B 4.2 Netz- und Systemmanagement

Beschreibung
Ein Managementsystem für ein im Allgemeinen lokales Rechnernetz (LAN, VLAN) dient dazu, möglichst alle im lokale Netz angesiedelten Hard- und Software-Komponenten zentral zu verwalten. Ein solches System soll den Systemverwalter maximal in seiner täglichen Arbeit unterstützen. Grundsätzlich kann zwischen Netzmanagement und Systemmanagement unterschieden werden. Die Unterschiede ergeben sich durch die jeweils verwalteten Komponenten.
Netzmanagement umfasst die Gesamtheit der Vorkehrungen und Aktivitäten zur Sicherstellung des effektiven Einsatzes eines Netzes. Hierzu gehört beispielsweise die Überwachung der Netzkomponenten auf ihre korrekte Funktion, das Monitoring der Netzperformance und die zentrale Konfiguration der Netzkomponenten. Netzmanagement ist in erster Linie eine organisatorische Problemstellung, deren Lösung lediglich mit technischen Mitteln, einem Netzmanagementsystem, unterstützt werden kann.
Systemmanagement befasst sich in erster Linie mit dem Management verteilter IT-Systeme. Hierzu gehören beispielsweise eine zentrale Verwaltung der Benutzer, Softwareverteilung, Management der Anwendungen usw. In einigen Bereichen, wie z. B. dem Konfigurationsmanagement (dem Überwachen und Konsolidieren von Konfigurationen eines Systems oder einer Netzkomponente), sind Netz- und Systemmanagement nicht klar zu trennen.
Im folgenden wird das (Software-) System, das zum Verwalten eines Netzes und dessen Komponenten dient, immer als "Managementsystem" bezeichnet, die damit verwalteten Komponenten werden als "verwaltetes System" bezeichnet. Im Englischen werden hier die Begriffe "management system" und "managed system" verwendet, dies gilt insbesondere für den Bereich Netzmanagement.
In der ISO/IEC-Norm 7498-4 bzw. als X.700 der ITU-T ist ein Netz- und Systemmanagement-Framework definiert. Zu den Aufgaben eines Managementsystems gehören demnach:
- Konfigurationsmanagement,
- Performancemanagement,
- Fehlermanagement,
- Abrechnungsmanagement,
- Sicherheitsmanagement.
Dabei muss ein konkretes Systemmanagement-Produkt nicht für jeden der Bereiche Unterstützung anbieten. Die Hersteller bieten i.d.R Produktpaletten an, die so konzipiert sind, dass spezielle Funktionalitäten als Modul oder als kooperierendes Einzelprodukt erhältlich sind.
Netzmanagement ist die ältere und ausgereiftere Managementdisziplin. Systemmanagement ist im Gegensatz dazu eine noch junge Disziplin, wird aber durch die stark gewachsene Vernetzung in Unternehmen bzw. Behörden und die damit zunehmende Heterogenität und Komplexität immer mehr gefordert. Ziel muss es hier sein, beide Disziplinen zu integrieren. Die zurzeit erhältlichen Managementprodukte sind so angelegt, dass sie primär entweder zum Netzmanagement oder zum Systemmanagement konzipiert sind. Produkte, die beide Funktionalitäten vereinen, sind in der Entwicklung. In der Regel erlauben Produkte, die für das Systemmanagement ausgelegt sind, auch den Zugriff auf Informationen des Netzmanagements.
Aufgrund der Heterogenität von Hard- und Software heutiger Netze ist Systemmanagement eine sehr komplexe Aufgabe. Erschwert wird Systemmanagement zusätzlich dadurch, dass die Managementsoftware und die Software, die verwaltet werden soll, sehr eng zusammenarbeiten müssen. In der Regel ist heute erhältliche Software jedoch nicht darauf eingerichtet, mit einem Managementsystem zusammenzuarbeiten. Dies liegt zum einen an fehlenden Standards, die z. B. ausreichende Sicherheit garantieren, zum anderen daran, dass größere Softwarepakete mit eigenem, proprietärem Management ausgestattet sind, da Interna über die Software, die zum Verwalten dieser nötig sind, nicht offengelegt werden sollen. Beispielsweise existiert für den Microsoft Internet Explorer eine Managementsoftware, das "Internet Explorer Administration Kit (IEAK)", welches z. B. die Vorgabe von Sicherheitseinstellungen durch den Administrator erlaubt, die vom Benutzer nachträglich nicht mehr oder nur im Rahmen vorgegebener Werte verändert werden können. Die Funktionsweise dieses Tools ist proprietär und unterliegt keinem Standard.
