M 2.71 Festlegung einer Policy für ein Sicherheitsgateway

Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT

Verantwortlich für Umsetzung: Administrator, IT-Sicherheitsbeauftragter

Die Policy des Sicherheitsgateways bestimmt das Verhalten des Sicherheitsgateways. Sie definiert, welche Informationen, Dienste und Protokolle das Sicherheitsgateway wie behandelt und wer sie nutzen darf. Die Policy ist nicht zu verwechseln mit der Sicherheitsrichtlinie für das Sicherheitsgateway, in der Vorgaben für den sicheren Betrieb des Sicherheitsgateway selbst gemacht werden.

Kommunikationsanforderungen

Für die Erstellung einer Policy muss als erstes festgelegt werden, welche Arten der Kommunikation mit dem äußeren Netz zugelassen werden. Bei der Festlegung der Kommunikationsanforderungenmüssen speziell die folgenden Fragen beantwortet werden:

Auswahl der Dienste

Aus den Kommunikationsanforderungen wird dann abgeleitet, welche Dienste im zu sichernden Netz erlaubt werden.

Es muss unterschieden werden zwischen denjenigen Diensten, die für die Benutzer im zu schützenden Netz und denjenigen, die für externe Benutzer zugelassen werden.

Wenn zum Beispiel E-Mail empfangen werden soll (was im allgemeinen die Minimalanforderung ist) muss das Protokoll SMTP vom Sicherheitsgateway durchgelassen werden können.

In der Policy muss explizit festgelegt werden, welche Dienste für welche Benutzer und/oder Rechner zugelassen werden sollen und für welche Dienste Vertraulichkeit und/oder Integrität gewährleistet werden müssen. Es sollten nur die Dienste zugelassen werden, die unbedingt notwendig sind. Alle anderen Dienste müssen verboten werden. Dies muss auch die Voreinstellung sein: Alle Dienste, für die noch keine expliziten Regeln festgelegt wurden, dürfen nicht zugelassen werden.

Für jeden erlaubten Dienst muss festgelegt werden, welche Funktionen des verwendeten Protokolls genutzt werden dürfen und welche unterbunden werden sollen (z. B. der "PORT"-Befehl von FTP zur Verhinderung von aktivem FTP) und welche der übertragenen Nutzdaten gefiltert werden sollen (z. B. zur Kontrolle auf Computer-Viren).

Es muss festgelegt werden, zu welchen Wochentagen und Tageszeiten die bereitgestellten Dienste genutzt werden können.

Für kurzzeitige Änderungen (z. B. für Tests) oder neue Dienste sollten Ausnahmeregelungen vorgesehen werden.

Es sind Forderungen an die Filter zu stellen, und zwar einmal an die Paketfilter, die die Header-Informationen der Dienste der Schichten 3 und 4 des OSI-Schichtenmodells (IP, ICMP , ARP , TCP und UDP) verwenden, sowie an die Sicherheitsproxies, die die Informationen der Dienste der Anwendungsschicht (z. B. Telnet, FTP, SMTP, DNS , NNTP, HTTP) verwenden. Einen Überblick, was für einen sicheren Einsatz der einzelnen Protokolle und Dienste zu beachten ist, gibt M 5.39 Sicherer Einsatz der Protokolle und Dienste . Darauf aufbauend müssen Filterregeln formuliert werden (siehe M 2.76 Auswahl und Einrichtung geeigneter Filterregeln ).

Organisatorische Regelungen

Neben der sorgfältigen Aufstellung und Umsetzung der Filterregeln sind darüber hinaus folgende organisatorische Regelungen erforderlich:

Folgende Fragen müssen bei der Festlegung der Policy geklärt werden:

In der Policy müssen die getroffenen Entscheidungen dokumentiert werden. Darüber hinaus ist es wichtig, dass auch die für die Entscheidungen relevanten Informationen und Entscheidungsgründe so dokumentiert sind, dass sie zu einem späteren Zeitpunkt (etwa bei der Revision der Policy) nachvollzogen werden können. Diese Hintergrundinformationen brauchen nicht direkt in der Policy selbst enthalten zu sein, sondern es ist eher empfehlenswert, sie in einem eigenen Dokument festzuhalten.

Prüffragen: