Universitt Dortmund

Document Sample
Universitt Dortmund Powered By Docstoc
					Universität Dortmund
Hochschulrechenzentrum

                                                                                Dortmund, im Januar 2004

                              Maßnahmen
               zur signifikanten Erhöhung der Sicherheit
           in der Kommunikations- und Informationstechnik
                      an der Universität Dortmund
1     Einleitung
Forschung und Lehre sind von der Nutzung der Kommunikations- und Informationstechnik (KIT) in
zunehmendem Maße abhängig; daraus resultiert ein hoher Anspruch an die Verfügbarkeit aller eingesetzten
Komponenten: Arbeitsplatzrechner, Server, Netzwerke, Anwendungen und Dienste. Bedingt durch
Schwachstellen bei der Datenübertragung, in den verwendeten Betriebssystemen und Programmen sowie
durch mangelhafte Konfiguration von Servern, Arbeitsstationen oder Netzkomponenten sind vernetzte
Rechnersysteme in erheblichem Maße Gefährdungen ausgesetzt. Bösartige oder leichtfertige Angreifer
nutzen Schwachstellen aus, um unberechtigten Zugriff auf Systeme zu erlangen.

Vertraulichkeit und Integrität der verarbeiteten Daten sowie die Verfügbarkeit von Systemen oder ganzer
Netzwerke sind ohne geeignete Schutzmaßnahmen nicht zu gewährleisten. Ein Universitätsnetz bietet wegen
der Heterogenität seiner Systeme und Benutzer sowie der verteilten Verantwortlichkeiten ein besonders
breites Angriffsspektrum. Neben Angriffen von außen haben Attacken von innen einen besonderen
Stellenwert. Mangelndes Risikobewusstsein und naiver Umgang mit den Systemen ist hier ebenso zu
registrieren wie eine hohe Risikobereitschaft des „anonymen“ Internet-Benutzers beim „spielerischen“
Ausprobieren von Werkzeugen.

Die Auswirkungen eines Einbruchs in das Intranet einer Universität reichen vom Ausfall einzelner
Endsysteme oder Server bis hin zum Zusammenbruch des gesamten Netzes oder Subnetzes. Der Lehr- und
Forschungsbetrieb kann dadurch auch längerfristig erheblich behindert werden. Das Ausspähen von
schutzwürdigen Forschungsdaten und -ergebnissen kann obendrein einen erheblichen finanziellen Schaden
zur Folge haben. Der Schutz personenbezogener Daten gegen unbefugten Zugriff muss gewährleistet sein,
wenn die Vertrauenswürdigkeit des Einsatzes der KIT nicht Schaden leiden soll. Wird ein Angriff aus dem
Netz der Universität gegen fremde Systeme initiiert, so sind Schadensersatzforderungen der Angegriffenen
nicht auszuschließen. Nicht mehr abgrenzbar ist der Verlust an Ansehen, wenn eine Universität in solche
Störfälle verwickelt wird.

Das Ausmaß des oben geschilderten Gefahrenpotentials kann durch die Implementierung von geeigneten
Sicherheitsstandards erheblich gemindert werden. Voraussetzung hierfür ist ein Gesamtkonzept für die
KIT-Sicherheit der Universität, da Angriffen nur durch Sicherung des gesamten Netzwerkes wirkungsvoll
begegnet werden kann. Dieses Sicherheitskonzept muss die Entwicklung detaillierter organisatorischer
Sicherheitsrichtlinien ebenso umfassen wie die Einführung von geeigneten Schutz-, Kontroll- und
Reaktionsmechanismen.

Sicherheit ist kein Ergebnis einer einmaligen Aktion, sondern Ziel von fortwährenden und nachhaltigen
Bemühungen. Dabei müssen Aufwand und Ertrag in einem angemessenen Verhältnis stehen. Perfekte
Sicherheit ist nicht erreichbar und in einer Hochschule nicht wünschbar, weil dies den Einsatz von Rechnern
und Rechneranwendungen sowie deren Weiterentwicklung lähmen würde.

Die Behandlung von Sicherheitsfragen wird inzwischen von mehreren übergreifenden Institutionen verfolgt;
von diesen werden proaktiv geeignete Lösungen vorgeschlagen. Dazu gehören in Deutschland das
Bundesamt für die Sicherheit in der Informationstechnik (BSI) und das Computer-Emergency--Response-
Team des DFN-Vereins (CERT – in Kooperation mit entsprechenden übernationalen Einrichtungen), in
NRW die an der Universität Essen angesiedelte Netzagentur sowie hochschulintern das
Hochschulrechenzentrum (HRZ). Diese Institutionen arbeiten eng zusammen. Es mangelt aber an einer
weitergehenden Sicherheitsstrategie bis in alle Institutionen dieser Hochschule.

Resümee einer D21-Tagung zu diesem Thema: „Strickmuster für ein sichere Netze liegen durchaus vor –
allein Politik und Gesellschaft sollten ihr Spinnengewand ablegen und Maßnahmen für ein sicheres Netz
ergreifen“.

2     Sicherheitsrisiken
Im Folgenden sollen exemplarisch einige Schwachstellen aufgezeigt werden, um das Verständnis für die
bestehende Problematik zu fördern.

Ein protokollimmanentes Sicherheitsrisiko stellt die Übertragung von Inhaltsdaten über das Internet im
Klartext dar: Passwörter und schutzwürdige Daten können so abgehört werden. Eine geeignete
Gegenmaßnahme ist die Verschlüsselung der Daten bei der Datenübertragung.

Rechner, die im Internet miteinander kommunizieren, identifizieren sich derzeit gegenseitig lediglich durch
ihre IP-Adresse. Durch Fälschung von Datenpaketen können Angreifer die IP-Adresse anderer Geräte des
lokalen Netzes vortäuschen (sog. IP-Spoofing) und so unerlaubte Verbindungen herstellen oder auch die
Erreichbarkeit von Rechnern verhindern. Als Gegenmaßnahme können Filter (Firewalls) eingesetzt werden,
die Pakete mit offensichtlich gefälschten IP-Adressen verwerfen.

Fehler in der Protokoll-Implementierung ermöglichen so genannte Denial-of-Service Attacken (DoS), durch
die die Verfügbarkeit eines Systems gefährdet wird. Waren früher diese DoS-Attacken auf einzelne Rechner
beschränkt, so werden durch Distributed-Denial-of-Service-Attacken (DDoS) ganze Rechnernetze überflutet.
Geeignete Gegenmaßnahmen sind hier die regelmäßige Installation von herstellerspezifischen Patches sowie
der Einsatz von modernen Firewall-Techniken.

Dienstspezifische Risiken entstehen durch Programmierfehler in der Hersteller-Software, die es einem
Angreifer erlauben, weit reichende Rechte auf einem System zu erlangen (z.B. durch Herbeiführen sog.
Buffer-overflows): WWW-Server, FTP-Server, Email-Server, DNS-Server waren in der Vergangenheit von
derartigen Schwachstellen betroffen. Aber auch einfache Arbeitsplatzrechner können z.B. über bei der
Installation automatisch mit eingerichtete Dienste angreifbar sein. Eine geeignete, unbedingt erforderliche
Gegenmaßname ist auch hier die regelmäßige Installation von Updates und Patches der eingesetzten
Software (Systempflege).

Auch Internet-Klientensoftware wie Web-Browser und Email-Klienten begründen durch Implementierungs-
oder Administrationsfehler Sicherheitsrisiken. Durch Ausnützen dieser Fehler kann es Angreifern gelingen,
Daten auszuforschen, Schadcode wie Viren und trojanische Pferde auf den betroffenen Geräten zu
installieren oder Arbeitsstationen einfach zum Absturz zu bringen. Geeignete Gegenmaßnahmen sind
wiederum zumindest die Installation von Patches sowie die geeignete Auswahl und Konfiguration der
Software (z.B. durch Abschalten von risikobehafteten Funktionen).

Eine weitere große Schwachstelle stellt das fehlende Risikobewusstsein beim Benutzer eines
Rechnersystems. Arglose dar. Benutzer installieren oft leichtfertig Programme, die sie z.B. aus dem Internet
erhalten haben. Dadurch können in erheblichem Maße Datenverluste entstehen, Serversysteme lahm gelegt
werden oder Hintertüren zum Intranet eröffnet werden. Als wichtigste Gegenmaßnahme – neben der
notwendigen Sensibilisierung der Benutzer für Sicherheitsaspekte – empfiehlt sich der Einsatz von
permanent gepflegter Anti-Virus-Software, aber auch die regelmäßige Überprüfung auf „Fremdsoftware“
(z.B. Dialern, Trojanern) mittels darauf spezialisierter Programme.

Ein Angreifer kann sich unter Ausnutzung der oben genannten Sicherheitslücken unberechtigten Zugang zu
fremden Rechnern verschaffen, dort Daten ausspähen, manipulieren oder zerstören, oder einfach die
Verfügbarkeit eines Systems gefährden. Die dafür benötigten Werkzeuge liegen frei verfügbar im Internet.
Der Einbrecher muss keine besonderen Kenntnisse für seine Tat mitbringen: die entsprechenden Handlungs-
Anleitungen werden gleich mitgeliefert. Daher ist es nicht verwunderlich, dass bei Millionen von Internet-
Teilnehmern auch die Anzahl der potentiellen Angreifer sehr groß ist.

Durch kompromittierte Systeme kann u.U. der gesamte Datenverkehr innerhalb des Intranets ausgespäht
werden. Dieser Gefahr ist zwar durch moderne („switched network“) gegenüber den veralteten („shared
network“) Netztopologien geringer geworden, dennoch gilt: Da zwischen Rechnern in der gleichen
Netztopologie (insbesondere „hinter“ einer Firewall) ein besonderes Vertrauensverhältnis besteht, wird ein
Angriff von einem kompromittierten System auf Nachbarsysteme besonders einfach sein. Kompromittierte
Systeme können vom Angreifer genutzt werden, um von dort weitere Angriffe im Internet zu starten, oder
dort Dienste einzurichten (z.B. Video- oder Softwareserver) und wiederum Dritten anzubieten.

Von einem einzelnen Vorfall sind nicht selten Hunderte von Rechnern betroffen. Weltweit steigt sowohl die
Zahl der bekannt gewordenen Sicherheitslücken als auch die Zahl der sicherheitsrelevanten Vorfälle von Jahr
zu Jahr um ein Mehrfaches. Für die ersten drei Quartale des Jahres 2000 wurden beispielsweise 15.167
Vorfälle von dem weltweit tätigen CERT-Coordination-Center gemeldet; die Dunkelziffer dürfte erheblich
höher liegen, weil Netzwerk- und Systemsicherheitsdefizite von vielen Organisationen (z.B. von Banken und
Versicherungen) verschwiegen werden. Die Anzahl der bekannten Viren liegt über 50.000, von denen ein
erheblicher Anteil als in Umlauf befindlich gilt.

Im schlimmsten Fall müssen betroffene Geräte komplett neu installiert werden; obendrein bleiben oft einige
befallene Geräte unentdeckt, so dass sich ein Virenbefall über Jahre hinziehen kann. Mit der Virenabwehr
bzw. mit der Behebung von durch Viren verursachten Schäden befassen sich im HRZ inzwischen zwei
Mitarbeiter, die zeitweise über eine oder mehrere Wochen nicht mehr zu den Arbeiten kommen, für die sie
eigentlich eingestellt wurden.

3       Gefahrenanalyse
Voraussetzung für die Ausarbeitung von Sicherheitsrichtlinien ist eine Strukturanalyse, die klärt, welche
Bestände an Servern, Arbeitsstationen, schutzwürdigen Daten etc. vorhanden sind, und welchen Gefahren
diese Bestände bezüglich Vertraulichkeit, Integrität und Verfügbarkeit ausgesetzt sind. Da die
Implementierung von Schutzmaßnahmen Zeit, Mühe und Geld erforderlich macht, ist eine realistische
Abschätzung des Schutzbedarfs sehr wichtig. Beispielsweise ist ein Server gegen Angriffe empfindlicher als
eine Arbeitsstation. Erfolgreiche Angriffe auf Server haben daher gravierendere Auswirkungen, als Angriffe
auf Arbeitsstationen.

