Netzwerk-Grundlagen – Policy Enforcement, Teil 2 Policy Enforcement und Netzwerk-Sicherheit – Schritt für Schritt

Beim Thema Policy Enforcement implizieren Begriffe wie MUA+P, RFC 3580 und Distribution Layer Security eine komplexe Netzwerkarchitektur. Die Migration eines LANs hin zu einem sicheren Netzwerk sollte deshalb in abgestuften Phasen erfolgen, die szenarienbedingt variieren können. Dieser Beitrag dient als Beispiel für die Vorgehensweise.

Anbieter zum Thema

Cohesity GmbH

TXOne Networks

Extreme Networks GmbH

Schritt 1 – Assessment

Bei der Implementierung eines sicheren Netzwerks stellt die Bestandsaufnahme den Grundstock für weitere Betrachtungen dar. Daher sollten einige Punkte im Vorfeld festgelegt werden.

• Welche Komponenten sind im Netz aktiv, welche Feature-Sets stehen zur Verfügung?
• Welche Verkehrsbeziehungen sind zwischen Endgeräten und Servern etabliert?
• Welche Dienste werden genutzt? Welche sollten fallweise restriktiv behandelt werden?
• Welche Authentisierungsmethoden können/müssen eingesetzt werden? Was unterstützen die Betriebssystemplattformen der Endgeräte?

Schritt 2 - Management

Die Einrichtung des Netzwerk-Managements verdient ein besonderes Augenmerk. Die Auswertung von SNMP-Traps und Syslog-Meldungen stellt einen wichtigen Faktor für die transparente Darstellung des Betriebszustandes eines Netzwerks dar.

Nach der Einführung redundanter Maßnahmen manifestieren sich einzelne Ausfälle nicht mehr in Form von Betriebsstörungen. Umso wichtiger ist es, diese Teilausfälle zu erkennen, um die Gesamtverfügbarkeit der Infrastruktur erhalten zu können.

Die steigende Integration intelligenter Funktionen in die Netzwerkkomponenten erfordert ein Maß an Kontrolle, welches über einfaches Portmanagement hinaus geht.

Die Enterasys NMS Console ist in der Lage dazu, sowohl Meldungen aktiver Komponenten intelligent auszuwerten als auch Managementaufgaben flächendeckend und geräteübergreifend durchzuführen. Das ermöglicht dem Administrator wiederkehrende Routineaufgaben energiesparend zu absolvieren und Funktionsstörungen jederzeit gezielt zu lokalisieren. Die Integration des Policy Managers in die NMS Installation ist der erste praktische Schritt zu einem sicheren Netzwerk.

Inhalt

• Seite 1: Bestandsaufnahme und Netzwerk-Management
• Seite 2: Statische Richtlinien und Authentisierung
• Seite 3: Gefahrenabwehr – ein Ausblick

Schritt 3 – Static Policys

Es gibt verschiedene Rahmenbedingungen, welche die flächendeckende Einführung von Authentisierungsmethoden verzögern. Daher bietet es sich als Vorstufe an einen statischen Schutz zu etablieren, welcher ohne jede Authentisierung auskommt. Zu diesem Zweck werden einige wenige Policys definiert, welche den Access Ports als Default Role zugewiesen werden.

Der Nachteil dieser statischen Lösung liegt in einer geringen Flexibilität. Jeder Umzug von Endgeräten erfordert eine Prüfung der dem Port zugewiesenen Policy. Die Möglichkeit, unter Einsatz des Policy Managers auf einfache Weise eine Access Port Security zu etablieren, birgt – gerade in kleinen und mittleren Netzen – jede Menge Charme und ist als Zwischenstufe einer Migration durchaus betrachtenswert.

Step 4 - Authentisierung

Dieser Schritt erfordert einen Blick über den Netzwerktellerrand hinaus. Die Integration des RADIUS-Dienstes in Verbindung mit der zentralen Benutzerverwaltung ist möglicherweise bereits im Rahmen einer VPN- oder WLAN Lösung vollzogen worden.

Nun gilt es im RADIUS-Server ein Filterwerk zu etablieren, welches die Gruppenzugehörigkeit eines Users auf Betriebssystemebene auf einen entsprechenden Policystring (Filter ID) destilliert. Dem folgt die Authorisierung der Accessswitche als registrierte RADIUS-Clients.

Das Aktivieren der Authentisierungsfunktion auf den Switchen stellt einen wesentlichen Schritt in der Migration dar. Der Zugang zum Netz ist nun nicht mehr von der reinen LAN-Connectivity bestimmt, sondern hängt von zahlreichen Faktoren ab: Endgerätekonfiguration, Switcheinstellung, RADIUS, Directory.