Prinzipiell ist die Architektur von Managementsoftware zentralistisch aufgebaut: es gibt eine zentrale Managementstation oder -konsole, von der aus der Systemadministrator das ihm anvertraute Netz mit den darin befindlichen Hard- und Software-Komponenten verwalten kann. Insbesondere die Systeme zum Netzmanagement bauen darauf auf. Durch die fehlenden Standards im Bereich Systemmanagement findet man hier in den erhältlichen Produkten in vielen Fällen zwar die zentralistische Architektur, die jedoch im Detail proprietär realisiert ist, so dass hier keine weitere generelle Architekturaussage gemacht werden kann.
Einem Netzmanagementsystem liegt in der Regel ein Modell zugrunde, das zwischen "Manager", "Agent" (auch "Managementagent") und "verwalteten Objekten" (auch "managed objects") unterscheidet. Die weiteren Bestandteile sind das zur Kommunikation verwendete Protokoll zwischen Manager und den Agenten, sowie eine Informationsdatenbank, die so genannte "MIB" (Management Information Base). Die MIB muss sowohl dem Manager als auch jedem Managementagenten zur Verfügung stehen. Konzeptionell werden Managementagenten und deren MIB als Teil des verwalteten Systems angesehen.

Abbildung: Netzmanagementsystem
Ein Agent ist für ein oder mehrere zu verwaltende Objekte zuständig. Es ist möglich, die Agenten hierarchisch zu organisieren: Ein Agent ist dann für die ihm zugeordneten Unteragenten zuständig. Am Ende einer jeden auf diese Art entstehenden Befehlskette steht immer ein zu verwaltendes Objekt. Ein zu verwaltendes Objekt ist entweder ein physikalisch vorhandenes Objekt (Gerät), wie ein Rechner, ein Drucker oder ein Router, oder ein Softwareobjekt, wie z. B. ein Hintergrundprozess zur
Verwaltung von Druckaufträgen. Bei Geräten, die über ein Managementsystem verwaltet werden können, ist der Managementagent in der Regel schon vom Hersteller in das Gerät "fest" eingebaut. Versteht dieser das vom Manager verwendete Kommunikationsprotokoll nicht, ist z. B. ein Software-Managementagent nötig, der die Protokollumsetzung beherrscht. In ähnlicher Weise können Software-Komponenten den Managementagenten schon enthalten, oder es wird ein spezieller Managementagent benötigt, der für die Verwaltung dieser Software-Komponente konzipiert ist.
Um die einzelnen Komponenten des zu verwaltenden Systems anzusprechen, tauschen der Manager und die jeweiligen Agenten Informationen aus. Die Art des zur Kommunikation verwendeten Protokolls bestimmt maßgeblich die Mächtigkeit und insbesondere die Sicherheit des Managementsystems.
Prinzipiell können Managementsysteme bezüglich des verwendeten Kommunikationsprotokolls in drei Kategorien unterteilt werden (siehe auch M 2.144 Geeignete Auswahl eines Netzmanagement-Protokolls):
- Es wird SNMP (Simple Network Management Protocol) benutzt, das weit verbreitete Standardprotokoll des TCP/IP-basierten Systemmanagements.
- Es wird CMIP (Common Management Information Protocol) benutzt, das seltener benutzte Standardprotokoll des ISO/OSI-basierten Systemmanagements.
- Es wird ein herstellerspezifisches Protokoll benutzt. Es existiert meist die Möglichkeit, so genannte Adapter zum Einbinden der Standardprotokolle zu verwenden, wobei in der Regel lediglich eine SNMP-Anbindung existiert.
Das am häufigsten benutzte Protokoll ist SNMP. SNMP ist ein sehr einfaches Protokoll, das nur fünf Nachrichtentypen kennt und daher auch einfach zu implementieren ist. CMIP wird hauptsächlich zum Management von Telekommunikationsnetzen verwandt, und hat im Inter- und Intranet-basierten Management keine Bedeutung, da es den OSI-Protokollstack verwendet und nicht den TCP/IP-Stack.
Systemmanagementsysteme sind zwar in der Regel auch zentralistisch ausgelegt, um das Verwalten des Systems von einer Managementstation aus zu erlauben, die konkrete Architektur hängt jedoch davon ab, wie groß die Systeme, die verwaltet werden können, sein dürfen und welcher Funktionsumfang angeboten wird. Hier reicht die Palette von einfachen Sammlungen von Management-Tools, die ohne Integration nebeneinander in kleinen Netzen eingesetzt werden, bis hin zu Managementplattformen, die ein weltumspannendes Firmennetz mit mehreren Tausend Rechnern verwalten können.
Bestimmte Managementplattformen benutzen proprietäre Protokolle zur Kommunikation zwischen den Komponenten. Diese Systeme weisen in der Regel ein wesentlich höheres Leistungsspektrum auf und dienen nicht nur dem Netz- und Systemmanagement, sondern bieten unternehmens- bzw. behördenweites Ressourcenmanagement an. Durch die unzureichend spezifizierten Sicherheitsmechanismen in den wenigen existierenden Standards, erlauben proprietäre Lösungen zudem die (zwar nicht standardisierte) Verfügbarkeit sicherheitsrelevanter Mechanismen, wie z. B. Verschlüsselungsverfahren.
Gefährdungslage
Für den IT-Grundschutz eines Managementsystems werden die folgenden typischen Gefährdungen angenommen:
Höhere Gewalt
- | G 1.1 | Personalausfall |
- | G 1.2 | Ausfall von IT-Systemen |
Organisatorische Mängel
- | G 2.27 | Fehlende oder unzureichende Dokumentation |
- | G 2.32 | Unzureichende Leitungskapazitäten |
- | G 2.59 | Betreiben von nicht angemeldeten Komponenten |
- | G 2.60 | Fehlende oder unzureichende Strategie für das Netz- und Systemmanagement |
- | G 2.61 | Unberechtigte Sammlung personenbezogener Daten |
Menschliche Fehlhandlungen
- | G 3.9 | Fehlerhafte Administration von IT-Systemen |
- | G 3.28 | Ungeeignete Konfiguration der aktiven Netzkomponenten |
- | G 3.34 | Ungeeignete Konfiguration des Managementsystems |
- | G 3.35 | Server im laufenden Betrieb ausschalten |
- | G 3.36 | Fehlinterpretation von Ereignissen |
Technisches Versagen
- | G 4.31 | Ausfall oder Störung von Netzkomponenten |
- | G 4.38 | Ausfall von Komponenten eines Netz- und Systemmanagementsystems |
Vorsätzliche Handlungen
- | G 5.2 | Manipulation an Informationen oder Software |
- | G 5.8 | Manipulation von Leitungen |
- | G 5.9 | Unberechtigte IT-Nutzung |
- | G 5.18 | Systematisches Ausprobieren von Passwörtern |
- | G 5.28 | Verhinderung von Diensten |
- | G 5.66 | Unberechtigter Anschluss von IT-Systemen an ein Netz |
- | G 5.67 | Unberechtigte Ausführung von Netzmanagement-Funktionen |
- | G 5.86 | Manipulation von Managementparametern |
Maßnahmenempfehlungen
Um den betrachteten Informationsverbund abzusichern, müssen zusätzlich zu diesem Baustein noch weitere Bausteine umgesetzt werden, gemäß den Ergebnissen der Modellierung nach IT-Grundschutz.