Die Einschätzung des Schutzbedarfs ist sicherlich sehr schwierig. Dennoch muss eine entsprechende
Ausgangsbasis durch Befragung der Einrichtungen der Universität geschaffen werden. Zur Strukturanalyse
empfiehlt das BSI zunächst die Aufstellung eines Netzplans, der folgende (z.T. hier schon ergänzte) Objekte
erfasst:

        IT-Systeme: Client- und Server-Computer, aktive Netzkomponenten (wie Hubs, Switches, Router),
         Netzwerkdrucker, etc.
        Netzverbindungen zwischen diesen Systemen: LAN-Verbindungen (wie Ethernet, Token-Ring),
         Backbone-Technologien (wie Gigabit-Ethernet, ATM) etc.
        Verbindungen des betrachteten Bereichs nach außen: Internet-Anbindungen über analoge Techniken
         oder Router, Funkstrecken oder Mietleitungen zu entfernten Gebäuden oder Liegenschaften, etc.
        Zugänge zum Intranet von außen über Einwahl via Telefon (analog oder ISDN), über
         Funktechnologien (WLAN) oder per „virtual private network (VPN) aus fremden Netzen.

Zu jedem erfassten IT-System gehört ein Minimalsatz an Informationen:

        eine eindeutige Bezeichnung: der vollständige Hostname oder eine Identifikationsnummer,
        Typ und Funktion: z.B. Datenbankserver für Anwendung X,
        die zugrunde liegende Plattform: Hardware-Plattform und Betriebssystem
        der Standort: Gebäude- und Raumnummer
          der zuständige Administrator sowie
          die Art der Netzanbindung und die MAC-Netzadresse

Für jede Station müssen ferner mindestens diejenigen IT-Anwendungen registriert werden,

          deren Daten bzw. Informationen und Programme den höchsten Bedarf an Geheimhaltung
           (Vertraulichkeit) besitzen,
          deren Daten bzw. Informationen und Programme den höchsten Bedarf an Korrektheit und
           Unverfälschtheit (Integrität) besitzen,
          die die kürzeste tolerierbare Ausfallzeit (höchster Bedarf an Verfügbarkeit) haben.

Dieser Strukturplan muss ständig aktualisiert werden.

Weiterhin empfiehlt das BSI, die erfassten Bestände anhand von Schadensszenarien „Was wäre wenn ...“ in
drei Schutzkategorien: niedrig bis mittel, hoch, sehr hoch zu kategorisieren. Die typischen
Schadensszenarien sind

          Verstoß gegen Gesetze, Vorschriften oder Verträge
          Beeinträchtigung des informellen Selbstbestimmungsrechts
          Beeinträchtigung der persönlichen Unversehrtheit
          Beeinträchtigung der Aufgabenerfüllung
          Negative Auswirkungen wie Vertrauensverlust, Imageverlust
          Finanzielle Auswirkungen

Basierend auf dieser Gefahrenanalyse können Sicherheitsrichtlinien und Kontrollmechanismen entwickelt
werden, die dazu dienen, ein wirksames und angemessenes Sicherheitsniveau für Daten, Systeme und
Netzwerk-Bereiche zu erreichen. Bei Systeme mit hohem Schutzbedarf sind nicht allein Maßnahmen zum
Schutz vor Zugriffen übers Internet zu treffen, sondern hier ist auch eine Analyse der Sicherheit der IT-
Räume (z. B. Zugangskontrollen) und Kommunikationswege notwendig. Neben diesen proaktiven
Sicherheitsrichtlinien ist ein reaktiver „Notfallplan“ zu entwerfen, der im Schadensfall befolgt werden muss.

