Aktive Schnittstellenkontrolle

Transkript

1 Aktive Schnittstellenkontrolle Version 1.0 Ausgabedatum Status in Bearbeitung in Abstimmung Freigegeben Ansprechpartner Angelika Martin 0431/ Inhalt 1 Problematik Empfehlung bis Windows Server Empfehlungen ab Windows Server 2008 R Aktive Schnittstellenkontrolle Verwendung von Bordmitteln Verwendung von externen Softwarelösungen Fazit...7

2 1 Problematik Jeder Arbeitsplatzrechner verfügt neben den internen auch über eine Vielzahl an externen Schnittstellen, z. B. Anschlüsse für Maus und Tastatur, Grafikschnittstelle, USB-Schnittstelle, FireWire- Schnittstelle usw. Mehrere dieser Schnittstellen können, wie auch CD- und DVD-ROM-Laufwerke, zum Datenaustausch verwendet werden. So lassen sich über USB-Schnittstellen beispielsweise mobile Geräte wie Handys oder Datenspeicher wie USB-Sticks oder Festplatten anschließen. Werden in einer Organisation (öffentliche oder private Stellen) personenbezogene Daten verarbeitet, so ist die Gefahr groß, dass über offene Schnittstellen sensible Daten aus dem geschützten internen Netz in andere ungeschützte Netze oder auf einen ungeschützten PC übertragen werden. Doch nicht nur der Abfluss sensibler Daten, also der Verlust von Vertraulichkeit, Integrität und Verfügbarkeit, sondern auch der Zufluss von unerwünschten Daten und Dateien kann ein Sicherheitsrisiko darstellen. 2 Empfehlung bis Windows Server 2008 Bisher hat das ULD für die Schnittstellensicherheit - vor allem für die Server-Client-Umgebungen Windows 2000 Server/Windows 2000 Professional und Windows Server 2003/Windows XP - eine Empfehlung für externe Softwarelösungen ausgesprochen, da diese Betriebssystemversionen noch keine komfortable Möglichkeit der Schnittstellenkontrolle mit Bordmitteln verfügten. Im Gegensatz dazu bieten externe Softwarelösungen eine zentralisierte Administration aller Schnittstellen aller Server und Clients in einem Netzwerk. So kann z. B. eine USB-Schnittstelle von einem bestimmten Client im Netzwerk für einen bestimmten Scanner freigeschaltet werden, während die anderen Clients diesen Scanner nicht nutzen können. Oder es werden dienstliche USB-Sticks zur Benutzung freigeschaltet, die dann zum Datentransfer verwendet werden dürfen, während fremde USB-Sticks an dieser USB-Schnittstelle nicht akzeptiert werden. 3 Empfehlungen ab Windows Server 2008 R2 Mit der Server-Client-Umgebung Windows Server 2008 R2/Windows 7 und vor allem Windows Server 2012/Windows 7 bzw. Windows 8 können die Schnittstellen auch mit Bordmitteln verwaltet werden. Dazu lassen sich Gruppenrichtlinien konfigurieren. Doch die Gruppenrichtlinien lassen sich nur dann umfassend in einer Server-Client-Umgebung einsetzen, wenn auch auf allen Servern und allen Clients diese Betriebssystemversionen installiert sind. Sobald es sich um eine gemischte Umgebung handelt, dann werden nicht auf allen Maschinen die gleichen Richtlinien angewendet, das bedeutet unter Umständen, dass einige Maschinen keiner Schnittstellenkontrolle unterliegen. Aus diesem Grund empfiehlt das ULD zur Schnittstellensicherheit folgendes Vorgehen: Die datenverarbeitende Stelle sichert die Schnittstellen ihrer Server und Clients in ihrer Netzwerkumgebung aktiv ab (aktive Schnittstellenkontrolle Abschnitt 4 dieser Handreichung). Damit wird ein unkontrolliertes Abfließen von vertrauenswürdigen Daten bzw. ein unkontrolliertes Einfließen von externen Daten verhindert

