Sicherheit in Netzwerken und sichere Kommunikation

Sicherheit in der Informationstechnik sollte zu den Prioritäten des Topmanagements gehören. Doch nur ein Viertel aller deutschen Unternehmen verfügt bereits über eine schriftlich fixierte Security Policy. Und noch seltener wird sie von der Führungsspitze auch propagiert, vorgelebt und durchgesetzt.

Informationen zu sicherheitskritischen Viren und Würmern
Sicherheitskritische Viren und Würmer verbreiten sich über das Internet. Wir möchten Ihnen helfen, Ihren Computer vor diesen Sicherheitslücken zu schützen bzw. bereits entstandene Infektionen zu beheben.

Abonnieren des Microsoft-Sicherheitsbenachrichtigungsdienstes
Der Microsoft Security Notification Service informiert Sie zuverlässig und kostenfrei über alle aktuellen Sicherheitsmeldungen zu Microsoft-Produkten.

CERT Advisory Sicherheitsbenachrichtigungsdienst abonnieren
Der CERT Coordination Center (CERT/CC) der Carnegie Mellon University veröffentlicht sicherheitsrelevante Meldungen zu sämtlichen Plattformen und Komponenten der Informationstechnik.
 

Was jede Security Policy unbedingt beinhalten sollte:

1. IT-Sicherheit muß ganzheitlich gedacht werden. Denken Sie nicht nur an den Schutz Ihrer Server. Denken Sie zum Beispiel auch an Besucher, die in Ihrem Unternehmen ein- und ausgehen.
2. Schaffen Sie die Stelle eines IT-Sicherheitsbeauftragten. Für kleine Unternehmen: Räumen Sie einem fachkundigen Mitarbeiter genügend Freiraum ein, um sich dieses Themas anzunehmen.
3. Fixieren Sie Ihre Security auf jeden Fall schriftlich, und definieren Sie dort Zugriffs- und Zutrittsregeln sowohl für Mitarbeiter als auch für Geschäftsführer und Besucher.
4. Kommunizieren Sie die Security Policy an alle Mitarbeiter, überprüfen Sie ihre Einhaltung, und verhängen Sie bei Nichtbeachtung Sanktionen.
5. Die Einrichtung einer Firewall allein reicht nicht aus: Überprüfen Sie regelmäßig die Schnittstellen Ihres Unternehmens nach draußen.
6. Schaffen Sie mit einem Intrusion-Detection-System eine zweite Verteidigungslinie, um Eindringlinge in Ihrem Netzwerk aufzuspüren.
7. Definieren Sie, welche Daten verschlüsselt werden müssen und welche nicht: zum Beispiel Informationen, die über die Notebooks von Außendienstmitarbeitern laufen.
8. Mitarbeiter und Geschäftsführer sollten sich durch Smart Cards oder digitale Signaturen ausweisen müssen, wenn sie auf den Server zugreifen.
9. Schulen Sie regelmäßig Ihre Mitarbeiter. Werben Sie um Verständnis, klären Sie Ihre Leute regelmäßig auf. Sicherheit braucht eine Lobby.
10. Noch einmal: Sicherheit ist ein ganzheitliches Konzept: Sie muß im Unternehmen gelebt, von der Führungsebene vorgelebt werden.

Sicherheitsanalyse

Eine qualitativ hochwertige Sicherheitsanalyse ist zeitintensiv und setzt ein hohes Maß an Erfahrung voraus. Der Analytiker muß sich laufend informieren und fortbilden. Eine nützliche Informationsquelle ist z.B. die X-Force Website der Firma Internet Security Solutions (ISS) oder das Global Incident Analysis Center.

Es gibt eine Vielzahl von Free- und Shareware Tools sowie Ressourcen zum Thema Security Analyse.
Zum weiteren Einlesen empfehlen wir das deutschsprachige IT-Audit Portal. Sehr nützlich ist die Roadmap to Network Security. Das Center for Internet Security hat automatisierte Tests zu allen Betriebssystemen bereitgestellt und z.B. auch Test zur Sicherheitsüberprüfung von Solaris und Windows NT/2000 freigegeben.
Als Literatur zum Härten von Betriebssystemen empfehlen wir die "Step-by-Step Guides" vom SANS Institute. Microsoft hat eine Checkliste für die Sicherheit von Webservern sowie ein deutschsprachiges Sicherheits-Portal zusammengestellt.

