Security@Work - Pragmatische Konzeption und Implementierung von IT-Sicherheit mit Lösungsbeispielen auf Open-Source-Basis

Vorwort

Inhaltsverzeichnis

1 Einleitung

1.1 Für wen dieses Buch interessant ist

1.2 Warum dieses Buch entstand

1.3 Was dieses Buch leistet

1.4 Was dieses Buch nicht bietet

1.5 Wie dieses Buch gelesen werden sollte

1.6 Konventionen im Buch

1.7 Randgedanken

Teil I Einführung in das Thema ”IT-Sicherheit“

2 Was ist ”IT-Sicherheit“?

2.1 Versuch einer Herleitung

2.1.1 ”Sicherheit“ im Alltag

2.1.2 ”IT“

2.2 Sicherheitsgrundbedürfnisse

2.2.1 Verfügbarkeit

2.2.2 Verlässlichkeit

2.2.3 Vertraulichkeit

2.3 Begriffsdefinition

3 IT-Sicherheit im Kontext

3.1 Der allgemeine Kontext

3.2 Schutzbedarf

3.3 Schutzziele

3.3.1 Integrität

3.3.2 Verfügbarkeit

3.3.3 Vertraulichkeit

3.3.4 Weitere Zielsetzungen

3.4 Schutzmaßnahmen

3.4.1 Konfiguration

3.4.2 Überwachung

3.4.3 Alarmierung

3.4.4 Reaktion

4 Ideen für eine Laborumgebung

4.1 Logische Struktur

4.1.1 Netzwerkzone DMZ

4.1.2 Netzwerkzone LAN

5 Bedrohungen

5.1 Motivation der Angreifer

5.1.1 Habgier

5.1.2 Neugier

5.1.3 Spionage

5.1.4 Vergeltung/Sabotage

5.1.5 Konspiration

5.2 Das Ebenenmodell der Bedrohungsarten

5.2.1 Anwendungsebene

5.2.2 Protokollebene

5.2.3 Ressourcenebene

5.3 Technische Bedrohungskategorien

5.3.1 Denial of Service

5.3.2 Code Injection

5.3.4 Spoofing und Session Hijacking

5.3.5 Poisoning

5.3.6 Flooding

5.3.7 Malicious Content

5.4 Social Engineering

5.5 Zusammenfassung

Teil II Methodische Grundlagen zur Modellierung und Umsetzung von IT-Sicherheit

6 Anforderungsableitung und -definition

6.1 Einleitung

6.2 Exkurs: Bundesdatenschutzgesetz (BDSG)

6.3 Ausgangssituation

6.4 Analyse von Organisation- und IT-Struktur

6.5 Anregungen

7 Sicherheitsanalyse

7.1 Einleitung

7.2 Zielsetzung

7.3 Vorgehensweise

7.4 Ist-Erhebung

7.5 Schutzbedarfserhebung

7.5.1 Ableitung von Schutzbedarfskategorien

7.5.2 Festlegung des Schutzbedarfs

7.6 Ableitung Soll-Modell

7.6.1 IT-Sicherheitsrichtlinie / Security-Policy

7.6.2 Priorisierung

7.6.3 Zuordnung von Maßnahmen

7.6.4 Restrisikoanalysen

7.7 Ergebnisumfang

8 Anwendung der Sicherheitsanalyse

8.1 Einführung

8.2 Vorgehen

8.3 Bedrohungs- und Gefahrenpotentialanalyse

8.4 Sicherheitscheck

8.5 Ableitung Handlungsbedarf

9 Überprüfung und Bewertung von IT-Sicherheit

9.1 Vorbemerkungen

9.2 Prüfung ist notwendig, Evaluierung nutzbringender!

9.3 Assessments

9.3.1 Self-Assessment

9.3.2 Vulnerability-Assessment

9.3.3 Penetration-Assessment

9.3.4 Risk-Assessment

9.4 Audits

9.4.1 Internes Audit

9.4.2 Externes Audit

9.5 Möglichkeiten einer Tool-Unterstützung

10 IT-Sicherheitskonzept

10.1 Überblick

10.1.1 Kapitel 1 und 2 – Administrativa und Überblick

10.1.2 Kapitel 3 – Fokus

10.1.3 Kapitel 4 – Systemarchitektur

10.1.4 Kapitel 5 – Schutzbedarf

