Zentrales IT-Management birgt Risiken Outsourcing – Wie Dienstleister ihre Netze sichern sollten

Autor / Redakteur: Udo Sprotte, (ISC)²-zertifizierter CISSP / Stephan Augsten

Unternehmen wollen mit dem Outsourcing in den meisten Fällen Kosten mindern, das Auslagern der IT-Sicherheit hat aber auch Qualitäts- und Sicherheitsgründe. Frei nach dem Motto „Do what you can do best – outsource the rest“ macht man sich das Know-how des Dienstleisters zunutze. Entscheidend dabei ist, dass dieser über ein adäquates Sicherheitskonzept verfügt.

Firma zum Thema

EIn zentrales IT-Management beim Outsourcing birgt Probleme, die der Dienstleister in den Griff bekommen muss.
EIn zentrales IT-Management beim Outsourcing birgt Probleme, die der Dienstleister in den Griff bekommen muss.
( Archiv: Vogel Business Media )

Immer mehr Firmen geben ihre IT-Prozesse an spezialisierte IT-Dienstleister ab. Dies jedoch nicht zu jedem Preis, weshalb Dienstleister ihre Betriebskosten so niedrig wie möglich halten müssen. Gleichzeitig muss ein hoher Qualitätsstandard für die übernommenen IT-Prozesse garantiert werden.

IT-Dienstleister haben in der Vergangenheit überwiegend ein individuelles (dediziertes) IT-Management für ihre Kunden betrieben. Die Auftraggeber durften ihren Dienstleistern eine Liste mit individuellen Anforderungen vorgeben. Die mangelnden Standards ließen die Dienste sehr teuer werden, was viele Kunden noch abschreckte.

Mittlerweile wählen die Kunden ihre Anforderungen aus einem Standardportfolio des Service-Anbieters. So ist es für Dienstleister möglich geworden, mehrere Kunden parallel von einem zentralen IT-Management aus zu bedienen, was Personal, IT-Ressourcen und Zeit spart. Diese Vorteile haben sich positiv auf den Preis für die Dienste ausgewirkt, doch aus lauter Freude über die gesunkenen Preise wurde der Sicherheitsaspekt teilweise vernachlässigt.

Zwischen einem individuellen und einem zentralen (shared) IT-Management, beispielsweise aus der Cloud gibt es in puncto Sicherheit Unterschiede:

Bei einem individuellen IT-Management kommunizieren die IT-Arbeitsplätze nur mit den Diensten der Firma, auch wenn diese in dem Rechenzentrum des IT-Dienstleisters betrieben werden. Denn die IT-Managementdienste werden für jede Firma separat bereitgestellt. Somit gibt es keine Netzwerkverbindungen zwischen den Kunden eines IT-Dienstleisters, und Sicherheitsprobleme konzentrieren sich so ausschließlich auf einzelne und nicht auf alle Kunden.

Zentral gemanagte IT Services wie beispielsweise Office-Dienste, die von vielen Kunden gemeinsam genutzt werden, verwenden gemeinsame Netzwerkverbindungen. Hierbei darf es aber nicht zu Netzwerkübergängen kommen, denn das kann zu Sicherheitsproblemen führen.

Seite 2: Risiken beim zentralen IT-Management

Mögliche Risiken beim zentralen IT-Management

Problematisch wird es beispielsweise, wenn zentrale Managementsysteme die Kundennetze miteinander verbinden. So könnten Viren von einem Netzwerk in das eines anderen Kunden übertragen werden. Darüber hinaus lassen sich kriminelle Handlungen über zentrale Managementsysteme ausführen, da ein Managementsystem in allen Kundennetzen Vertrauensstellungen genießt.

Kommunikationsprotokolle wie RPC, DCE, WCF und andere UDP-Ports, die für zentrale Dienste benötigt werden, haben sich in der Vergangenheit als sicherheitskritisch herausgestellt. Sie begünstigen die Verbreitung von gefährlichen Viren und Würmern. Es besteht die Gefahr, dass ein Kunde sich mit dem Virus eines anderen „ansteckt“ – ein Problem, das vergleichbar in der Massentierhaltung auftaucht.

