NET.1.1 Netzarchitektur und -design: Unterschied zwischen den Versionen
| Zeile 217: | Zeile 217: | ||
| A15 || [[#A15 Regelmäßiger Soll-Ist-Vergleich|Regelmäßiger Soll-Ist-Vergleich]] || | | A15 || [[#A15 Regelmäßiger Soll-Ist-Vergleich|Regelmäßiger Soll-Ist-Vergleich]] || | ||
|} | |} | ||
=== Standard === | === Standard === | ||
Version vom 3. Dezember 2024, 12:54 Uhr
NET.1.1 Netzarchitektur und -design - Baustein des IT-Grundschutz/Kompendiums
Beschreibung
- Informationssicherheit als integralen Bestandteil der Netzarchitektur und des Netzdesigns etablieren
- Institutionen benötigen Datennetze
- Geschäftsbetrieb, Fachaufgaben, Informationens-/Datenaustausch, Verteilte Anwendungen, ...
- Nicht nur herkömmliche Endgeräte
- Partnernetze, Internet
- Mobile Endgeräte, IoT-Komponenten (Internet of Things)
- Cloud-Dienste
- Dienste für Unified Communication and Collaboration (UCC)
- Viele Endgeräte und Dienste steigen Risiken
- Sicheren Netzarchitektur
- Planung
- Netz durch sichere Netzarchitektur schützen
- Lokales Netz (Local Area Network, LAN)
- Wide Area Network (WAN)
- Eingeschränkt vertrauenswürdige Netze
- Hohes Sicherheitsniveau
- Zusätzliche sicherheitsrelevante Aspekte berücksichtigen
- Beispiele: Sichere Trennung verschiedener Mandanten und Gerätegruppen
- Auf Netzebene und die Kontrolle ihrer Kommunikation durch eine Firewall
- Ein weiteres wichtiges Sicherheitselement, speziell bei Clients, ist außerdem die Netzzugangskontrolle
- Grundsätzliche Anforderungen
- Netzwerkplanung
- Netzwerkaufbau
- Netzwerkbetrieb
- Architektur und Design
- Allgemeine Anforderungen
- Müssen für alle Netztechniken beachtet und erfüllt werden
- z. B. dass Zonen gegenüber Netzsegmenten immer eine physische Trennung erfordern
- Fokus
- Kabelgebundenen Netzen und Datenkommunikation
Modellierung
NET.1.1 ist auf das Gesamtnetz einer Institution inklusive aller Teilnetze anzuwenden
Abgrenzung
- Relevante Bausteine
| Baustein | Bezeichnung | Beschreibung |
|---|---|---|
| NET.3 | Netzkomponenten | Betrieb von Netzkomponenten |
| NET.2 | Funknetze | Wireless LAN (WLAN) |
| SYS.1.8 | Speicherlösungen | Speichernetze (Storage Area Networks, SAN) |
| NET.4.2 | VoIP | Voice over IP |
| Virtual Private Cloud/Hybrid Cloud | Cloud-Computing | |
| NET.1.2 | Netzmanagement | Netzmanagement |
Zuständigkeiten
| Zuständigkeiten | Rollen |
|---|---|
| Grundsätzlich zuständig | Planende |
| Weitere Zuständigkeiten | IT-Betrieb |
- Informationssicherheitsbeauftragte (ISB)
Bei strategischen Entscheidungen einbeziehen
Stellt sicher, dass die Anforderungen des Sicherheitskonzepts
- erfüllt und überprüft werden
- gemäß dem festgelegten Sicherheitskonzept
Gefährdungslage
Bedrohungen und Schwachstellen von besonderer Bedeutung
| Schwachstelle | Beschreibung |
|---|---|
| Performance | Unzureichend dimensionierte Kommunikationsverbindungen |
| Netzzugänge | Ist das interne Netz mit dem Internet verbunden und der Übergang nicht ausreichend geschützt |
| Aufbau | Wird ein Netz unsachgemäß aufgebaut oder fehlerhaft erweitert, können unsichere Netztopologien entstehen oder Netze unsicher konfiguriert werden. |
Performance
- Unzureichend dimensionierte Kommunikationsverbindungen
- Clients nur noch eingeschränkt mit Servern kommunizieren
- Mögliche Auslöser
- Technischer Ausfall
- Denial-of-Service-(DoS)-Angriff
- Folgen
- Erhöhte Zugriffszeiten auf interne und externe Dienste
- Eingeschränkte Erreichbarkeit/nutzbar