4         Sicherheitsrichtlinien und Ausbildung
Sicherheitsrichtlinien dienen dazu, Systeme, Informationen und Know-how gegen Missbrauch von innen und
außen angemessen zu schützen, damit Vertraulichkeit, Integrität und Verfügbarkeit von Daten und Systemen
gewährleistet werden können. Sicherheitsrichtlinien sind nicht statisch, sondern müssen bei Bedarf angepasst
oder um weitere Richtlinien ergänzt werden.

Auch wenn es nicht ganz einfach zu bewerkstelligen ist, sollten Richtlinien, insbesondere solche, die für
Endanwender Gültigkeit haben, möglichst detailliert formuliert werden: Sicherheitsmaßnahmen werden nur
dann umgesetzt, wenn die Betroffenen dazu in der Lage sind. Durch Informationsveranstaltungen und
Ausbildungen muss dafür gesorgt werden, dass Studierende und Fachkräfte für das Thema Sicherheit
sensibilisiert werden. Bei der Festschreibung von Sicherheitsmaßnahmen muss auf Umsetzbarkeit und
Akzeptanz bei den Betroffenen geachtet werden.

Zur Veranschaulichung sind im Folgenden beispielhaft einige Sicherheitsrichtlinien stichwortartig
aufgeführt:

4.1       Serverrichtlinien

In einem Universitätsnetz kann grundsätzlich jedes Institut eigene Internet-Server betreiben. Wegen des
großen Angriffspotentials, die ein solcher Server im Internet darstellt, muss einem Wildwuchs begegnet
werden. Es ist nur vernünftig festzuschreiben, dass Internet-Server nur dann betrieben werden dürfen, wenn
Sie zuvor bei einem Sicherheitsteam (Zentrale Registry) angemeldet worden sind. Der Betrieb dezentraler
Server, deren Dienstleistungsangebot nicht nur auf das eigene Intranet angelegt ist, sollte nur bei
begründetem Bedarf genehmigt werden.

Server müssen in besonderer Weise gepflegt werden. Wird von einem Institut ein angemeldeter Server
betrieben, so ist ein verantwortlicher Administrator sowie ein Stellvertreter zu benennen, der in Not- oder
Schadensfällen direkt erreichbar ist. Die Verantwortlichen für den Betrieb des Servers müssen sich
verpflichten, ständig die verfügbaren Informationen um Sicherheitslücken (insbesondere CERT-Warnungen)
zu verfolgen und sich weiterzubilden.

Ferner sind die notwendigen Maßnahmen wie das Einspielen von Updates und Sicherheitspatches, zum
Schutz des Servers regelmäßig vorzunehmen. Weitere präventive Maßnahmen wie der Einsatz von
Virenscanner-, Firewall-, oder Intrusion Detection –Software sind bedarfsgerecht einzusetzen.

Alle sicherheitsrelevanten Vorfälle sind unmittelbar dem Hochschul-Sicherheitsteam zu melden.

4.2   Schutzmaßnahmen im Hochschulnetz

Die Sicherheit des Hochschulnetzes hat höchste Priorität. Die für den Betrieb des Netzes Zuständigen (im
HRZ) sind verpflichtet, alle diese Sicherheit beeinträchtigenden Ereignisse sofort zu analysieren, und
ermächtigt, alle Ursachen – gegebenenfalls auch ohne Einschaltung weiterer Personen – auszuschalten.

Alle Teile des Netzes sind so zu dokumentieren, dass im Schadensfall betroffene Komponenten bzw.
zuständige Fachkräfte schnell erkannt und unverzüglich aktiviert bzw. angesprochen werden können.

Im Netz sind Komponenten dem jeweiligen Stand der Technik entsprechend und in sinnvollem Umfang
einzubauen, die in der Lage sind, potentielle Gefährdungen des Netzbetriebs vorzubeugen: Dies betrifft
Firewall-, Intrusion-Detection-, Filter- und Proxy-Systeme.

Die Betriebsregelung des Hochschulnetzes sollte so aktualisiert werden, dass die erforderlichen
vorbeugenden Schutz- und aktuellen Abwehr-Maßnahmen klar erkennbar sind und dass für den
Rechnerbetrieb Verantwortliche bei einem nachlässigen Umgang mit dem Netz mit konsequenten
Sanktionen zu rechnen haben.