 

Weitere Resourcen

• Mobile VPN-Clients und Quarantänesteuerung in ISA Server 2004
  Die Quarantänesteuerung gewährt Remoteclients (VPN-Clients) einen abgestuften Netzwerkzugriff. Dieser wird auf einen Quarantänemodus beschränkt, bis der volle Zugriff auf das Netzwerk zugelassen wird. Sobald sich die Konfiguration des Clientcomputers in Übereinstimmung mit den spezifischen Quarantäneeinschränkungen Ihrer Organisation befindet, wird auf die Verbindung die Standard-VPN-Richtlinie angewendet. Dabei wird der angegebene Quarantänetyp berücksichtigt. In den Quarantäneeinschränkungen kann beispielsweise festgelegt werden, dass während der Verbindung zum Netzwerk Antivirus-Software installiert und aktiviert wird. Obwohl die Quarantänesteuerung keinen Schutz vor Angreifern bietet, können Computerkonfigurationen für autorisierte Benutzer überprüft und ggf. korrigiert werden, bevor diese Benutzer in der Lage sind, auf das Netzwerk zuzugreifen. Außerdem gib es eine Zeitgebereinstellung, mit der Sie angeben können, nach welchem Zeitraum die Verbindung getrennt wird, falls der Client die Konfigurationsanforderungen nicht erfüllt. Lösungskonzepte für den Einsatz der Quarantänesteuerung des ISA Server hat Microsoft in einem Artikel in TechNet-Bereich bereitgestellt.
   
• Microsoft Windows Server 2003 Sicherheitshandbuch
  Ziel dieses Handbuchs ist, Sie über die umfassenden Möglichkeiten zu informieren, die Windows Server 2003 für die Absicherung Ihrer IT-Umgebung bietet. Das Handbuch beschreibt wichtige Sicherheitsfunktionen und -konfigurationen, mit denen Sie möglichen Gefährdungen und Angriffen entgegenwirken können. Zielgruppe des Handbuchs sind vor allem IT-Consultants, IT-Designer oder Systemingenieure.
   
• Routing und Firewall des Microsoft Windows Server 2003
  Neben der Internet-Verbindungsfreigabe über ICS bietet Windows Server 2003 eine weiter gehende und flexiblere Lösung zur Absicherung des Internet-Zugangs - den "Routing and Remote Access Server".
   
• Leitfaden zur Microsoft Sicherheitspatch-Verwaltung
  Dieser Leitfaden, der in der TechNet Datenbank kostenfrei als Download bereitsteht, ist die zentrale Referenz für das Sicherheitspatch-Management in Ihrer IT-Umgebung. Das Dokument enthält Anleitungen, Tools und Vorlagen, die Ihnen helfen, Sicherheitslücken in Ihrem Netzwerk proaktiv zu erkennen und zu bewerten. Sie erfahren, wie Sie durch das kontinuierliche Anwenden und Verwalten der entsprechenden Patches kosteneffektiv die Sicherheit der Umgebung steigern können.
   
• Software Update Services - Patches und Hotfixes zentral verteilen
  Mit den Software Update Services (SUS) können Sie Patches und Hotfixes für Windows XP Professional, Windows 2000 Server und Windows Server 2003 zentral testen und dann schnell und zuverlässig auf die Desktop- und Servercomputer in Ihrem Netzwerk verteilen. Die SUS stehen kostenlos zum Download zur Verfügung. Eine Neuheit dabei: Die SUS unterstützen jetzt auch die Verteilung von Service Packs.
   
• IPSec unter Microsoft Windows Server 2003
  Mit der IPSec-Implementation von Windows Server 2003 kann man nicht nur Datenverbindungen absichern, sondern auch über Filterfunktionen den Datenverkehr generell einschränken, etwa um Fernwartung zu ermöglichen.
   
• Diskussionsgruppe zu Sicherheitsthemen
  In dieser Diskussionsgruppe werden aktuelle Sicherheitsfragen diskutiert. Ferner veröffentlicht das MVP@work Team dort die neuesten Informationen, Hinweise und Tipps zu Sicherheitsthemen.
   

