M 2.280 Kriterien für die Beschaffung und geeignete Auswahl von Routern und Switches

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator

Aktive Netzkomponenten unterscheiden sich in ihrem Leistungsumfang, den angebotenen Sicherheitsmechanismen, Bedienkomfort und Wirtschaftlichkeit. Werden bei der Beschaffung Fehler gemacht, so kann dies schwerwiegende Folgen auf den sicheren Betrieb eines Netzes haben, da mit ungeeigneten Geräten das angestrebte Sicherheitsniveau unter Umständen nur schwer erreichbar ist.

Bevor Router und Switches beschafft werden, muss daher eine Anforderungsliste erstellt werden, anhand derer die am Markt erhältlichen Produkte bewertet werden. Aufgrund der Bewertung kann dann eine fundierte Kaufentscheidung erfolgen, die sicherstellt, dass das zu beschaffende Produkt im praktischen Betrieb den Anforderungen genügt.

Aus dem Blickwinkel der IT-Sicherheit sind zentrale Anforderungen an aktive Netzkomponenten, dass diese die Administration über sichere Protokolle erlauben und dass die Benutzerverwaltung des Geräts es erlaubt, das organisationsweite Rollenkonzept entsprechend umzusetzen. Die Anforderung, dass Passwörter nur verschlüsselt im Gerät gespeichert werden dürfen, sollte eigentlich eine Selbstverständlichkeit sein, jedoch gibt es immer noch Geräte, bei denen Passwörter im Klartext in Konfigurationsdateien gespeichert werden müssen. Bei Neubeschaffungen sollten keine Geräte mehr berücksichtigt werden, die keine sichere Administrationsmöglichkeit bieten und bei denen es nicht möglich ist, Passwörter verschlüsselt abzuspeichern.

Auch rein funktionale Merkmale aktiver Netzkomponenten können Auswirkungen auf die IT-Sicherheit haben. Meist ist dann der Grundwert Verfügbarkeit betroffen, beispielsweise wenn ein Gerät wegen unzureichender Speicherausstattung nicht die erforderlichen Durchsatzraten erreicht. Außerdem spielt die Unterstützung durch den Hersteller eine nicht zu vernachlässigende Rolle, wenn es beispielsweise darum geht, dass zeitnah Patches für Sicherheitslücken zur Verfügung gestellt werden.

Nachfolgend werden einige grundsätzliche Anforderungen bei der Beschaffung von Routern und Switches aufgelistet. Anschließend werden noch einige spezielle Anforderungen getrennt für Router und Switches beschrieben.

Allgemeine Kriterien für Router und Switches

Besondere Kriterien für Switches

Besondere Kriterien für Router

Ergänzende Kontrollfragen: