Viren, Spyware, Datenschutz 11.258 Themen, 94.807 Beiträge

Verfolgung starten Optionen

Begründung für Sicherheitskonzept gesucht!

Mister X (Anonym) / 2 Antworten / Baumansicht Nickles

Hallo Leute,

ich stehe vor der erquicklichen Aufgabe, nächsten Mittwochmorgen unserer Sicherheitsabteilung in der Firma zu verklickern, wieso ich es NICHT für ausreichend halte, die Managementzugänge zu den Kundennetzen, die mein Team betreut, lediglich mit Access-Listen in den Zugangsroutern abzusichern.

Was wir zur Erhöhung der Sicherheit versuchen wollen, ist der systematische und intelligente Einsatz eines Firewall-Systems in Verbindung mit einem VPN, wobei selbstverständlich auch die zusätzliche Option durch die Access-Listen genutzt werden kann.

Da fast alle unsere Kunden auch über Internetzugänge verfügen und wir nur schlecht einschätzen können, wie gut diese abgesichert sind, möchten wir natürlich unseren Managementbereich -wo alle Fäden zusammenlaufen- mit State-Of-The-Art-Technik sichern und kontrollieren.

Mir fallen zwar diverse Schlagwörter zum Thema ein, allerdings wäre ich Euch sehr dankbar, wenn auch Ihr hier Eure Ideen zum Thema -gerne auch mit alternativen Lösungsansätzen- posten könntet.

Im Voraus vielen Dank für Eure Beiträge

Mister X
ps.: Ich möchte diesmal aufgrund des brisanten Themas lieber anonym bleiben!

bei Antwort benachrichtigen
Anonym Mister X (Anonym) „Begründung für Sicherheitskonzept gesucht!“
Optionen

Access Listen in Routern sind etwa so sicher wie ein "Zutritt Verboten"
Schild an einer Tür. Voellig ausreichend, wenn sich hinter der Tür
nur der Abstellraum für den Putzeimer befindet, aber lächerlich wenn
es um das Rechenzentrum geht.

In Deinem Fall geht es aber um relevante Daten also notwendig sind
also:

Authentifizierung Client gegenüber Server: Der Server muß sicher
stellen können, daß die Person der er die Daten gibt autorisiert ist.

Authentifizierung Server gegenüber Client: Der Client muß in der
Lage sein zu überprüfen ob die Daten (die er evtl. als Grundlage
für eine Entscheidung heranzieht) von der richtigen Stelle kommen.
Er muß auch prüfen können ob er seine Daten an die richtige Stelle
schickt.

Sind die Daten nicht vertraulich kann man jetzt aufhören, unter
der Bedingung daß alle Datenpakete authentifizierbar sind. Ansonsten
sind beliebige "Man in the middle" Attacks möglich. (Der Angreifer
wartet einfach die Authorisierungsphase ab, und haengt sich dann
in den ungesicherten Datenstrom)
Um das sicherstellen zu können benötigt man aber i.A. ein VPN, also
kann man gleich auch noch eine Verschluesselung aufschalten.

j.

bei Antwort benachrichtigen
Carrie Mister X (Anonym) „Begründung für Sicherheitskonzept gesucht!“
Optionen

Hi, VPN ist auf jeden Fall das richtige Stichwort, lass dich da nicht beirren (einige Querkoepfe kriegen da einen bitteren Blick weil sie eine Menge Zusatzarbeit wittern und nicht kapieren worum es wirklich geht), wahrscheinlich ist dass ihr sonst bald ein echtes Problem habt, eine Sicherheitsabteilung die das nicht versteht hat den Namen nicht verdient, ACLs reichen nicht, weil einfach keine Authentifizierung stattfindet, halt dich an das was Jay schon gesagt hat.
--->Router sind hoechstens als Helfer _vor_ und _hinter_ einer "echten" Firewall geeignet (sogar unbedingt dahinter, denn ein Firewall-Rechner muss nochmal zusaetzlich vom internen Netz getrennt werden um nicht selbst irgendwann Schaden anzurichten), ihr braucht insgesamt ein ordentliches Firewallsystem, inkl Abgehen aller verfuegbaren Checklisten, PLUS eine einfach zu verstehende Sicherheits Policy fuer alle Benutzer des Netzes, es nuetzt nichts wenn ihr eine Sicherheitspolitik aufbaut ohne dass Kunden zum Mitmachen angehalten werden, nur nicht schonen (sonst sitzt ihr im Holzhaus). Ich denke du stellst dir aber selbst schon das Richtige vor.


gute VPN Resourcen unter http://kubarb.phsx.ukans.edu/~tbird/vpn.html
(kleiner Eindruck davon was euch generell bevorsteht unter : http://img.cmpnet.com/datacomm/tutorials/images/point_figure1.gif)

ich wuerde dir gerne helfen, aber die Information zu den beteiligten Netzen und der Bedarfslage reicht noch nicht ---du kannst mich ggf unter carrie@cyberspace.org erreichen. Viel Glueck. bye_Carrie

bei Antwort benachrichtigen