NCPI und ITIL im Rechenzentrum implementieren Zugangsschutz und Sicherheit für Server-Räume

Autor / Redakteur: Thomas Joos / Stephan Augsten

Geht es um die Sicherheit in Unternehmen, müssen Verantwortliche zunächst an die Verwaltung physischer Infrastrukturen im Netzwerk denken. Hierzu zählen insbesondere das Rechenzentrum und die Server-Räume. Dieser Bereich sollte in Managementstrukturen eingebettet und ständig aktualisiert werden. Wir zeigen, was zu beachten ist.

Firma zum Thema

Die Zutrittskontrolle ist nur eines von vielen Mitteln, um ein Rechenzentrum abzusichern.
Die Zutrittskontrolle ist nur eines von vielen Mitteln, um ein Rechenzentrum abzusichern.
(Bild: Archiv)

Um ein Rechenzentrum umfassend zu schützen, müssen sich Unternehmen unter anderem mit NCPI (Network Critical Physical Infrastructure) beschäftigen. Damit ist die Sicherheitsarchitektur speziell für Rechenzentren gemeint, die beispielsweise Aspekte wie Kühlung und Stromversorgung aufgreift.

NCPI lässt sich über die IT-Infrastucture-Library (ITIL) speziell für Service Support und Service Delivery in vier Unterbereiche aufgliedern: Krisenmanagement (Incident), Verfügbarkeitsmanagement (Availability), Kapazitätsmanagement (Capacity) und Änderungsmanagement (Change). Unternehmen sollten daher recht frühzeitig NCPI in Ihre ITIL-Prozesse integrieren. Wir zeigen nachfolgend auf, warum das so ist.

Einfach ausgedrückt löst bei dieser Vorgehensweise eine Krise im Serverraum, also ein unberechtigter Zutritt, einen Incident in ITIL aus. Hier sind wiederum Mechanismen zur Behebung, Benachrichtigung und zukünftiger Vermeidung hinterlegt, so dass es also eine feste Vorgehensweise zur Absicherung des Rechenzentrums gibt.

Aber auch das Change-Management spielt eine Rolle in diesem Bereich. Soll die Firmware von Servern oder Netzwerkgeräten aktualisiert werden, ist das ebenfalls ein wichtiger Bereich in NCPI/ITIL. Die Geräte müssen in die NCPI-Komponenten des Unternehmens integriert und mit ITIL-Prozessen erfasst werden.

Auf diese Weise wird das Aktualisieren und Absichern der Server-Firmwares berücksichtigt und optimal strukturiert. Das erhöht gleichzeitig die Sicherheit im Unternehmen, da Server immer die neuste BIOS/UEFI-Variante nutzen. Gleiches gilt für die Betriebssysteme und Firmware anderer Netzwerkgeräte im Server-Raum.

Mit der Implementierung von Standards zur Absicherung der Serverräume ist der Anfang gemacht. Verantwortliche sollten aber auch regelmäßig die Rechenzentren und Sicherheitsfunktionen auf Schwachstellen überprüfen und die hinterlegten Prozesse neu strukturieren, optimieren oder neu anwenden lassen.

Überwachung der wichtigsten Komponenten

Sehr wichtig ist die dauerhafte Überwachung. Das bedeutet, dass die NCPI-Liste des Unternehmens vollständig sein muss und regelmäßig kontrolliert sein will. Hier sollte eine Netzwerküberwachung der Geräte stattfinden und in die Monitoring-Struktur des Unternehmens eingebunden werden. Das gilt für Server-Hardware und Sensoren im Rechenzentrum, aber ebenso für Switches, Router, Firewalls und unter Umständen sogar für Server-Schränke.

Im Gegensatz zu der Überwachung herkömmlicher Server mit deren Anwendungen müssen in diesem Bereich beispielsweise Stromflüsse, Stromverteiler und Geräte zur Umweltüberwachung angebunden, kontrolliert und gesteuert werden können. Hier lassen sich zum Beispiel auch Alarmanlagen und die elektronischen Zugangssysteme integrieren.

Diese spielen zwar, mit Ausnahme des Zugangssystems im Bereich der Sicherheit zunächst keine übergeordnete Rolle, müssen aber dennoch in das Sicherheits-Überwachungssystem eingebunden werden. Hier bieten sich zum Beispiel spezielle SNMP-Traps an, die in alle gängigen Überwachungssysteme integriert werden können.

Menschliche Fehler ausschließen

Viele Sicherheitslücken in Unternehmen gehen auf menschliches Versagen zurück. Daher sollten Unternehmen darauf achten, die Sicherheitstechnik in den Rechenzentren zu standardisieren und das Personal in der Bedienung entsprechend zu schulen. Bei Sicherheitsvorfällen werden häufig Fehler in der Bedienung begangen, da Administratoren ohne festen Plan oft mehr beschädigen als reparieren.

Hier bietet es sich an, vor einem tatsächlichen Ausfall oder Angriff bereits Maßnahmen zu erörtern, festzulegen und zu dokumentieren. Das ITIL-System kann bei entsprechenden Störungen die hinterlegten Maßnahmen vorschlagen und mit eigenen Maßnahmen ergänzen. Das schließt menschliche Fehler weitgehend aus, erhöht die Sicherheit und vermindert Ausfälle.

