G 3.28 Ungeeignete Konfiguration der aktiven Netzkomponenten
Durch eine ungeeignete Konfiguration der Netzkomponenten kann es zu einem Verlust der Verfügbarkeit des Netzes oder Teilen davon, zu einem Verlust der Vertraulichkeit von Informationen oder zu einem Verlust der Datenintegrität kommen. Dabei können insbesondere die folgenden Fehlkonfigurationen unterschieden werden:
- Aktive Netzkomponenten, die zur Bildung von VLANs (Virtual LANs) eingesetzt werden, segmentieren das Netz logisch. Im Fall einer Fehlkonfiguration kann ggf. die Kommunikation innerhalb eines VLANs, zwischen einzelnen oder zwischen allen VLANs zum Erliegen kommen. In Abhängigkeit der VLAN-Strategie des betreffenden Herstellers betrifft dies zum einen die Zuordnung von miteinander kommunizierenden Systemen zu den gleichen VLANs, zum anderen auch das VLAN-Routing, insofern ein solches durch die aktiven Netzkomponenten unterstützt wird.
Beispiel: Bei VLANs, die nur über Router miteinander kommunizieren können, werden die zentralen Infrastrukturserver, die beispielsweise Datei- und Druckdienste bereitstellen, nicht gleichzeitig auch den VLANs der Arbeitsplatzsysteme zugeordnet, Router sind ebenfalls nicht vorhanden. In diesem Fall können einige Arbeitsplatzsysteme die Dienste der zentralen Infrastrukturserver nicht nutzen, da diese in einem nicht erreichbaren Teilnetz sind. - Ein Netz kann durch den Einsatz von Routern mittels Teilnetzbildung strukturiert werden. Für eine Kommunikation zwischen den Teilnetzen ist eine entsprechende Konfiguration der Router erforderlich, die hierzu die Leitwege zwischen den verschiedenen Teilnetzen in Routing-Tabellen vorhalten müssen. Routing-Tabellen können statisch oder dynamisch verwaltet werden. In beiden Fällen ist eine Kommunikation zwischen unterschiedlichen Teilnetzen nicht möglich, wenn die Routing-Tabellen keinen Leitweg zwischen den betreffenden Teilnetzen enthalten. Zu einer Fehlkonfiguration kann es dementsprechend durch eine fehlerhafte Definition statischer Routing-Tabellen oder durch eine fehlerhafte Konfiguration der Routing-Protokolle (wie z. B. RIP oder OSPF) kommen, die zum automatischen Abgleich dynamischer Routing-Tabellen verwendet werden.
Beispiel: Eine Router-zu-Router-Verbindung ist durch einen statischen Eintrag der entsprechenden IP-Adressen konfiguriert. Bei einer Änderung der IP-Adresse einer der Router oder durch das Zwischenschalten eines weiteren Routers ist diese Kommunikationsstrecke nicht mehr verfügbar. - Aktive Netzkomponenten, die in der Lage sind, Protokolle oder Netzadressen zu filtern, können mit dieser Technik eine Kommunikation bestimmter Protokolle unterbinden oder eine Kommunikation zwischen Systemen mit bestimmten Netzadressen verhindern. Eine Fehlkonfiguration der betreffenden Filter kann entsprechend zu einer unerwünschten Unterbindung der Kommunikation in Abhängigkeit des fehlkonfigurierten Filters und der Art der Fehlkonfiguration führen.
Ebenso können fehlkonfigurierte Filter dazu führen, dass Verbindungen aufgebaut werden, die Eindringlingen die Möglichkeit bieten, Angriffe gegen IT-Systeme im geschützten Netz durchzuführen. Je nach Art des Angriffs kann daraus ein Verlust der Verfügbarkeit einzelner Netzkomponenten oder auch des ganzen Netzes resultieren. Weiterhin können z. B. durch die mögliche Manipulation der Verbindungswege Datenpakete umgeleitet werden oder Datenpakete verändert oder mitgelesen werden.
Beispiele:- Ein Multiport-Repeater ist so konfiguriert, dass nur Systeme mit bestimmten MAC-Adressen an bestimmte Ports angeschlossen werden können. Nach einem Austausch der Netzkarte in einem der Endgeräte und der damit verbundenen Änderung der MAC-Adresse, wird dieses System keine Verbindung mehr zum Netz bekommen (Verlust der Verfügbarkeit).
- Durch eine ungeeignete Konfiguration von aktiven Netzkomponenten (insbesondere von VLANs oder Filterregeln) können Broadcast-Domänen unnötig groß werden oder es können unnötige Kommunikationsverbindungen entstehen. Dadurch kann es Unbefugten möglich sein, vertrauliche Daten zu lesen.