Um das einwandfreie Zusammenspiel dieser Kommunikationskette risikofrei sicherzustellen, hat sich die Durchführung einer Pilotphase bewährt. In dieser Phase ist jedem Port zunächst eine liberale Default Policy zugeordnet, welche den Benutzer in seinem Tun nicht einschränkt. Ein authentisierter User erhält eine neue Rolle, welche die gleichen Freiheiten einräumt.

Während dieser Pilotphase kann der Administrator risikofrei prüfen, ob die Authentisierungsmechanismen auch unter Volllast greifen. Ist diese Prüfung abgeschlossen, können die vorbereiteten Policys scharfgeschaltet werden.

Inhalt

• Seite 1: Bestandsaufnahme und Netzwerk-Management
• Seite 2: Statische Richtlinien und Authentisierung
• Seite 3: Gefahrenabwehr – ein Ausblick

Schritt 5 – Nächste Schritte

Die Integration von Authentisierungsmaßnahmen und Regelwerken im Accessbereich stellt einen großen Schritt hin zu flächendeckender Netzwerksicherheit dar. Doch das Secure Networks Portfolio hat weit mehr zu bieten.

Die Fähigkeit, Protokolle und Dienste auf den Layern 2, 3 und 4 flächendeckend zu kontrollieren, schafft eine solide Basis an Präventivmaßnahmen. Wie man Missbrauch und Attacken innerhalb des Contents oder aufgrund anomalen Verhaltens erkennt und darauf reagiert, erläutern wir in den Beiträgen zur Angriffserkennung und -abwehr.

Neben der Sicherheitsüberprüfung des Benutzers stellt sich auch die Frage nach dem Vertrauensstatus des Endgeräts. In den Artikeln zu Proactive Prevention und Network Access Control werden Techniken beleuchtet, die es ermöglichen, die wachsende Zahl von PCs, Laptops, Telefonen und embedded Devices in ein erweitertes Sicherheitskonzept einzubinden.

Rückblickend auf zahlreiche Secure-Networks-Migrationen hat sich die Vorgehensweise bewährt, vor Ort einen auf die Bedürfnisse des Kunden abgestimmten Workshop durchzuführen, in welchem Grundlagen vermittelt werden, einzelne Schritte festgelegt und Konfigurationen vorab erstellt werden können.

Enterasys Networks bietet für alle Schritte, angefangen von der Erstellung eines Pflichtenheftes, der Planung, der Implementierung und Einweisung, professionelle Unterstützung an.

Inhalt

• Seite 1: Bestandsaufnahme und Netzwerk-Management
• Seite 2: Statische Richtlinien und Authentisierung
• Seite 3: Gefahrenabwehr – ein Ausblick

Über den Autor

Markus Nispel ist als Vice President Solutions Architecture zuständig für die strategische Produkt- und Lösungsentwicklung bei Enterasys. Sein Fokus liegt auf dem Ausbau der Sicherheits- und dort insbesondere der Network-Access-Control-Lösung (NAC) von Enterasys; hier zeichnet er als Architekt verantwortlich. Diese Position knüpft an seine vorherige Tätigkeit bei Enterasys als Director Technology Marketing an. Bereits hier war er intensiv in die weltweite Produktentwicklung und -strategie von Enterasys im Office des CTO involviert. Darüber hinaus berät er Key Accounts in Zentraleuropa, Asien und dem mittleren Osten bei strategischen Netzwerkentscheidungen und verantwortet die technischen Integrationsprojekte zwischen Enterasys und der Siemens Enterprise Communications Group.

In Zentraleuropa und Asien verantwortet er zudem das Security Business Development und steht mit einem Team an Security Spezialisten für die Implementierung von Security Projekten mit höchsten Anforderungen bereit.

Vor seiner Tätigkeit für Enterasys Networks war Markus Nispel als Systems Engineer bei Cabletron Systems aktiv. Hier führte er 1998 die ersten Layer 3Switches für den europäischen Kundenstamm ein.

Markus Nispel studierte an der Fachhochschule der Deutschen Telekom in Dieburg und schloss sein Studium 1996 als Dipl.-Ing. Nachrichtentechnik erfolgreich ab. Erste Berufserfahrung sammelte er unter anderem bei der E-Plus Mobilfunk GmbH innerhalb der Netzwerkoptimierungsgruppe für DCS Mobile Networks.

(ID:2046722)