- Wichtige Informationen sind nicht verfügbar
- Unterbrechung von Geschäftsprozessen/Produktionsprozesse
Netzzugänge
Ungenügend abgesichert
- Fehlende Firewall
- Internes Netz mit Internetanschluss ist nicht ausreichend geschützt
- Firewall nicht aktivier/falsch konfiguriert
- Angreifer
- können auf schützenswerte Informationen der Institution zugreifen (kopieren/manipulieren/verbreiten)
Aufbau
Unsachgemäßer Aufbau
- Unsichere Netztopologie
- Unsachgemäß aufgebaut
- Fehlerhafte Erweiterung
- Risiken
Angreifer können leichter
- Sicherheitslücken finden
- ins interne Netzwerk eindringen
- Informationen stehlen
- Daten manipulieren
- Produktionssysteme stören
Auch bleiben Angreifer in einem fehlerhaft aufgebauten Netz, das die Sicherheitssysteme nur eingeschränkt überwachen können, länger unerkannt
Elementare Gefährdungen
| Nr. | Gefährdungen | |||
|---|---|---|---|---|
| G 0.9 | Ausfall oder Störung von Kommunikationsnetzen | |||
| G 0.11 | Ausfall oder Störung von Dienstleistern | |||
| G 0.15 | Abhören | |||
| G 0.18 | Fehlplanung oder fehlende Anpassung | |||
| G 0.19 | Offenlegung schützenswerter Informationen | |||
| G 0.22 | Manipulation von Informationen | |||
| G 0.23 | Unbefugtes Eindringen in IT-Systeme | |||
| G 0.25 | Ausfall von Geräten oder Systemen | |||
| G 0.27 | Ressourcenmangel | |||
| G 0.29 | Verstoß gegen Gesetze oder Regelungen | |||
| G 0.30 | Unberechtigte Nutzung oder Administration von Geräten und Systemen | |||
| G 0.40 | Verhinderung von Diensten (Denial of Service) | |||
| G 0.43 | Einspielen von Nachrichten | |||
| G 0.46 | Integritätsverlust schützenswerter Informationen |
Anforderungen
| Schutzbedarf | Beschreibung |
|---|---|
| Basis | MÜSSEN vorrangig erfüllt werden |
| Standard | SOLLTEN grundsätzlich erfüllt werden |
| Erhöht | Exemplarische Vorschläge |
Basis
Basis-Anforderungen MÜSSEN vorrangig erfüllt werden
Standard
- Standard-Anforderungen
- SOLLTEN grundsätzlich erfüllt werden
Stand der Technik für Netzarchitektur und -design
- Gemeinsam mit den Basis-Anforderungen
- Anforderungen
A16 Spezifikation der Netzarchitektur
- SOLLTE eine Architektur für die Zonen entwickelt und nachhaltig gepflegt werden
Auf Basis der Sicherheitsrichtlinie und der Anforderungsspezifikation
- internem Netz
- DMZ-Bereich
- Außenanbindungen
- Dabei SOLLTEN je nach spezifischer Situation der Institution alle relevanten Architekturelemente betrachtet werden
mindestens jedoch
- Netzarchitektur des internen Netzes mit Festlegungen dazu, wie Netzvirtualisierungstechniken, Layer-2- und Layer-3-Kommunikation sowie Redundanzverfahren einzusetzen sind,
- Netzarchitektur für Außenanbindungen, inklusive Firewall-Architekturen, sowie DMZ- und Extranet-Design und Vorgaben an die Standortkopplung,
- Festlegung, an welchen Stellen des Netzes welche Sicherheitskomponenten wie Firewalls oder IDS/IPS zu platzieren sind und welche Sicherheitsfunktionen diese realisieren müssen,
- Vorgaben für die Netzanbindung der verschiedenen IT-Systeme,
- Netzarchitektur in Virtualisierungs-Hosts, wobei insbesondere Network Virtualization Overlay (NVO) und die Architektur in Vertikal integrierten Systemen (ViS) zu berücksichtigen sind,
- Festlegungen der grundsätzlichen Architektur-Elemente für eine Private Cloud sowie Absicherung der Anbindungen zu Virtual Private Clouds, Hybrid Clouds und Public Clouds sowie
- Architektur zur sicheren Administration und Überwachung der IT-Infrastruktur.