4.3   Benutzerverantwortlichkeiten

Benutzer sind verpflichtet, die Vertraulichkeit von Benutzerkonten und Kennwörtern zu wahren. Jeder
Endanwender trägt persönliche Verantwortung dafür, durch sein Verhalten für den gewissenhaften Umgang
mit den Informationen, die auf seiner Arbeitsstation verarbeitet werden, Sorge zu tragen. Arbeitsstationen,
auf denen besonders schutzwürdige Daten verarbeitet werden, müssen über ein Passwort vor unberechtigtem
Zugriff geschützt werden.

Der Endanwender ist verpflichtet, sich über mögliche Sicherheitsrisiken zu informieren (zum Beispiel durch
den Besuch von Informationsveranstaltungen).

Auf den an das Hochschulnetz angeschlossenen Rechnern sollte ein Virenschutzprogramm im On-Access-
Modus betrieben werden. Benutzer sind verpflichtet, dieses Virenschutzprogramm angemessen zu pflegen.

Alle sicherheitsrelevanten Vorfälle sind einem zugeordneten Administrator oder direkt dem Sicherheitsteam
zu melden.

4.4   Betrieb von Rechnerpools

Beim Betrieb von Rechnerpools (z.B. Internet-Cafes oder CIP-Pools) ist darauf zu achten, dass kein
unberechtigter Benutzer Internetzugang erhält.
Beim Betrieb der Rechner muss ein Virenschutzprogramm Verwendung finden. Die Sicherheitseinstellungen
sind so vorzunehmen, dass ein Endbenutzer den Virenscanner nicht abschalten kann. Das
Virenschutzprogramm ist angemessen zu pflegen.

4.5   Interneteinwahlzugänge

Generell dürfen keine – neben den zentral bereitgestellten - Zugänge in das Intranet realisiert werden.
Zwingend erforderliche Ausnahmen bedürfen einer vorherigen Genehmigung von der Hochschulleitung; ihre
Betreiber müssen jederzeit nachweisen können, dass über diese ein Missbrauch durch Unbefugte
ausgeschlossen ist.

4.6   Zur Meldung von Sicherheitsproblemen

Alle sicherheitsrelevanten Vorfälle sind dem Sicherheitsteam (siehe unten) in geeigneter Form zu melden.

Weitere Richtlinien sollten dazu dienen, Regelungen zur Protokollierung, Email-Sicherheit, Web-Richtlinie,
Verschlüsselung, Sicherheit von IT-Räumen, Kennwortsicherheit, Datensicherung, Empfehlungen für den
Betrieb von Firewalls usw. zu treffen.

Richtlinien können bzw. sollten durchaus unterschiedliche Gewichtungen bekommen, abhängig davon,
welchen Schutzbedarf ein System hat oder welche Auswirkungen ein Nichteinhalten der Richtlinie für den
Gesamtbetrieb hat: Für Systeme mit besonderem Schutzbedarf muss die Umsetzung einiger Richtlinien
verbindlich sein, während dieselbe Richtlinie für weniger wichtige Geräte möglicherweise nur beratenden
oder empfehlenden Charakter hat. Ebenso sind Richtlinien, die Auswirkungen auf das gesamte Netzwerk
haben, bindend von allen Benutzern zu befolgen.

Sicherheitsrichtlinien müssen für alle Benutzer nachlesbar abgelegt werden. Wenn neue oder geänderte
Richtlinien erscheinen, müssen alle betroffenen Benutzer benachrichtigt werden. Benutzer sollten
möglicherweise durch Unterschrift bestätigen, dass sie von den für sie relevanten Richtlinien Kenntnis
genommen haben.

5     Sicherheitsteam
Zur Erarbeitung und Umsetzung eines Sicherheitskonzeptes ist es notwendig, ein Sicherheitsteam
aufzustellen, das vom Sicherheitsbeauftragten geleitet wird. Das Sicherheitsteam hat die Befugnis, wirksame
Sicherheitsstandards zu definieren und deren Umsetzung zu überwachen.

