hardwarefehlern einen Austausch in angemessenen Fristen. Im URZ werden darüber hinaus entsprechend den finanziellen Möglichkeiten zusätzliche Ersatzteile vrgehalten - die Datenübertragung erflgt auf Basis dynamischer Rutingverfahren mit dem Ziel der Nutzung vn möglichen Ersatzpfaden beim Ausfall vn Kmpnenten und zur Verringerung des Störungsptentials - knsequente Nutzung der Wartungs- und Managementfunktinalitäten aller Netzwerkkmpnenten stets unter Nutzung vn Verschlüsselungstechniken und Berücksichtigung des Sicherheitsaspektes für autrisierte Mitarbeiter - Überwachung der Datenströme zur Früherkennung vn Prblem- und Fehlersituatinen durch autrisierte Mitarbeiter - Analyse der Datenströme im Rahmen vn Störungs- und Prblembeseitigungen durch autrisierte Mitarbeiter swie im Rahmen vn Wartungsverträgen - LWL-Strecken werden im Backbnebereich auch zur elektrischen Ptentialtrennung zwischen den Standrten genutzt d) Regelungen für den Betrieb der Endgeräteanschlüsse - Einsatz geswitchter Anschlüsse für Endgeräte - Nutzung vn Sicherheitsmechanismen zur Verringerung des Angriffs- und Fehlerptentials - Nutzung vn LWL-Technlgien bis zum Arbeitsplatz bei technischer Ntwendigkeit (z.b. im Bereich StrageAreaNetwrk (SAN), im Bereich vn Magnetfeldern) e) Regelungen für den Betrieb vn Filtern und Firewalls - Filter Zentral erflgt der Einsatz vn Filterregeln am Anschluss zum WissenschaftsInfrmatins- Netz (WIN) und damit am Übergang zum Internet - Firewall Den Einrichtungsnetzen wird vm URZ der Betrieb zentraler stateful Firewallösungen angebten und empfhlen Die aktuellen Regelungen für Filter und Firewalls sind unter aufgeführt. 5. Empfehlungen zur Verbesserung der Datensicherheit für Endnutzer Generell gilt, dass der Betreiber eines Endgerätes (Arbeitsplatzcmputer, Drucker, ) unabhängig vn der Art des Gerätes die gesamte Verantwrtung für dessen sicheren Betrieb trägt und bei durch den Betrieb entstandenen Schäden haftbar gemacht werden kann. Deshalb ist grundsätzlich eine qualifizierte Betreuung erfrderlich. Die Nutzung der Arbeitsplatzcmputer sll nur über einen autrisierten Zugriff erflgen, um eine unberechtigte Benutzung auszuschließen. Seite 4 vn 6

5 Flgende Grundsätze sllten durch den Endnutzer eingehalten werden: - Alle an das Datennetz der Universität anzuschließenden Rechner werden über die lkalen Anschlussverantwrtlichen ( ) im Rechenzentrum vr Inbetriebnahme angemeldet. - Die Cmputer sllen nur mit vm Hersteller nch unterstützten Betriebssystemen und Anwendersftware betrieben werden. - Die auf diesen Rechnern installierten Betriebssysteme müssen durch regelmäßiges Einspielen vn Updates und Patches aktuell und sicher gehalten werden. - Die Anwendersftware (Brwser, Mailprgramme, snstige Kmmunikatinssftware) ist ebenfalls ständig auf einem aktuellen Stand zu halten. Es sllten nur die Kmpnenten installiert werden, die wirklich benötigt werden. Bei Bedarf werden Anschlussverantwrtliche bzw. deren Helfer Unterstützung geben. - Die Rechner sind durch Installatin vn entsprechenden Schutzprgrammen (Virenscanner), die stets aktuell zu halten sind, vr Angriffen zu bewahren. Virenscanner werden vm Rechenzentrum im Rahmen vn Hchschul- bzw. Landeslizenzen zum Dwnlad ( ) vrgehalten. - Bei der Auswahl vn Sftware, die sensible Daten verarbeitet (Passwörter, Kreditkartenkennungen usw.), sllte auf verschlüsselte Datenübertragung geachtet werden (SSL Web Server, Secure Shell Client,...). - Obwhl die Cmputer der FSU durch zentrale Firewalls geschützt sind, sllen die Endgeräte durch eigene Firewalls mit einer den speziellen Bedürfnissen entsprechenden Knfiguratin zusätzlich gesichert werden. - Ein ganz wichtiger Punkt ist der Umgang mit den Passwrten. Sie sllen schwer zu erraten, aber für den Eigentümer merkbar sein. Vr allem dürfen sie nicht aufgeschrieben und sichtbar hinterlegt werden. Bei der Auswahl eines Passwrtes sllte bedacht werden: es sind nur die ersten 8 Zeichen signifikant keine Wrte der Begriffe wählen, die in Wörterbüchern u.