A17 Spezifikation des Netzdesigns
- Basierend auf der Netzarchitektur SOLLTE das Netzdesign für die Zonen inklusive internem Netz, DMZ-Bereich und Außenanbindungen entwickelt und nachhaltig gepflegt werden.
Dafür SOLLTEN die relevanten Architekturelemente detailliert betrachtet werden, mindestens jedoch:
- zulässige Formen von Netzkomponenten inklusive virtualisierter Netzkomponenten,
- Festlegungen darüber, wie WAN- und Funkverbindungen abzusichern sind,
- Anbindung von Endgeräten an Switching-Komponenten, Verbindungen zwischen Netzelementen sowie Verwendung von Kommunikationsprotokollen,
- Redundanzmechanismen für alle Netzelemente,
- Adresskonzept für IPv4 und IPv6 sowie zugehörige Routing- und Switching-Konzepte,
- virtualisierte Netze in Virtualisierungs-Hosts inklusive NVO,
- Aufbau, Anbindung und Absicherung von Private Clouds sowie sichere Anbindung von Virtual Private Clouds, Hybrid Clouds und Public Clouds sowie
- Festlegungen zum Netzdesign für die sichere Administration und Überwachung der IT-Infrastruktur.
A18 P-A-P-Struktur für die Internet-Anbindung
Das Netz der Institution SOLLTE über eine Firewall mit P-A-P-Struktur an das Internet angeschlossen werden
- siehe A4 Netztrennung in Zonen
- Zwischen den beiden Firewall-Stufen MUSS ein proxy-basiertes Application-Layer-Gateway (ALG) realisiert werden
- Das ALG MUSS über ein eigenes Transfernetz (dual-homed) sowohl zum äußeren Paketfilter als auch zum internen Paketfilter angebunden werden.
- Das Transfernetz DARF NICHT mit anderen Aufgaben als denjenigen für das ALG belegt sein.
- Falls kein ALG eingesetzt wird, dann MÜSSEN entsprechende Sicherheits-Proxies realisiert werden
- Die Sicherheits-Proxies MÜSSEN über ein eigenes Transfernetz (dual-homed) angebunden werden.
- Das Transfernetz DARF NICHT mit anderen Aufgaben als denjenigen für die Sicherheits-Proxies belegt sein.
- Es MUSS geprüft werden, ob über die Sicherheits-Proxies gegenseitige Angriffe möglich sind.
- Ist dies der Fall, MUSS das Transfernetz geeignet segmentiert werden.
- Jeglicher Datenverkehr MUSS über das ALG oder entsprechende Sicherheits-Proxies entkoppelt werden
- Ein Transfernetz, das beide Firewall-Stufen direkt miteinander verbindet, DARF NICHT konfiguriert werden.
- Die interne Firewall MUSS zudem die Angriffsfläche des ALGs oder der Sicherheits-Proxies gegenüber Innentätern oder IT-Systemen im internen Netz reduzieren.