10.1.5 Kapitel 6 – Anzuwendende Vorgaben

10.1.6 Kapitel 7 – Anforderungen

10.1.7 Kapitel 8 – Implementierungsvorgaben

10.1.8 Kapitel 9 – Restrisiken

10.1.10 Sonstige Konzepte und Querverweise

10.2 Exkurs: Erstrealisierung von IT-Sicherheit

11 Standards zur IT-Sicherheit und Regulatory Compliance

11.1 Was hat IT-Sicherheit mit Regulatory Compliance zu tun?

11.2 Regulatory Compliance

11.2.1 Allgmeine Gesetze und Regelungen in der BRD

11.2.2 Fachspezi.sche Gesetze und Regelungen in der BRD

11.2.3 Ausl¨andische Gesetze und Regelungen

11.2.4 Allgemeine Standards

11.3 Standards zur IT-Sicherheit

11.3.1 ISO-Standards

11.3.2 BSI-Standards

11.4 Weitere Technologie- und Methodenstandards mit Bezug zur IT-Sicherheit

11.4.1 Querschnittliche Methoden und Standards

11.4.2 NIST-Methoden und -Standards

11.4.3 Open Source Community / Freie Projekte

Teil III Etablierung einer Grundabsicherung

12 Methodische Vorgehensweise zur Umsetzung technischer Maßnahmen

12.1 Konzeption und PoC

12.2 Implementierung und Ausbringung

12.3 Betrieb

13 Grundlagen zur Härtung von Systemen

13.1 Zielsetzung

13.2 Betriebskonzeption

13.3 Konzeptionelle H¨artung des Betriebssystems

13.3.1 Ressourcenverwaltung

13.3.2 Der Kernel

13.3.3 Benutzerverwaltung

13.3.4 Berechtigungskonzepte

13.3.5 Installation

13.4 Konzeptionelle H¨artung systemnaher Dienste

13.5 Virtualisierung

13.5.1 LPAR

13.5.2 chroot

13.5.3 jails, UML, vserver

13.5.4 Virtuelle Hardware

13.5.5 Einsatzgebiete

14 Grundlagen zur Absicherung von Netzen

14.1 Netzwerkgrundlagen

14.1.1 Das ISO/OSI-Modell

14.2 Ethernet

14.2.1 Zugang zum Medium

14.2.2 Adressierung

14.2.3 Zugriffskontrolle

14.2.4 Zusammenfassung

14.3 TCP/IP

14.4 Übergreifende Absicherung von Netzen und Datenverkehr

14.4.1 Anbindung von Systemen an Netze

14.4.2 Absicherung von Endger¨aten auf Systemebene

14.4.3 Absicherung von Netzwerkverkehr

14.4.4 Absicherung des Zugangs zu Diensten und Anwendungen

14.4.5 Datentransfer und -haltung auf Anwendungsebene

14.4.6 Gedanken zum integrierten Betrieb

15 Querschnittsbetrachtungen zur Absicherung des Betriebs

15.1 Best Practices

15.1.1 NTARS

15.1.2 Think Twice

15.1.3 Konfigurationsänderungen

15.1.4 Installationen

15.1.5 Informationsbescha.ung

15.1.6 Gesunde Paranoia

15.2 Systems Management

15.2.1 Monitoring

15.2.2 Event Management und Resolution

15.2.3 Con.guration Management

15.2.4 Software Distribution

15.3 Dokumentation

15.3.1 Inhalte

15.3.2 Umfang

15.3.3 Aufbau und Form

15.3.4 Ablage

15.4 Information Flow Control

15.5 ”Externe“

15.5.1 Dienstleister

15.5.2 Mitarbeiter

15.6 Worst Practices

15.6.1 Security by Obscurity

15.6.2 Sorglosigkeit

15.6.3 Inselmentalit¨at

Teil IV Absicherung von Peripheriediensten

16 Überblick und Szenarien

16.1 Uberblick

16.2 Szenarien

17 Datensicherung

17.1 Allgemeine Anforderungen und Lösungen