Das zu verwaltende System besteht aus einzelnen Rechnern, Netzkoppelelementen und dem physikalischen Netz. Jede dieser Komponenten ist ein potentielles Sicherheitsrisiko für das Gesamtsystem. Diese Risiken können im allgemeinen alleine durch die Einführung von Managementsoftware nicht vollständig beseitigt werden. Dies gilt schon deshalb, weil in der Regel nicht alle Systeme in gleichem Maße durch ein Managementsystem erfasst werden. Grundvoraussetzung für die Systemsicherheit ist hier einerseits die Definition und andererseits die Realisierung einer organisationsweiten Sicherheitsrichtlinie, die sich im betrachteten Fall insbesondere in der Konfiguration von Hard- und Software niederschlagen muss. Aus diesem Grund sollten insbesondere die Maßnahmen der Bausteine der Schicht 3 betrachtet werden. Als Ausgangsbaustein kann der Baustein B 4.1 Heterogene Netze dienen.
Da Managementsysteme von einem zentralistischen Ansatz ausgehen, kommt der zentralen Managementstation eine besondere Bedeutung unter Sicherheitsgesichtspunkten zu und ist daher besonders zu schützen. Zentrale Komponenten eines Managementsystems sollten daher in Räumen aufgestellt werden, die den Anforderungen an einen Serverraum (vergleiche Baustein B 2.4 Serverraum) entsprechen. Wenn kein Serverraum zur Verfügung steht, können sie alternativ in einem Serverschrank aufgestellt werden (vergleiche Baustein B 2.7 Schutzschränke).
Für den erfolgreichen Aufbau eines Netz- und Systemmanagementsystems sind eine Reihe von Maßnahmen umzusetzen, beginnend mit der Konzeption über die Beschaffung bis zum Betrieb.
Die Schritte, die dabei durchlaufen werden sollten, sowie die Maßnahmen, die in den jeweiligen Schritten beachtet werden sollten, sind im folgenden aufgeführt.
- Erstellen eines Managementkonzeptes, das auf den Anforderungen beruht, die sich aus den Gegebenheiten des in der Regel bereits vorhandenen IT-Systems ergeben
- Anforderungsanalyse (siehe M 2.168 IT-System-Analyse vor Einführung eines Systemmanagementsystems)
- Definition des Konzeptes (siehe M 2.169 Entwickeln einer Systemmanagementstrategie)
- Die Beschaffung des Managementsystems erfordert zunächst, die aus dem Managementkonzept resultierenden
- Anforderungen an das Managementprodukt zu formulieren (siehe M 2.170 Anforderungen an ein Systemmanagementsystem) und basierend darauf
- die Auswahl eines geeigneten Managementproduktes zu treffen (siehe M 2.171 Geeignete Auswahl eines Systemmanagement-Produktes).
- Die sicherheitsrelevanten Maßnahmen für den Betrieb des Managementsystems untergliedern sich in die Bereiche:
- Installation, mit der Umsetzung des Managementkonzeptes (siehe M 4.91 Sichere Installation eines Systemmanagementsystems) und
- den laufenden Betrieb des Managementsystems (siehe M 4.92 Sicherer Betrieb eines Systemmanagementsystems).
- Daneben sind natürlich die bisherigen Maßnahmen für den laufenden Betrieb des verwalteten Systems zu beachten (siehe relevante Bausteine der Schicht 3).
Nachfolgend wird das Maßnahmenbündel für den Baustein Netz- und Systemmanagement vorgestellt.
Planung und Konzeption
- | M 2.143 | (A) | Entwicklung eines Netzmanagementkonzeptes |
- | M 2.144 | (A) | Geeignete Auswahl eines Netzmanagement-Protokolls |
- | M 2.168 | (A) | IT-System-Analyse vor Einführung eines Systemmanagementsystems |
- | M 2.169 | (A) | Entwickeln einer Systemmanagementstrategie |
Beschaffung
- | M 2.145 | (B) | Anforderungen an ein Netzmanagement-Tool |
- | M 2.170 | (A) | Anforderungen an ein Systemmanagementsystem |
- | M 2.171 | (A) | Geeignete Auswahl eines Systemmanagement-Produktes |
Umsetzung
- | M 4.91 | (A) | Sichere Installation eines Systemmanagementsystems |
Betrieb
- | M 2.146 | (A) | Sicherer Betrieb eines Netzmanagementsystems |
- | M 4.92 | (A) | Sicherer Betrieb eines Systemmanagementsystems |
Notfallvorsorge
- | M 6.57 | (C) | Erstellen eines Notfallplans für den Ausfall des Managementsystems |