- Authentisierte und vertrauenswürdige Netzzugriffe vom VPN-Gateway ins interne Netz SOLLTEN NICHT das ALG oder die Sicherheits-Proxies der P-A-P-Struktur durchlaufen
A19 Separierung der Infrastrukturdienste
- Server, die grundlegende Dienste für die IT-Infrastruktur bereitstellen, SOLLTEN in einem dedizierten Netzsegment positioniert werden.
- Die Kommunikation mit ihnen SOLLTE durch einen zustandsbehafteten Paketfilter (Firewall) kontrolliert werden.
A20 Zuweisung dedizierter Subnetze für IPv4/IPv6-Endgerätegruppen
- Unterschiedliche IPv4-/IPv6- Endgeräte SOLLTEN je nach verwendetem Protokoll (IPv4-/IPv6- oder IPv4/IPv6-DualStack) dedizierten Subnetzen zugeordnet werden.
A21 Separierung des Management-Bereichs
- Um die Infrastruktur zu managen, SOLLTE durchgängig ein Out-of-Band-Management genutzt werden.
- Dabei SOLLTEN alle Endgeräte, die für das Management der IT-Infrastruktur benötigt werden, in dedizierten Netzsegmenten positioniert werden.
- Die Kommunikation mit diesen Endgeräten SOLLTE durch einen zustandsbehafteten Paketfilter kontrolliert werden.
- Die Kommunikation von und zu diesen Management-Netzsegmenten SOLLTE auf die notwendigen Management-Protokolle mit definierten Kommunikations-Endpunkten beschränkt werden.
- Der Management-Bereich SOLLTE mindestens die folgenden Netzsegmente umfassen.
- Diese SOLLTEN abhängig von der Sicherheitsrichtlinie und der Anforderungsspezifikation weiter unterteilt werden in* Netzsegment(e) für IT-Systeme, die für die Authentisierung und Autorisierung der administrativen Kommunikation zuständig sind,
- Netzsegment(e) für die Administration der IT-Systeme,
- Netzsegment(e) für die Überwachung und das Monitoring,
- Netzsegment(e), die die zentrale Protokollierung inklusive Syslog-Server und SIEM-Server enthalten,
- Netzsegment(e) für IT-Systeme, die für grundlegende Dienste des Management-Bereichs benötigt werden sowie
- Netzsegment(e) für die Management-Interfaces der zu administrierenden IT-Systeme.
- Die verschiedenen Management-Interfaces der IT-Systeme MÜSSEN nach ihrem Einsatzzweck und ihrer Netzplatzierung über einen zustandsbehafteten Paketfilter getrennt werden.
- Dabei SOLLTEN die IT-Systeme (Management-Interfaces) zusätzlich bei folgender Zugehörigkeit über dedizierte Firewalls getrennt werden:* IT-Systeme, die aus dem Internet erreichbar sind,
- IT-Systeme im internen Netz sowie
- Sicherheitskomponenten, die sich zwischen den aus dem Internet erreichbaren IT-Systemen und dem internen Netz befinden.
- Es MUSS sichergestellt werden, dass die Segmentierung nicht durch die Management-Kommunikation unterlaufen werden kann.
- Eine Überbrückung von Netzsegmenten MUSS ausgeschlossen werden.
A22 Spezifikation des Segmentierungskonzepts
- Auf Basis der Spezifikationen von Netzarchitektur und Netzdesign SOLLTE ein umfassendes Segmentierungskonzept für das interne Netz erstellt werden.
- Dieses Segmentierungskonzept SOLLTE eventuell vorhandene virtualisierte Netze in Virtualisierungs-Hosts beinhalten.
- Das Segmentierunskonzept SOLLTE geplant, umgesetzt, betrieben und nachhaltig gepflegt werden.