Auch andere Ressourcen, wie z.B. die Hardware, die Leitungen und das Personal das sich mehrere Kunden teilt, können zum Problem werden. Insbesondere bei starken Spitzenlasten kann es zu Ressourcen-Engpässen kommen.

Um das zu vermeiden, werden geeignete Sicherheitskonzepte benötigt. Beim Erstellen des Konzepts ist es sinnvoll, dass Standorte, Netzwerke und Dienste analysiert werden. Besonders kritisch ist die mögliche Übernahme des zentralen Managements durch Unberechtigte. Denn das hat naturgemäß Vertrauensbeziehungen zu vielen Zielen der Kunden. Die Ursachen solcher Bedrohungen sind z.B.:

  • Viren oder Würmer,
  • menschliche Fehler, ausgelöst durch Zeitdruck, Übermüdung oder fachliche Defizite,
  • konzeptionelle Fehler oder gar fehlende Konzepte,
  • Programmfehler durch schlampige Programmierung,
  • systematische Schwächen in klassischen IP-Protokollen,
  • Hardwareprobleme oder
  • kriminelle Energie, wie z.B. Wirtschaftsspionage.

Das technische Netzwerkkonzept des Dienstleisters muss deshalb ein Applikations-Sharing von vornherein berücksichtigen. Dabei darf es z.B. nicht zu IP-Adressüberlappung zwischen Dienstleister und den Kunden kommen. Es darf auch kein IP-Verkehr zwischen den Kundennetzen geroutet werden. Zwischen den IP-Adressbereichen benötigt man folglich verschiedene Sicherheitszonen, um unberechtigte Zugriffe zu verhindern.

Seite 3: Wie Dienstleister ihre Kunden schützen können

Wie Dienstleister ihre Kunden schützen können

Es ist empfehlenswert, dem Verkehr zwischen den Sicherheitszonen (Managementzone und Kundennetze) eine Security Policy aufzuzwingen, die Firewalls berücksichtigt. Der Netzwerkverkehr für das IT-Management mit all den teilweise kritischen Netzwerkports darf aber nicht darunter leiden.

Zusätzlich sollten Managementdienste nur verschlüsselt kommunizieren dürfen und sich mit ihren Zertifikaten authentisieren müssen. Allerdings können die eingesetzten Firewalls infolgedessen nicht mehr feststellen, ob der Dateninhalt gefährlich ist oder nicht. Aus diesem Grund sollten in vielen Sicherheitszonen Intrusion Detection Systeme (IDS) eingesetzt werden, die die Kommunikation entschlüsseln können.

Die Firewall-Regeln werden in solchen Fällen sehr schnell komplex. Denn Kunden wollen uneingeschränkte Zugriffe auf Firewalls zu ihrem Intranet, während das IT-Management einen Einfluss auf das Regelwerk dieser Firewalls nehmen muss. Hierfür fehlt allerdings häufig das notwendige umfassende Know-how.

Um Risiken durch gefährliche Regelwerke zu vermeiden, sollten im jeweiligen Sicherheitskonzept Risikoprofile für Firewalls definiert werden. Analyse-Tools die helfen, riskante Regeln zu erkennen, erweisen sich dabei als sehr hilfreich.

Alternativ können Fehlkonfigurationen auch durch Firewalltracking-Systeme verhindert werden. Firewallregeln müssen so durch das „Vier-Augen-Prinzip“ eingerichtet werden, während das Firewalltracking-System zusätzlich auf riskante Regeln hinweist.

Aufgrund der durch die Firewalls verursachten Event-Flut auf den Logservern kommt man nicht um ein automatisiertes Security-Information- und Event-Management herum, das in der Lage ist, aus der Masse von Logdaten Alarme in Echtzeit zu korrelieren. Im Sicherheitskonzept sollten darüber hinaus genau definierte Gegenmaßnahmen im Falle eines Alarms zu finden sein.

Doch auch das beste Sicherheitskonzept bringt nur dann etwas, wenn es kontinuierlich überprüft und angepasst wird, denn es beruhigt mich keinesfalls zu wissen, dass ich die Bedrohungen von gestern bändigen kann, wenn ich auf die von morgen nicht vorbereitet bin.

Udo Sprotte

Udo Sprotte ist (ISC)²-zertifizierter CISSP und als Senior Security Consultant bei T-Systems Enterprise Services tätig.

(ID:2043754)