Die Erarbeitung von Sicherheitsstandards sollte in Zusammenarbeit mit den ADV-Beauftragten der
universitären Einrichtungen geschehen. Dies ist auch für die Akzeptanz ein ganz entscheidender Punkt. Für
die operative Umsetzung der Sicherheitsstandards sind die ADV-Beauftragten der Einrichtungen
verantwortlich.

Das Sicherheitsteam ist für die Aufstellung eines Schulungskonzepts zur IT-Sicherheit verantwortlich, um
Benutzern und Administratoren die Sicherheitsrichtlinien und –strategien zu vermitteln. Das Team sollte
auch Ansprechpartner für die IT-Beauftragten im Bereich sicherheitsrelevanter Fragen sein. Die Mitglieder
des Sicherheitsteams müssen sich schließlich selbst durch Besuch von Sicherheits-Schulungen fortbilden.

Die Effektivität der Arbeit des Sicherheitsteams wird entscheidend durch den Grad der Unterstützung
bestimmt, den sie durch die Universitätsleitung erfährt.

6     Notfallkonzept
Ein Notfallkonzept soll dazu dienen, akute Störfälle zu lokalisieren und den geordneten Betrieb nach
Beseitigung der Störungen wieder herzustellen. Dazu sind zwingend erforderlich
          ein aktueller Benachrichtigungsplan mit den für Probleme und Notfälle zuständigen Personen und
           Einrichtungen und wie diese benachrichtigt werden können (Eskalation).
          Kontaktinformationen zu Administratoren und deren Stellvertretern, die benachrichtigt werden
           müssen (Kooperation).
          ein Backup-Konzept für wichtige Server und Netzkomponenten mit Anweisungen für die
           Restauration (Datensicherung).
          Die Aufzeichnung und Analyse von Vorfällen zwecks Verbesserung des Sicherheitskonzepts
           (Fortschreibung).

7         Zusammenfassung
Zur Verbesserung der Sicherheit an der Universität Dortmund werden folgende nächste Schritte empfohlen:

7.1       Organisatorische Maßnahmen

          Etablierung eines Sicherheitsteams
          Aktualisierung der Netzbetriebsregelung: Textvorschläge dazu können dem ARNW-Papier
           entnommen werden
          Organisation von Schulungen für Sicherheitsexperten, Adminstratoren und Benutzer
          Sicherheits-Verpflichtung von KIT-Zuständigen
          Einführung eines Identity-Management-Systems für Personen und Rechner

7.2       Vorbeugende Maßnahmen

          Registrierung von Netz-Domänen und Rechnern (inklusive Standorte)
          Registrierung von Services sowie der dafür belegten Ports
          Registrierung von Verantwortlichen
          Ausbildung der Verantwortlichen
          Aktualisierung der Konfiguration und Administration von Rechnern
          Prüfung der Sicherheits-Einstellungen
          Einsatz von Datensicherungsmaßnahmen
          Bereitstellung von Software zur Virenabwehr
          Regelmäßige Analysen von potenziellen Schadensfällen
          Bereitstellung von Zertifizierungs- und Authentifizierungs-Schlüsseln

7.3       Erkennung von Sicherheitsdefiziten

          Regelmäßige zentrale und dezentrale Überwachungsfunktionen
          Meldewege bei Sicherheitsdefiziten

7.4       Reagierende Maßnahmen

          Abschaltungen von Rechnern und/oder Subnetzen
          Hilfestellungen bei der Analyse und bei Sofortmaßnahmen

7.5       Berichtswesen

          Etablierung eines mehrstufigen Berichtswesen bis zur Hochschulleitung

8         Danksagung
Wesentliche Grundlagen dieser Ausarbeitung sind:
        ein Bericht von Brigitte Wojcieszynski vom Rechenzentrum der Ruhr-Universität Bochum aus dem
         Jahre 2001 sowie
        eine Ausarbeitung des Arbeitskreises der Leiter von Universitätsrechenzentren in Nordrhein-
         Westfalen(ARNW) aus dem Jahr 2002, welche auch Gegenstand eines Erlasses des Ministeriums für
         Wissenschaft und Forschung NRW war.