ä. zu finden sind (deutsch, englisch, französisch...) keine Zeichenketten wählen, die aus der Persönlichkeit des Nutzers abgeleitet werden können (Geburtstag, ) gemischte Verwendung aller möglichen Zeichen (Grß/Kleinbuchstaben, Ziffern, Snderzeichen sweit möglich) neu zugeteilte Passwörter sfrt ändern Vrschlag: Ein Satz, vn jedem Wrt der erste Buchstabe: ESvjWd1B Wenn diese wenigen und einfachen Regeln beachtet werden, ist es praktisch nahezu unmöglich, ein Passwrt auch mit prgrammtechnischen Mitteln zu erraten. Werden durch einen Rechner verursachte Schäden bekannt, wird der AV durch das URZ infrmiert. Wenn die Ursachen nicht in vm URZ vrgegebenen vn der Schwere der Fehlerflgen abhängigen Fristen beseitigt werden, wird der Rechner vm Datennetz getrennt. Das URZ benennt einen Verantwrtlichen für Sicherheitsfragen, der bei Prblemen zu kntaktieren ist. Der Name des Ansprechpartners ist der Sicherheitsseite ( ) des URZ zu entnehmen. Er betreut die entsprechenden Seiten mit sicherheitsrelevanten Hinweisen und srgt dafür, dass bei akuten Vrkmmnissen Infrmatinen auf diesen Webseiten swie über die Mailingliste security l bereitgestellt werden. Dr. Olaf Götz Jena, 09.Nvember 2007 Kmm. Leiter. Universitätsrechenzentrum Seite 5 vn 6

6 Anhang Um Klarheit darüber zu schaffen, in welchem Sinn sicherheitsrelevante Begriffe verwendet werden, flgt hier eine Liste vn Begriffen und ihrer Bedeutung. Infrmatinen sind Daten, denen bestimmte Attribute wie Autr, Erstellungsdatum, Gültigkeitsdauer, etc. zugerdnet werden können Datensicherheit bezeichnet die Bewahrung der Daten vr ungewllter Beeinträchtigung und bildet eine Vraussetzung für den Datenschutz. Datensicherheit unterteilt sich in die Bereiche: Vertraulichkeit Schutz der Daten/Infrmatinen vr unberechtigtem Zugriff Verfügbarkeit Zum gefrderten Zeitpunkt stehen dem berechtigtem Nutzer entsprechende Dienstleistungen, Funktinen der IT-Systeme swie Daten/Infrmatinen zur Verfügung. Integrität Die Integrität ist gewährleistet, wenn die Daten/Infrmatinen vllständig und unverändert sind. Datensicherung bezeichnet die Erstellung vn Sicherheitskpien der Daten/Infrmatinen zum Schutz vr Verlust Datenschutz bezeichnet den Schutz vn Daten/Infrmatinen mit Bezug zu natürlichen Persnen vr dem unberechtigtem Zugriff durch Dritte (siehe Bundesdatenschutzgesetz BDSG) Authentisierung bezeichnet die Überprüfung der Identität. Autrisierung bezeichnet den Vrgang der Überprüfung der Berechtigung zur Durchführung einer bestimmten Aktin. Datennetz wird aus Netzübertragungstechnik und Endgeräten gebildet. Es bestehen Übergänge zu weiteren Datennetzen. Netzübertragungstechnik besteht aus passiven Kmpnenten (Verkabelung) und aktiven Kmpnenten (Netzaktivtechnik) und dient der Übertragung vn Daten/Infrmatinen. Datenverteiler (DV) sind betriebstechnische Räume in den Standrten der FSU Jena zum Auflegen der Inhuse -Verkabelung swie zur Unterbringung der Netzaktivtechnik. Verkabelung unterteilt sich in die Bereiche: Primärverkabelung Verkabelung zwischen einzelnen Standrten (i.d.r. auf Basis vn Lichtwellenleiterkabeln (LWL-Verkabelung)) Sekundärverkabelung Verkabelung zwischen den Datenverteilern eines Standrtes (i.d.r. ebenfalls auf Basis vn Lichtwellenleiterkabeln (LWL-Verkabelung)) Tertiärverkabelung Verkabelung zwischen einem Datenverteiler und den Anschlussdsen in den einzelnen Räumen eines Standrtes als Inhuse - Verkabelung auf Basis einer dienstffenen, strukturierten Kupferverkabelung nach Kategrie 5/ Klasse E der höherwertig. Histrisch bedingt bestehen daneben teilweise nch Verkabelungen auf Basis vn Kaxialkabeln RG58. Seite 6 vn 6