• Server-Überwachung mit ASP und WMI
  Mittels WMI lassen sich Windows 2000 und Windows Server 2003 per Script-Programmierung verwalten. Dieser Artikel zeigt, wie Sie zusammen mit ASP-Seiten des IIS ganz einfach eine Webkonsole zum Management Ihrer Server realisieren.

• Linux als Firewall
  Linux bietet von Haus aus alle notwendigen Komponenten für eine Paketfilter-Firewall. Bevor Sie jedoch eine Firewall aufsetzen können, sollten Sie das Linux-System selbst sichern.

• Windows 2000 und IIS 5.0 härten
  Installiert man Windows und Internet Information Server out-of-the-Box, so kommt man zwar schnell zu einem produktiven System, leider auch zu einem unsicheren. Windows und IIS können aber nachträglich sicherer gemacht werden. Der Artikel zeigt, welche Tools und Einstellungen beim Härten des Servers helfen.

• SPAM-Schutz für Server
  Die Zahl der unerwünschten Werbemails nimmt stetig zu und kostet die Anwender Zeit und die Firma Netzwerk-Ressourcen. In diesem Artikel wird aufgezeigt, wie Sie effektiv gegen die Nachrichtenflut vorgehen können.

• Security Guidelines for Windows Server 2003
  Microsoft Sicherheitsrichtlinien für Umgebungen mit Windows Server 2003. Dieser umfangreiche Sicherheits-Ratgeber für Windows Server 2003 enthält PDF-Dateien, die anhand von unterschiedlichen Szenarien sinnvolle Konfigurationen für acht Einsatzbereiche beschreiben. Daneben enthält das Paket Erklärungen, Checklisten, Beispieleinstellungen sowie Skripts. Besonders interessant ist ein Leitfaden unter dem Titel "Threats and Countermeasures" mit einer Sammlung von Dokumenten, die die verschiedenen Sicherheitsoptionen von Windows XP und Windows Server 2003 im Detail erläutern.

• Aktuelles Update des Clients ab Windows 2000 SP4 und Windows XP SP1
  Mit diesem Client für Windows 98, Windows ME oder Windows NT 4.0 ist es möglich Layer Two Tunneling Protokoll (L2TP) Verbindungen mit dem Internet Protokoll Security (IPSec) zu nutzen. Dieser Client ist bei Windows 2000 und Windows XP bereits im Betriebssystem enthalten. Die Kombination von L2TP und IPSec ist bekanntlich die derzeit höchste Sicherheitstufe für den Zugriff von entfernten Clients über Virtual Privat Network (VPN) Verbindungen über das öffentliche Netzwerk wie z.B. das Internet. Der Microsoft L2TP/IPSec VPN Client unterstützt außerdem IPSec Network Address Translation (NAT).
   

• USB-Wächter
  In Firmen regelt meist eine spezielle Sicherheitsrichtlinie, auf welchen Wegen Dateien ins Netzwerk gelangen dürfen. Mit hohem Aufwand sichern Administratoren den Internet-Zugang ab und deaktivieren die Disketten- und CD-ROM-Laufwerke in den Arbeitsplatzrechnen. Die USB-Schnittstelle wird jedoch häufig vergessen. Seit der Einführung von Windows 2000/XP lassen sich darüber mit den daumengroßen USB-Sticks Daten mindestens so einfach wie mit einer Diskette einschleusen. Der Heise Verlag hat in seinem Fachmagazin c't in der Ausgabe 8/2003 eine Lösung in Form eines VB-Scripts zur Absicherung von USB-Ports vorgestellt.

• Exportieren, Installieren und Konfigurieren von Zertifikaten für ISA Server
  Microsoft beschreibt in diesem MSKB-Artikel Schritt für Schritt, wie Sie ISA-Server (Internet Security and Acceleration) einrichten, um Webseiten unter Verwendung des SSL-Protokolls (Secure Sockets Layer) zu verwalten und den Zugriff verschlüsseln können.

