M 5.62 Geeignete logische Segmentierung
Verantwortlich für Initiierung: IT-Sicherheitsbeauftragter, Leiter IT
Verantwortlich für Umsetzung: Administrator
Mit Hilfe geeigneter aktiver Netzkomponenten ist es möglich, trotz einer festen physikalischen Segmentierung des Netzes, dieses darüber hinaus logisch zu segmentieren. Die Möglichkeit hierzu bieten Switches, die auf der Schicht 2 und 3 des OSI-Modells arbeiten. Aufgrund der Eigenschaften solch eines Switches, die Protokolle der Schicht 2 bzw. 3 zu verstehen, können durch Kontrolle des Datenflusses zwischen den Anschlüssen am Switch so genannte virtuelle LANs (VLANs) gebildet werden. Hierdurch können Gruppen im Netz zusammengefasst werden, die in der physikalischen Segmentierung so nicht abgebildet sind. Vor allem ergibt sich hierdurch die Möglichkeit, Gruppen ohne Eingriff in die physikalische Vernetzung dynamisch und zeitnah neu zu bilden bzw. umzugruppieren.
Analog zur physikalischen Segmentierung auf der Schicht 2 bzw. 3 sind die Kriterien bezüglich Vertraulichkeit, Verfügbarkeit und Integrität auch hier anzuwenden. Kriterien für eine geeignete Segmentierung können ebenfalls analog wie für die physikalischen Segmente angewendet werden. Dabei muss beachtet werden, dass VLANs auf einem Switch nicht ohne weiteres für die sichere Trennung zweier Teilnetze mit unterschiedlichem Schutzbedarf geeignet sind. Sollen auf einem Switch zwei Teilnetze mit unterschiedlichen Anforderungen an die Vertraulichkeit der übertragenen Daten als VLANs realisiert werden, so sind in der Regel zusätzliche Maßnahmen erforderlich, um eine sichere Trennung zu gewährleisten.
In der folgenden Abbildung ist die Möglichkeit der VLAN-Bildung mit Hilfe mehrerer Schicht-3-Switches dargestellt. Die physikalische Anbindung der Endgeräte an die Switches erfolgt hierbei wie durch die Verbindungslinien angedeutet. Die logische Segmentierung erfolgt durch die Gruppierung mit Hilfe der Switches nach VLANs.

Abbildung: VLAN-Bildung mit Hilfe mehrerer Switches
Würde man die in der oben gezeigten Abbildung der VLAN-Struktur durch eine herkömmliche physikalische Segmentierung erreichen wollen, würde das wie in der nachfolgenden Abbildung dargestellt aussehen. Die einzelnen LANs können hier beispielsweise durch Shared Ethernet-Segmente abgebildet werden, die Verbindung der einzelnen LANs erfolgt durch eine Bridge.

Abbildung: VLAN-Bildung mit Hilfe einer Bridge
Auf der Basis von VLAN-fähigen Netzkomponenten können ohne physikalische Umstrukturierung virtuelle LANs gebildet werden, die je nach eingesetzter Technologie analog zu LANs, mit Segmentierungen auf Schicht 2 oder 3 sind. Hiermit können in einem Netz analog zur Segmentierung von LANs Bereiche gebildet werden (siehe M 5.61 Geeignete physikalische Segmentierung). Je nach eingesetztem Produkt bieten diese bei der VLAN-Bildung unterschiedliche Funktionalitäten. Einige Produkte stellen die Möglichkeit zur Verfügung, VLANs auf Schicht 2 oder 3 zu bilden, die u. U. nur durch den Einsatz von Routern gekoppelt werden können, sog. sichere VLANs (secure VLANs). In diesem Fall muss mit Hilfe der Filterregeln des Routers ein kontrollierter Übergang zwischen den VLANs hergestellt werden. Andere Hersteller implementieren in Schicht-3-Switches bereits Routing-Funktionalität, die VLANs ohne zusätzliche Router verbinden. Der Einsatz entsprechender Technologien und Produkte muss insbesondere gegen die Anforderungen an die Vertraulichkeit und Integrität der Daten geprüft werden.

Abbildung: Bildung von sicheren VLANs mit Schicht-3-Switches
Der in der obigen Abbildung dargestellte Fall, wurden mit Hilfe von Schicht-3-Switches sichere VLANs, auf der Schicht 3 des OSI-Modells eingerichtet. Die dargestellten Switches sind in diesem Fall ohne Routing-Funktionalität. VLAN 1, VLAN 2 und VLAN 3 verhalten sich dabei so, als ob sie durch einen Router segmentiert wären, ohne dass ein Routing zwischen ihnen stattfindet. VLAN 3 hat also keinerlei Verbindung mit den anderen VLANs, lediglich VLAN 1 und VLAN 2 können über einen Router miteinander kommunizieren. Die Kommunikation kann durch die Konfiguration des Routers entsprechend kontrolliert und gesteuert werden. Mit anderen Produkten, die Routing-Funktionalität in den Schicht-3-Switches implementieren, kann der dargestellte Router entfallen und das Routing mit Hilfe der Switches kontrolliert werden.
Eine allgemeine Empfehlung bezüglich einer logischen Segmentierung kann nicht gegeben werden. Für eine Neuinstallation eines Netzes ist aber zu prüfen, ob durch den Einsatz von VLANs die Anforderungen an die Verfügbarkeit, Vertraulichkeit und Integrität nicht einfacher erreicht werden können als durch eine aufwendigere physikalische Segmentierung. Allerdings muss dabei beachtet werden, dass Teilnetze mit unterschiedlichem Schutzbedarf bezüglich der Vertraulichkeit oder der Integrität der übertragenen Daten nicht ohne weiteres als VLANs auf demselben Switch realisiert werden sollten.
Als Vorteil einer logischen Segmentierung ist die einfache, zentrale Neu- und Umkonfigurierbarkeit der Segmente zu sehen. Auf der anderen Seite muss in diesem Fall auch ein besonderes Augenmerk auf den sicheren Remote-Zugang zu den aktiven Netzkomponenten gelegt werden, da die Segmentierung hier nur auf der Konfiguration von Software beruht. Es muss also bei einer Segmentierung über VLANs zwischen den Anforderungen an die Sicherheit des Netzes (sowohl vor unberechtigter Umkonfiguration als auch vor der Möglichkeit, dass die Grenzen zwischen den verschiedenen VLANs eventuell überwunden werden können) und der Möglichkeit einer flexiblen Umgestaltung des Netzes abgewogen werden.
Prüffragen:
-
Sind die Anforderungen an die Vertraulichkeit, Verfügbarkeit und Integrität für eine geeignete logische Sementierung des Netzes berücksichtigt worden?
-
Einsatz von VPN: Sind alle eingesetzten Netzkomponenten VPN-fähig?
-
Einsatz von VPN: Sind alle eingesetzten Netzkomponenten bezüglich der VPN-Funktion interoperabel?