3 Die aktive Schnittstellenkontrolle kann durch verschiedene Maßnahmen realisiert werden. So kann bei einer aktuellen Windows Server-Client-Umgebung z. B. mit Bordmitteln (Abschnitt 5 dieser Handreichung) gearbeitet werden oder es kann in gemischten Umgebungen mit externen Softwarelösungen (Abschnitt 6 dieser Handreichung) gearbeitet werden. Die aktive Schnittstellenkontrolle muss gewährleisten, dass alle offenen Schnittstellen gesperrt werden. Schnittstellen, die für die Aufgabenstellung benötigt werden, müssen explizit durch die entsprechend verantwortliche Person freigegeben werden. Diese Freigabe muss technisch im System abgebildet und dokumentiert werden. 4 Aktive Schnittstellenkontrolle Was ist und was beinhaltet die aktive Schnittstellenkontrolle? Das Risiko eines unkontrollierten Abbzw. Einfließens von externen Daten über offene Schnittstellen muss durch die datenverarbeitende Stelle aktiv, d. h. handelnd, betrachtet werden. Hier stellt sich nicht die Frage, ob eine Schnittstellenkontrolle eingeführt wird, sondern mit welchen Maßnahmen die Schnittstellenkontrolle durchgeführt wird. Die Maßnahmen ergeben sich aus der Betrachtung der Verwendung der externen Schnittstellen. Werden diese in selten oder gar nicht verwendet, kann die Verwendung von Bordmitteln ausreichend sein, werden sie vielfach und durch viele unterschiedliche Wechselmedien oder USB-Geräte (Drucker, Mäuse, Scanner usw.) verwendet, ist unter Umständen der Einsatz einer externen Softwarelösung mit einer grafischen Administrationsoberfläche sinnvoll. Die Betrachtung des Risikos Unkontrolliertes Ein- und Abfließen von externen Daten über offene Schnittstellen und die getroffenen Maßnahmen werden in die Dokumentation nach 3 4 DSVO aufgenommen. Sie definiert in diesem Zusammenhang das Sicherheitsniveau der Arbeitsplatzrechner und die eventuell freigegebenen Wechselmedien/USB-Geräte. Weiterhin sollte mit einem Kontrollprozess, z. B. durch Protokolle und Prüfungen, die Qualität der Schnittstellenkontrolle sichergestellt werden. Der Prozess und die entsprechenden Kontrolle werden ebenfalls in die Dokumentation aufgenommen. 5 Verwendung von Bordmitteln Ab der Server-Client-Umgebung Windows Server 2008 R2/Windows 7 und vor allem Windows Server 2012/Windows 7 bzw. Windows 8 können Gruppenrichtlinien zur Schnittstellenkontrolle eingesetzt werden. In dieser Handreichung werden drei Methoden zur Verwaltung von Schnittstellen und externen Geräten beschrieben. (1) Gruppenrichtlinien Wechselmedienzugriff Diese Gruppenrichtlinien befindet sich sowohl in der Computer- als auch in der Benutzerkonfiguration eines Gruppenrichtlinienobjekts im Pfad Administrative Vorlagen System Wechselmedienzugriff. In diesen Gruppenrichtlinien können für einen Gerätetyp (CD und DVD, Wechseldatenträger usw.) der Ausführungs-, Lese- und Schreibzugriff verweigert werden (Abbildung unten)

4 Bei der Verwendung dieser Schnittstellenverwaltung ist der Treiber des entsprechenden Wechselmediums schon installiert und bei der Restriktion handelt es sich demnach um eine Verweigerung des Ausführungs-, Lese- und Schreibzugriffs auf den Treiber des entsprechenden Wechselmediums. (2) Gruppenrichtlinien Einschränkungen bei der Geräteinstallation Diese Gruppenrichtlinien setzen nicht erst bei den Ausführungs-, Lese- und Schreibzugriffen auf den Treiber eines Wechselmediums an sondern schon bei der Installation der entsprechenden Treiber. Bei der ersten Verwendung eines Wechselmediums auf einem Computer prüft das Betriebssystem, ob der Treiber im Betriebssystem enthalten ist und installiert diesen bei Bedarf. An dieser Stelle setzen die Gruppenrichtlinien Einschränkungen bei der Geräteinstallation an. So kann die Gruppenrichtlinie Installation von Geräten mit diesen Geräte-IDs verhindern unterbinden, dass der Treiber für ein ganz spezifisches Wechselmedium, z. B. der USB-Stick mit der Hardware-ID USB\VID_1234&FFFF&REV_0100, bis hin zu einer ganzen Geräteklasse, z. B. USB, installiert wird, d. h. der betreffende Benutzer, der dieses Wechselmedium versucht zu benutzen, kann nicht auf das entsprechende Medium zugreifen. Umgekehrt kann die Gruppenrichtlinie Installation von Geräten mit diesen Geräte-IDs zulassen beispielsweise die Treiberinstallation eines bestimmten USB-Sticks mit der Hardware-ID USB\VID_1234&FFFF&REV_0100 (durch die datenverarbeitende Stelle freigegeben) bis hin zu einer ganzen Geräteklasse, z. B. USB, erlauben

5 Die entsprechende Gruppenrichtlinie befindet sich in der Computerkonfiguration eines Gruppenrichtlinienobjekts im Pfad Administrative Vorlagen System Geräteinstallation Einschränkungen bei der Geräteinstallation (Abbildung unten). Soll beispielsweise die Treiberinstallation von dem oben genannten spezifischen USB-Sticks erlaubt werden, dann kann die Gruppenrichtlinie Installation von Geräten mit diesen Geräte-IDs zulassen aktiviert und mit den entsprechenden Informationen zur Hardware-ID versehen werden (Abbildung unten). Ein TechNet-Artikel 1 beschreibt die Identifizierung von Hardware-IDs bzw. Geräteklassen, mit denen dann im oben beschriebenen Prozess gearbeitet werden kann

6 (3) Gruppenrichtlinie BitLocker-Laufwerksverschlüsselung Der Dienst BitLocker bietet in seiner Variante BitLocker-To-Go auch eine Verschlüsselung von Wechseldatenträgern. Über die Gruppenrichtlinie BitLocker-Laufwerksverschlüsselung lässt sich zudem definieren, dass nur die USB-Sticks mit Schreibzugriff geöffnet werden dürfen, die in der eigenen Organisation mit BitLocker verschlüsselt wurden. Ansonsten wird nur ein Lesezugriff gewährt (Abbildungen unten)

7 6 Externe Softwarelösungen Mehrere Softwarehersteller bieten externe Softwarelösungen für eine schnittstellen- und benutzerbezogene Verwaltung von Wechseldatenträgern an. Sie fügen sich als Dienst in das System ein und können entweder über Gruppenrichtlinien oder über eine grafische Administrations-Verwaltungsoberfläche bedient werden. Eine spezielle Softwareempfehlung wird das ULD nicht aussprechen. 7 Fazit Für eine datenverarbeitende Stelle darf sich nicht die Frage stellen, ob eine Schnittstellenkontrolle, sondern mit welchen Maßnahmen eine Schnittstellenkontrolle durchgeführt wird. Das Risiko eines unkontrollierten Ab- bzw. Einfließens von externen Daten über offene Schnittstellen muss dabei aktiv, d. h. handelnd, betrachtet werden. Je nachdem, welche Server-Client-Umgebung eingesetzt wird und in welchem Umfang Wechselmedien/USB-Geräte eingesetzt werden, kann die Schnittstellenkontrolle mit Bordmitteln durchgeführt oder eine externe Softwarelösung eingesetzt werden. Das ULD weist darauf hin, dass die aktive Schnittstellenkontrolle, wie sie hier beschrieben wird, nur die Hardware-Schnittstellen und -Laufwerke absichert. Das Risiko des Abflusses von personenbezogenen Daten per , dem Heraufladen in das Internet, Erstellen von Screenshots o. ä. muss gesondert betrachtet werden und insbesondere durch organisatorische Maßnahmen geregelt werden