Erstellen einer Security Policy

Bevor man eine passende Firewall zu planen und auszuwählen beginnt, muß eine Sicherheitspolitik erstellt werden.

In dieser wird festgelegt, wie die Netzanbindung der Firma oder Organisation gestaltet werden soll.

Die Entwicklung einer Sicherheitspolitik geht in drei Schritten vonstatten. Als erstes wird festgestellt, welches Sicherheitsniveau für die Firma angemessen ist.

Danach wird ein Sicherheitsmanagement-Team gebildet, welches schließlich die Sicherheitspolitik erarbeitet.

In der Beschreibung der Sicherheitspolitik gibt es keine technischen Beschreibungen, wie zum Beispiel ein Paketfilter zu konfigurieren ist, dies ist Aufgabe eines Umsetzungskonzeptes.

Einer Sicherheitspolitik beschreibt die Vorgaben, die der Paketfilter nach der Konfiguration erfüllen soll und dies in möglichst allgemeinverständlicher Form.

In der folgenden Abschnitten sind einige sinnvolle Inhalte der Sicherheitspolitik erläutert.

Organisatorische Maßnahmen

• Den Mitarbeitern der Firma wird untersagt, Netzzugänge zu schaffen (z.B. eigene Modems), welche die Firewall umgehen.
• Ein Netzbetrieb ohne Firewall muß ausgeschlossen werden (Überbrückung).
• Das interne Firmennetz kann nur über eine einzige IP-Adresse (die der Firewall) erreicht werden.
• Die Adressen interner Rechner werden nicht Außenstehenden bekanntgegeben.
  

Maßnahmen zum Schutz der Firewall Hardware

• Der oder die Firewallrechner muß in einem speziellen abgesicherten Raum mit geeigneten Katastrophenschutzeinrichtungen und Zugangskontrolle untergebracht werden.
• Es ist eine unterbrechungsfreie Stromversorgung für die Firewall (USV) vorzusehen.
• Es ist ein Schutz gegen die Abstrahlungen des Administrationsterminals vorzusehen, damit das Ausspähen von Konfigurationsdaten erschwert wird.
  

Maßnahmen zum Schutz der Firewall Software

• Um die Firewall zu konfigurieren wird nach dem Konzept "Was nicht ausdrücklich erlaubt ist, ist verboten" vorgegangen. Hierzu wird ein abgespecktes "sicheres" Betriebssystem verwendet. Es werden nur die Programmteile, die zum Betreiben des Firewall unbedingt notwendig sind, installiert.
• Die Firewall wird mit geeigneten Virenschutzprogramme versehen. Es muß sichergestellt werden, dass Originalsoftware verwendet wird. Sie ist von einer schreibgeschützten Diskette aus zu starten. Die Firewall muss während der Viren-/ Integritätsprüfung vom Netz abgeklemmt werden.
• Es ist ein geeignetes Backupkonzept zu entwerfen, und die Backups müssen sicher aufbewahrt werden. Die Protokolldaten der Firewall sind täglich zu sichern. Es müssen wöchentliche und monatliche Backups der Logdateien erstellt werden. Die Konfigurationsdaten und die eigentliche Firewallinstallation sollten nach jeder Änderung gesichert werden.
• Der Firewallrechner darf nicht für andere Tätigkeiten verwendet werden, d.h. es darf außer der Firewallsoftware keine zusätzliche Software eingespielt werden.
  

Maßnahmen zur Schulung der Mitarbeiter

• Die Mitarbeiter, die Zugang zum öffentlichen Netz (Internet) haben, müssen gegenüber Sicherheitsaspekten mittels Aufklärung und Schulung sensibilisiert werden. Es ist große Aufmerksamkeit der Gestaltung und der Handhabung von Paßwörtern zu widmen.
• Die Benutzer müssen auf Verbote und Gefahren hingewiesen werden, die beim Hereinholen von Programmen und Dateien existieren.
  

Dokumentation der erlaubten Dienste

• Email (SMTP)
• FTP (Dateitransfer)
• Anonymous FTP (Dateitransfer an unautorisierte Außenstehende)
• ICMP (Fehler- und Diagnoseinformationen)
• WAIS (Suche nach Schlüsselworten in Dokumenten im Internet)
• HTTP (WWW)
• DNS (Zur Übersetzung von Rechnernamen in IP-Adressen und umgekehrt)
• TELNET (entfernter Terminalzugang)
  

Dokumentation der verbotenen Dienste

Hier werden die bekanntesten Protokolle/Dienste explizit genannt. Alle weiteren, hier nicht genannten, werden ebenfalls gesperrt:

telnet, tftp, whois, finger, archie, fsp, uucp, remote-Kommandos (BSD), rexec, rex, talk, irc, syslog, Nfs, NIS / yp, epr/pr, SNMP, RIP, NTP, ARP

Erstellung von Eskalationsplänen

• Findet ein Angriff auf das Firmennetz oder ein Einbruch in das Firmennetz statt, dann liegt es im Ermessen der verantwortlichen Administratoren, welche Maßnahmen zu ergreifen sind. Kriterien für die Entscheidung (Verfolgung oder nicht) sind der z.B. entstandene Schaden und die Erfolgsaussichten einer Verfolgung. Der Aufwand, der bei einer Verfolgung des Täters betrieben wird, muß im Verhältnis zum entstandenen oder zu erwartenden Schaden stehen.
• Die Firewall wird am Anfang des Betriebes so eingestellt, daß die Alarmschwelle sehr niedrig angesetzt ist. Die Firewall gibt beim geringstem Anlaß eine Alarmmeldung an den Administrator aus. Später im laufendem Betrieb kann die Alarmschwelle evtl. stufenweise nach oben gesetzt werden (nach Sammlung von Erfahrungen).
• Es ist ein geeignetes Verfahren zu entwickeln, wie dem Systemverwalter sicherheitsrelevante Unregelmäßigkeiten gemeldet werden.
  

Maßnahmen zur Protokollierung

• Die Protokollierung des IP-Verkehrs ist eine der wichtigsten Funktionen einer Firewall. Jede aufgebaute und abgewiesene Verbindung auf der Anwendungsschicht muß protokolliert werden (Benutzer-Identifikation, IP-Adresse des Quell- und Zielrechners, Portnummer, Zeit und Datum). Aus den entstehenden Protokolldateien können Nutzerprofile erstellen werden. Es muß festgelegt werden, wie lange Protokolldateien gespeichert bleiben und wer die Protokolle einsehen darf (Administrator u. Stellvertreter sowie Revisor). Es ist auf die Einhaltung des Zweckbindungsgrundsatzes zu achten. Siehe §14 Abs. 4 BDSG. Die Protokollierung muß den datenschutzrechtlichen Bestimmungen entsprechen. Die Mitarbeiter müssen über ihre Rechte und über den Umfang der Nutzdatenfilterung informiert werden.
• Bei einem Ausfall der Protokollierungskomponente muß eine Warnung ausgegeben werden. Die Firewall muß so zu konfigurieren sein, daß bei einem Ausfall der Protokollierungskomponente jegliche nicht administrative Nutzung der Firewall unterbunden wird.