9       Kurzglossar
Authentizität: Identität eines Verursachers

Denial-of-Service (DoS): Störung der Verfügbarkeit eines Systems durch Bombardement mit
Anforderungen aus dem Internet

Distributed Denial-of-Service-Attacke (DDoS): Fernsteuerung mehrerer kompromittierter Systeme zur
Durchführung von synchronisierten DoS-Attacken gegen einen Dritten

IP-Adresse: Adressierung von Rechnern im Internet

IP-Name: Systematische Benennung von Rechnern im Internet, abzubilden auf IP-Adresse

Integrität: Unversehrtheit, Unverfälschtheit, Korrektheit von Daten

Internet: Abkürzung für „International Network“, auf den TCP/IP-Protokollen basiertes, weltweites Netz
von Netzen mit inzwischen mit vielen Millionen Teilnehmern.

Intranet: Ein internes Netzwerk in Unternehmen, das zwar mit Internet-Technik realisiert ist, aber die
Erreichbarkeit bzw. Zugreifbarkeit von Rechnern und Dienste auf die eigene Institution begrenzt.

KIT: Kommunikations- und Informations-Technik

Legitime Nutzung: Schutz der Daten und Betriebsmittel vor Benutzung durch nicht autorisierte Personen
oder in nicht autorisierter Art und Weise

Verfügbarkeit: Definierte Nutzungsmöglichkeit von Informationen, Diensten und Betriebsmitteln

MAC-Adresse: Weltweit eindeutige Adresse einer Netzwerkkarte in einem Rechner.

Port: Nummer einer Server-Softwarekomponente zur Behandlung bestimmter Service-Requests

Server: Rechner, der anderen Rechnern Daten und Dienste zugänglich macht. Bekannte Beispiele sind
Server für Web-Seiten, e-Mailing, Dateidienste, Newsgroups oder Domain-Namen.

Vertraulichkeit: Einschränkung des Zugriffs auf Daten

10 Literaturhinweise
IT-Grundschutzhandbuch

        Bundesamt für Sicherheit in der Informationstechnik
        http://www.bsi.de/gshb/deutsch/menue.htm

DFN-CERT – Computer Notfall Team für das Deutsche Forschungsnetz und seine Dienste

        http://www.cert.dfn.de/dfncert/info.html
CERT-Statistics

      http://www.cert.org/stats/cert_stats.html

Sicherheitsvorfälle im Internet, Beobachtungen des DFN-CERT

      Vortrag im Rahmen der Informationsveranstaltung: Bekämpfung der Kriminalität im Internet,
      15. –16. Februar 2000, BKA Wiesbaden
      http://www.bka.de/aktuell/agenda98/

Orientierungshilfe zu Datenschutzfragen des Anschlusses von Netzen der öffentlichen Verwaltung an
das Internet

      Datenschutzbeauftrage des Bundes und der Länder, September 1998
      http://www.lfd.nrw.de/pressestelle/presse_7_zusammensetzen.html

Sicherheitsüberlegungen für Endsysteme – Empfohlene Vorgehensweisen zur Unternehmenssicherheit

      Dodds, Pfeil
      http://www.microsoft.com/germany/technet/inhalte/overview.asp?siteid=274987

Regelungen zur IV-Sicherheit

      Arbeitskreis der Leiter Wissenschaftlicher Rechenzentren in NRW (ARNW)
      W. A. Franck, Aachen; W. Held, Münster; J. W. Münch, Siegen; St. Ost, Münster; B.
       Wojcieszynski, Bochum; H. Ziegler, Dortmund
      21. Februar 2002
      http://www.uni-muenster.de/Rektorat/abuni/ab020507.htm

Weiterführende Informationen

      http://www.bka.de/aktuell/agenda98/agenda.html
      http://www.cert.org/stats/cert_stats.html#vulnerabilities

				
DOCUMENT INFO