- Das Konzept SOLLTE mindestens die folgenden Punkte umfassen, soweit diese in der Zielumgebung vorgesehen sind:* Initial anzulegende Netzsegmente und Vorgaben dazu, wie neue Netzsegmente zu schaffen sind und wie Endgeräte in den Netzsegmenten zu positionieren sind,
- Festlegung für die Segmentierung von Entwicklungs- und Testsystemen (Staging),
- Netzzugangskontrolle für Netzsegmente mit Clients,
- Anbindung von Netzbereichen, die über Funktechniken oder Standleitung an die Netzsegmente angebunden sind,
- Anbindung der Virtualisierungs-Hosts und von virtuellen Maschinen auf den Hosts an die Netzsegmente,
- Rechenzentrumsautomatisierung sowie
- Festlegungen dazu, wie Endgeräte einzubinden sind, die mehrere Netzsegmente versorgen, z. B. Load Balancer, und Speicher- sowie Datensicherungslösungen.
- Abhängig von der Sicherheitsrichtlinie und der Anforderungsspezifikation SOLLTE für jedes Netzsegment konzipiert werden, wie es netztechnisch realisiert werden soll.
- Darüber hinaus SOLLTE festgelegt werden, welche Sicherheitsfunktionen die Koppelelemente zwischen den Netzsegmenten bereitstellen müssen (z. B. Firewall als zustandsbehafteter Paketfilter oder IDS/IPS).
A23 Trennung von Netzsegmenten
- IT-Systeme mit unterschiedlichem Schutzbedarf SOLLTEN in verschiedenen Netzsegmenten platziert werden.
- Ist dies nicht möglich, SOLLTE sich der Schutzbedarf nach dem höchsten vorkommenden Schutzbedarf im Netzsegment richten.
- Darüber hinaus SOLLTEN die Netzsegmente abhängig von ihrer Größe und den Anforderungen des Segmentierungskonzepts weiter unterteilt werden.
- Es MUSS sichergestellt werden, dass keine Überbrückung von Netzsegmenten oder gar Zonen möglich ist.
- Gehören die virtuellen LANs (VLANs) an einem Switch unterschiedlichen Institutionen an, SOLLTE die Trennung physisch erfolgen.
- Alternativ SOLLTEN Daten verschlüsselt werden, um die übertragenen Informationen vor unbefugtem Zugriff zu schützen.
A24 Sichere logische Trennung mittels VLAN
- Falls VLANs eingesetzt werden, dann DARF dadurch KEINE Verbindung geschaffen werden zwischen dem internen Netz und einer Zone vor dem ALG oder den Sicherheits-Proxies.
- Generell MUSS sichergestellt werden, dass VLANs nicht überwunden werden können.
A25 Fein- und Umsetzungsplanung von Netzarchitektur und -design
- Eine Fein- und Umsetzungsplanung für die Netzarchitektur und das Netzdesign SOLLTE
- durchgeführt
- dokumentiert
- geprüft
- nachhaltig gepflegt
werden
A26 Spezifikation von Betriebsprozessen für das Netz
- Betriebsprozesse SOLLTEN bedarfsgerecht erzeugt oder angepasst und dokumentiert werden.
- Dabei SOLLTE insbesondere berücksichtigt werden, wie sich die Zonierung sowie das Segmentierungskonzept auf den IT-Betrieb auswirken.
A27 Einbindung der Netzarchitektur in die Notfallplanung [IT-Betrieb]
Es SOLLTE initial und in regelmäßigen Abständen nachvollziehbar analysiert werden, wie sich die Netzarchitektur und die abgeleiteten Konzepte auf die Notfallplanung auswirken.
Erhöht
- Exemplarische Vorschläge für erhöhten Schutzbedarf
- Über das den Stand der Technik entsprechende Schutzniveau hinausgehend
- SOLLTEN bei ERHÖHTEM SCHUTZBEDARF in Betracht gezogen werden
- Festlegung im Rahmen einer Risikoanalyse
A28 Hochverfügbare Netz- und Sicherheitskomponenten
- Zentrale Bereiche des internen Netzes sowie die Sicherheitskomponenten SOLLTEN hochverfügbar ausgelegt sein
- Dazu SOLLTEN die Komponenten redundant ausgelegt und auch intern hochverfügbar realisiert werden.