17.1.1 Methoden und Verfahren zur Datensicherung

17.1.2 Datenhaltung und Kategorien von Daten

17.2 Anforderungen an Datensicherungsimplementierungen

17.2.1 Kommunikationswege

17.2.2 Verschlüsselung von Datensicherungsdaten

17.2.3 Datensicherungsserver

17.2.4 Datensicherungsklient

17.2.5 Datenhaltung

18 Verzeichnisdienste

18.1 Historie und Einsatzfelder

18.1.1 System- und Benutzerverwaltung

18.1.2 Rollen- und Berechtigungsverwaltung im Anwendungsumfeld

18.1.3 Benutzeranmeldung

18.1.4 Verwaltung von Metadaten

18.1.5 Next Generation Tools: Access und Identity Management

18.1.6 Zertifikate und Verzeichnisdienste

18.2 Architekturempfehlungen hinsichtlich Betriebsf uhrung

18.2.1 Datenladung und Platzierung von Verzeichnisdiensten

18.2.2 Kommunikation mit Verzeichnisdiensten

19 RDBMS

19.1 Betriebssysteme und Datenbanken

19.2 Kommunikation mit Datenbanken über Schnittstellen

19.3 Datenhaltung und Zugri.

19.4 Kryptologie im RDBMS-Umfeld

20 Interpretersprachen zur Web-Ausgabe

20.1 Mögliche Schwachstellen

20.1.1 Allgemeines

20.1.2 Vulnerabilities des PHP-Interpreter

20.1.3 Benutzereingaben

20.1.4 Dateinamen

20.1.5 Variante 1: Lokale Dateien

20.1.6 Variante 2: Entfernte Dateien

20.1.7 Eingabe von Werten mittels eval()

20.1.8 Umgebungs- und Laufzeitvariablen

20.1.9 Aufruf externer Programme

20.1.10 Datenbankzugri.e

20.2 Übergreifende Lösungsansätze

20.2.1 Allgemeine PHP-Kon.guration

20.2.2 PHP Safe Mode

20.2.3 Include-Dateien

20.2.4 Auslagern von sensitiven Daten

20.2.5 Filterung von Benutzereingaben

20.2.6 Handhabung von Benutzersitzungen

20.2.7 HTTP-Authentisierung

20.2.8 Credential-Authentisierung

20.2.9 Verfolgung von Benutzeraktivitäten

20.2.10 Berechtigungssysteme

21 Web Application Server

21.1 Einleitung

21.2 Plattform

21.3 Technische Aspekte zur Absicherung

21.3.1 Dislozierung in Netzwerkzonen

21.3.2 J2EE-Server

21.3.3 CVS und Entwicklungstools

21.4 Betriebliche Aspekte zur Absicherung

21.4.1 Transportwesen und Release Management

21.4.2 Überwachung Laufzeitverhalten

21.4.3 Security by Policy

22 Exkurs: Technische Sicherheit von Web-Inhalten

22.1 Aktive Inhalte

22.1.1 Java-Applets

22.1.2 JavaScript

22.1.3 ActiveX und Visual Basic Script

22.1.4 Macromedia Flash und sonstige Plug-ins

22.2 Dynamische Inhalte

Teil V Spezielle Sicherheitsdienste

23 Betrachtung spezieller Sicherheitsdienster

24 Proxy-Dienste

24.1 Grundfunktionalität

25 Content-Filter

25.1 Funktionsweise

26 Eindringlingserkennung

26.1 Arten von IDS

26.1.1 Network Based IDS

26.1.2 Host Based IDS

26.1.3 Web Based IDS

26.1.4 Grundlegende Architektur

26.2 Funktionsweisen

26.2.1 Signaturerkennung

26.2.2 Anomalieerkennung

26.2.3 Wirtschaftlichkeit versus Motivation

Teil VI Abschluss

27 Reflexion und Ausblick

Teil VII Anhänge

Literaturverzeichnis

Sachverzeichnis