• VPN (Virtual Private Network) - Sicherer Zugriff aus dem Internet auf das Firmennetzwerk
  Gerade nach den Ereignissen vom 11. September 2001 haben sich viele Unternehmen Gedanken darüber gemacht, dass die Zentralisierung des Netzwerkes erhebliche Nachteile im Falle von Katastrophen mit sich bringt. Verteilte Netze sind wesentlich ausfallsicherer und weitaus schwieriger außer Betrieb zu setzen. VPNs ermöglichen es, sämtliche Anbindungen, wie andere Standorte oder reisende Mitarbeiter kostengünstig und sicher über das weltweite Internet zu realisieren. Mit einer durchdachten VPN-Umgebung können Unternehmen erhebliche Kosten für Arbeitsplätze sparen, weil sie ihre Mitarbeiter über günstige private DSL-Flatrate-Angebote sicher von zu Hause an das Firmennetz anbinden können.

• Sicherheitsaktualisierung mit Systems Management Server 2.0
  Die neuen Werkzeuge fuer den Microsoft Systems Management Server (SMS) 2.0 bieten dem Administrator erweiterte Moeglichkeiten und mehr Flexibilitaet in Windows Umgebungen. Das SMS Software Update Feature
  Pack ist speziell fuer die schnelle Verteilung von kritischen Sicherheitsaktualisierungen fur Windows und Office entwickelt worden. Waehrend das SMS Administration Feature Pack neue Werkzeuge fuer die Verwaltung von Windows Systemen bereitstellt.

• Trotz Milliardeninvestitionen- Grosse IT-Sicherheitsluecken bei deutschen Firmen
  Die Sicherheit von Computersystemen hat bei vier Fuenfteln der deutschen Firmen hohe oder hoechste Prioritaet - doch bisher folgen zu wenig Taten. Ein Drittel hat in den vergangenen zwoelf Monaten keine Schritte unternommen, die Informationssicherheit zu verbessern. Bei 60 Prozent der Unternehmen stagnieren die Budgets fuer die IT-Sicherheit oder sind sogar ruecklaeufig. Im Vergleich mit den USA und Grossbritannien liegt Deutschland damit klar zurueck. Kleinere Unternehmen schneiden besonders schlecht ab. Die Finanzdienstleister erhalten im Branchenvergleich die besten Noten. Zu diesen Ergebnissen kommt eine Studie der Informationweek und der Mummert + Partner Unternehmensberatung.
   
• eProvisioning und Security-Provisioning - Der Mitarbeiter geht, sein IT-Profil bleibt
  Oft bleiben eMail-Accounts und Zugangsberechtigungen zu geschäftskritischen Anwendungen oder Resourcen wie Dateiverzeichnissen bestehen, wenn ein Mitarbeiter das Unternehmen verlässt. Softwarelösungen, die die Vergabe und Aufhebung von Zugangsrechten automatisieren, sollen dieses Sicherheitsrisiko beseitigen. Doch die Umsetzung artet vor allem in Konzernen nicht selten in aufwändige Projekte aus.
   
• Network Security - Eine Einführung (PDF-Dokument, 346 KB)
  Die grundsätzliche Herausforderung ist denkbar simpel: wie stellt man sicher, daß Unbefugte nicht in Kommunikationsnetze (im Sinne LAN, WAN oder Internet-basierend) eindringen und vertrauliche Informationen oder sonstige IT Ressourcen weder erspähen, manipulieren noch beschädigen.
   
• Trend Micro Anti-Virus Homepage
   
• 12 Tipps für den Aufbau einer Firewall
   
• Sicherheitslösungen des MVP@work-Teams in Funknetzwerken (WLAN)
   
• Sicherheitsstrategien bei Microsoft.com
   
• Sicherheit im Internet
  ist ein Informationsdienst des Bundministerium für Wirtschaft und Technologie sowie des Inneren (BMWI) mit didaktisch aufbereiteten Einführungen, Branchenlösungen und kommentiertem Expertenwissen.
   
• Bundesamt für Sicherheit in der Informationstechnik
  Das BSI berät und unterstützt Behörden in Fragen der Informationssicherheit.
   
• Sicherheit in Netzen
  Eine Abhandlung von Prof. Jürgen Plate und Dipl.Ing. Jörg Holzmann, die Gefahren und deren Abwehr in Netzen erläutert.
   
• Deutsche Microsoft Newsgroups zu Sicherheitsthemen und -fragen
  microsoft.public.de.security.heimanwender
  microsoft.public.de.security.netzwerk.sicherheit
   
• Trojaner-Info
  Umfangreiches deutschsprachiges Informationsangebot zu Themen wie Trojanische Pferde, Viren, Dialer und anderen Sicherheitsthemen.