Dipl.-Inform. Carsten Eilers

Als erstes brauchen wir ein zu untersuchendes Netzwerk. Dafür dient ein fiktives Beispielunternehmen, die "Bratkartoffel KG". Dieses mittelständische Unternehmen stellt, wie der Name vermuten lässt, Bratkartoffeln her. Auf dem Firmengelände gibt es neben dem Verwaltungsgebäude eine Produktionshalle, in der sich die vollständig automatisierten Produktions- und Verpackungsanlagen befinden, und mehrere Lagerhallen für Rohstoffe und Fertigprodukte. Die Versandabteilung befindet sich in der Lagerhalle für die fertigen Produkte. Außerdem betreibt das Unternehmen eine Versuchsküche, die sich in einem angemieteten Gebäude im Nachbarort befindet.

Die IT-Abteilung ist in einem separaten Flügel des Verwaltungsgebäudes untergebracht, alle Gebäude auf dem Firmengelände sind miteinander vernetzt. Dabei befindet sich der zentrale Switch in der IT-Abteilung, von wo aus Verbindungen in die Verwaltung, die Produktionshalle, die Lagerhallen und die Versandabteilung gehen. In der IT-Abteilung befinden sich ein zentraler Server sowie ein Webserver samt zugehörigen Application- und Datenbankserver. Irgend welche Schutzmaßnahmen sind anfangs natürlich nicht vorhanden.

Abb. 1: Netzwerk der Bratkartoffel KG (Klick für großes Bild in neuem Tab/Fenster)

Schritt 1: Die Zielsetzung

Erster Schritt bei der Entwicklung der Sicherheitsrichtlinie ist die Zielsetzung. Von den vielen möglichen und nötigen Zielen soll jetzt nur ein Teilziel betrachtet werden: Ein unbefugter Zugriff auf vertrauliche Unternehmensdaten soll verhindert werden. Diese befinden sich auf dem zentralen Server und den verschiedenen lokalen Clients, zum Teil auch auf Web- und Datenbankserver.

Schritt 2: Die Risikoanalyse

Für die Risikoanalyse wird das Unternehmensnetz in mehrere Teile zerlegt und diese einzeln betrachtet. Einen Teil bilden Web-, Application- und Datenbankserver. Diese müssen aus dem Internet und dem lokalen Netz zugänglich sein. Aus dem Internet sollen Kunden Informationen abrufen und Bestellungen aufgeben können. Aus dem lokalen Netz sollen die Server mit aktuellen Informationen versorgt und Bestellungen abgefragt werden können. Da das Unternehmen gut die Hälfte seines Umsatzes über Bestellungen aus dem Internet generiert ist ein funktionsfähiges Bestellsystem zwingend notwendig. Das Angriffsrisiko von außen ist hoch, da eine ständige Verbindung zwischen Bestellsystem und Internet besteht. Von innen ist das Angriffsrisiko gering, da dort der interne Server ein interessanteres Ziel darstellt.

Einen weiteren Teil bildet der zentrale Server. Auf diesem sind alle Daten des Unternehmens gespeichert, entsprechend hoch ist sein Wert für das Unternehmen. Ein Angriff kann zur Zeit sowohl von innen als auch von außen erfolgen. Da ein Zugriff von außen nicht notwendig ist kann er unterbunden werden, danach sind nur noch Angriffe von innen möglich.

Weitere Teile sind die Clients und (Teil-)Netze in der Verwaltung, der IT-Abteilung, der Produktion, dem Vertrieb und den Lagerhallen.

Da Produktion und Verpackung vollständig automatisiert sind ist ein funktionsfähiges Netzwerk für das Unternehmen überlebenswichtig. Mögliche Beeinträchtigungen sind hierbei z.B. Viren oder Würmer, die einmal ins Netzwerk z.B. der Verwaltung eingeschleppt, auch auf die Steuerrechner in der Produktion oder die Clients im Vertrieb übergreifen würden. Aber jetzt geht es ja "nur" um den Schutz der vertraulichen Unternehmensdaten, aber auch die gibt es in den Netzen von Produktion und Verpackung.

Für einen Angreifer interessante Daten sind z.B. die Rezepte bzw. Anweisungen für die automatische Produktion: Diese könnten sowohl an Konkurrenten verkauft als auch im Rahmen eines Erpressungs-/Ransomware- oder auch eines Denial-of-Service-Angriffs manipuliert werden. Sie befinden sich vollständig auf dem zentralen Server und während der Produktion verteilt auf den entsprechenden Clients, z.B. Waagen, Öfen usw..

Schritt 3: Schutzmaßnahmen planen

Der erste Schutz des Netzwerks besteht in der Abspaltung von Web-, Application- und Datenbankserver. Diese werden in einer Demillitarisierten Zone positioniert, die aus zwei Paketfiltern gebildet wird. Zusätzlich werden die Server durch ein Application Level Gateway geschützt.

Abb. 2a: Netzwerk der Bratkartoffel KG mit DMZ (Klick für großes Bild in neuem Tab/Fenster)

Als weitere Schutzmaßnahme wird zwischen äußerem Paketfilter und ALG ein Intrusion Prevention System installiert. Dessen Einbruchserkennung wird als ausreichend angesehen, so dass auf ein zusätzliches Intrusion Detection System verzichtet wird.

Abb. 2b: Netzwerk der Bratkartoffel KG mit DMZ und IDS (Klick für großes Bild in neuem Tab/Fenster)

Nicht beachtet wurden in diesem Zusammenhang z.B. die Zugangs und Zugriffskontrolle. Natürlich dürfen nur befugte Personen Zugang zu und Zugriff auf Web-, Application- und Datenbankserver haben. Ebenso muss der Schutz der Hardware vor Bedrohungen wie Feuer, Überspannung usw. gewährleistet sein. Auch regelmäßige Backups der Datenbestände (sofern sie nicht aus den Daten des zentralen Servers generiert werden können) dürfen nicht vergessen werden. Evtl. gehe ich in Zukunft noch darauf ein. Jetzt geht es erst einmal nur um den Schutz vor Angriffen über das Netzwerk.

Was da weiter zu tun ist erfahren Sie in der nächsten Folge.

Carsten Eilers