Enorm wichtig ist die Absicherung der NCPI-Verwaltungs- und -Überwachungssysteme selbst. Denn wenn hier Angreifer einen Ansatz finden, erhalten sie Zugriff auf elementare Bereiche des Unternehmens, die wiederum an das Überwachungssystem angeschlossen sind. Administratoren sollten daher frühzeitig vor allem diese Bereiche effizient absichern und die Zugriffe stark einschränken. In diesem Fall ist eine strikte Trennung der verschiedenen Netzwerke wie internes Netzwerk, Test-Netz, DMZ und Internet enorm wichtig.

Überwachungssysteme, die an das Netzwerk angebunden sind, lassen sich teilweise über das Internet angreifen und kompromittieren. Beim Zugriff auf NCPI-Überwachung sollten Unternehmen außerdem auf Verschlüsselung und Authentifizierung achten. Hier gibt es verschiedene System und Mechanismen, die berücksichtigt und geplant sein wollen.

Hardware für den Server-Schutz

Ein wichtiger Punkt ist der Einbruchschutz für den Serverraum. Hier gibt der IT-Grundschutz des BSI (Bundesamt für Sicherheit in der Informationstechnik) verschiedene Empfehlungen. Interessant in diesem Bereich ist eine Ausarbeitung der Leibniz Universität Hannover zu diesem Thema.

DIN EN 1627 sollte für Fenster, Türen, Abschlüsse, Einbruchhemmung gelten und DIN 18095-1 für Türen und Rauchschutztüren. In Rechenzentren sollten nur Fenster/Türen und Schließmechanismen verbaut werden, die diesen Normen entsprechen. So sind die Server nicht nur vor Feuer und Rauch geschützt, sondern auch vor Einbrechern.

Bezüglich der Sicherheit lassen sich diese Normen noch weiter verbessern, indem beispielsweise der Rollladenschutz, zusätzliche Schlösser und die Absicherung von Kellerschächten und anderen Zugangsmöglichkeiten gewährleistet werden. Hier müssen Verantwortliche vor allem auf Nebeneingänge und Notausgänge achten, denn auch auf diesen Wegen können Angreifer in den Server-Raum kommen.

Einbruchschutz für Server-Räume

Zusätzlich sollte im Server-Raum eine Alarmanlage integriert werden, die vor Rauch, Feuer und Einbruch warnen kann. Die Anlage sollte zusätzlich in NCPI integriert, mit ITIL-Prozessen abgesichert und an die Überwachung angegliedert werden. In diesem Zusammenhang spielt das Zugangssystem eine Rolle, welches unter Umständen einzelne Serverschränke schützen kann.

Vor dem Anschaffen eines Zutrittskontrollsystems muss genau erfasst werden, welche Bereiche geschützt werden sollen und mit welcher Technik. Die einzelnen Türen, die Zugang zum Server-Raum gewähren, müssen ebenso abgesichert werden wie Aufzüge, Tore und andere Zugänge auf dem Firmengelände. Hier empfiehlt es sich, mit Sicherheitszonen zu arbeiten und den Zugriff auf Basis dieser Zonen festzulegen. Natürlich sollte das System dabei die zugreifende Person sowie Datum und Uhrzeit berücksichtigen.

Wichtig ist auch die Art des Zugangssystems, also PIN-Code, Smartcards, Schlüssel oder eine Kombination dieser Systeme. Biometrische Sensoren können in diesem Bereich ebenfalls eine Rolle spielen. Bei biometrischen Sensoren lassen sich Fingerabdruck, Handgeometrie, Gesichtserkennung, Stimmerkennung, Iriserkennung und Retinaerkennung einbinden, auf Wunsch eine Kombination dieser Merkmale.

Viele Unternehmen setzen in diesem Bereich auf mechatronische Systeme. Dabei handelt es sich um eine Kombination von Schließsystem und elektronischer Zugangsregelung. Bei einem mechanischen System wird der Schließmechanismus durch den Schlüssel bewegt, bei einem mechatronischen System löst der Schlüssel nur das Öffnen aus. Dieser Vorgang lässt sich mit einer PIN-Eingabe oder einer Smartcard kombinieren.

Wichtig ist also, ebenfalls in diesem Bereich möglichst eine Multi-Faktor-Authentifizierung zu nutzen – also mindestens zwei Identitätsnachweise, die erbracht werden müssen, bevor dem Anwender Zugriff gestattet wird. Das kann eine Smartcard in Verbindung mit biometrischen Sensoren, PINs oder ein mechanisches System sein.

Setzen Unternehmen Smartcards oder RFID-Chips ein, sollten diese nach ISO 7816 genormt sein. In diesem Bereich gibt es Karten, die Zugangscodes zusätzlich verschlüsseln können. Unabhängig davon, wie die Daten auf einer Smartcard gesichert sind, besteht aber die Gefahr, dass die Karte von Unbefugten verwendet wird, entweder durch Weitergabe oder Diebstahl.

Active Directory-Schutz mit Rechenzentren verbinden

Setzen Unternehmen auf elektronische Zugangssysteme, lässt sich die Authentifizierung über Active-Directory-Benutzerkonten abbilden. Bietet das System eine entsprechende Schnittstelle, sollten Verantwortliche prüfen, ob eine Verkettung der Systeme sinnvoll ist. Das ermöglicht das Delegieren von Zugängen auf die gleiche Weise wie das Öffnen von Dokumenten oder Verzeichnissen. Das Ganze lässt sich mit der Zeiterfassung verbinden und bietet dadurch Sicherheit, Mehrwert und leichte Verwaltbarkeit.

(ID:43150253)