A29 Hochverfügbare Realisierung von Netzanbindungen
- Netzanbindungen SOLLTEN vollständig redundant gestaltet werden
- wie z. B. Internet-Anbindung und WAN-Verbindungen,
- Je nach Verfügbarkeitsanforderung SOLLTEN
- redundante Anbindungen an einen oder verschiedene Anbieter bedarfsabhängig mit unterschiedlicher Technik und Performance bedarfsgerecht umgesetzt werden
- Auch SOLLTE Wegeredundanz innerhalb und außerhalb der eigenen Zuständigkeit bedarfsgerecht umgesetzt werden
- Dabei SOLLTEN mögliche Single Points of Failures (SPoF) und störende Umgebungsbedingungen berücksichtigt werden
A30 Schutz vor Distributed-Denial-of-Service
- Um DDoS-Angriffe abzuwehren, SOLLTE per Bandbreitenmanagement die verfügbare Bandbreite gezielt zwischen verschiedenen Kommunikationspartnern und Protokollen aufgeteilt werden.
- Um DDoS-Angriffe mit sehr hohen Datenraten abwehren zu können, SOLLTEN Mitigation-Dienste über größere Internet Service Provider (ISPs) eingekauft werden.
- Deren Nutzung SOLLTE in Verträgen geregelt werden.
A31 Physische Trennung von Netzsegmenten
- Abhängig von Sicherheitsrichtlinie und Anforderungsspezifikation SOLLTEN Netzsegmente physisch durch separate Switches getrennt werden.
A32 Physische Trennung von Management-Netzsegmenten
Abhängig von Sicherheitsrichtlinie und Anforderungsspezifikation SOLLTEN Netzsegmente des Management-Bereichs physisch voneinander getrennt werden.
A33 Mikrosegmentierung des Netzes
- Das Netz SOLLTE in kleine Netzsegmente mit sehr ähnlichem Anforderungsprofil und selbem Schutzbedarf unterteilt werden.
- Insbesondere SOLLTE dies für die DMZ-Segmente berücksichtigt werden.
A34 Einsatz kryptografischer Verfahren auf Netzebene
- Netzsegmente SOLLTEN im internen Netz, im Extranet und im DMZ-Bereich mittels kryptografischer Techniken bereits auf Netzebene realisiert werden.
- Dafür SOLLTEN VPN-Techniken oder IEEE 802.1AE eingesetzt werden.
Wenn innerhalb von internem Netz, Extranet oder DMZ über Verbindungsstrecken kommuniziert wird, die für einen erhöhten Schutzbedarf nicht ausreichend sicher sind, SOLLTE die Kommunikation angemessen auf Netzebene verschlüsselt werden.
A35 Einsatz von netzbasiertem DLP
- Auf Netzebene SOLLTEN Systeme zur Data Lost Prevention (DLP) eingesetzt werden
A36 Trennung mittels VLAN bei sehr hohem Schutzbedarf
- Bei sehr hohem Schutzbedarf SOLLTEN KEINE VLANs eingesetzt werden.
Anhang
Siehe auch
Sicherheit
Dokumentation
- Das BSI hat folgende weiterführende Dokumente zum Themenfeld Netze veröffentlicht
- Sichere Anbindung von lokalen Netzen an das Internet (ISi-LANA)
- Technische Leitlinie für organisationsinterne Telekommunikationssysteme mit erhöhtem Schutzbedarf: BSI-TL-02103 - Version 2.0
- Die International Organization for Standardization (ISO) gibt in der Norm ISO/IEC 27033 „Information technology – Security techniques — Network security — Part 1
- Overview and concepts bis Part 3: Reference networking scenarios – Threats, design techniques and control issues“ Vorgaben für die Absicherung von Netzen.