Kritische Infrastrukturen (KRITIS) Wer kümmert sich um das Netzwerk?

Anbieter zum Thema

NetModule AG

TXOne Networks

NetBrain Technologies GmbH

Cyberangriffe auf digitale Infrastrukturen gehören längst zum Alltag. Nach Angaben des Weltwirtschaftsforums sind diese Attacken mittlerweile sogar das größte Geschäftsrisiko in Europa.

Wie sehr sich Cyberangriffe dabei mittlerweile auf den Alltag auswirken, zeigen die – aus Sicht der Angreifer erfolgreichen – Attacken des Jahres 2017 mit WannaCry und NoPetya. Falls solche Angriffe wichtige Infrastrukturen lahmlegen oder gar zerstören, kann dies massive Behinderungen des öffentlichen Lebens in Deutschland zur Folge haben. Schon 2015 hat der Gesetzgeber mit dem Gesetz zur Erhöhung der Sicherheit informationstechnischer Systeme (IT-Sicherheitsgesetz) Maßnahmen vorgegeben, die die Sicherheit der IT verbessern sollen. Am 3. Mai 2016 ist der erste Teil der BSI-KRITIS-Verordnung (§ 10 BSI-Gesetz) zur Umsetzung des IT-Sicherheitsgesetzes in Kraft getreten.

„Ein Kernziel ist die Verbesserung der Sicherheit durch den Schutz von IT-Systemen und Diensten“, schreibt das BSI in den Ausführungen. Denn Attacken insbesondere im Bereich der KRITIS, dazu zählen unter anderem die Strom- und Wasserversorgung, das Gesundheits- und das Finanzwesen und die Telekommunikation, haben das Potenzial, Wirtschaft, Staat und Gesellschaft in Deutschland nachhaltig zu schädigen.

Nun ist es ein Thema, Virenscanner, Firewalls sowie Back-up und Recovery-Notfallpläne für genau diese Notfälle in der Schublade zu ­haben. Ganz anders sieht es aber oftmals beim Netzwerk aus. Und für einen KRITIS-Audit müssen vielen Vorgaben auch in diesem Bereich erfüllt sein. Dazu gehört beispielsweise eine komplette Netzwerkübersicht auf Knopfdruck oder auch die Option, bei Switches und Routern einzelne Ports im Notfall umgehend sperren zu können.

Viele Organisationen haben de facto keine Ahnung, wie der aktuelle Stand ihrer Netzwerke wirklich ist, welche Geräte sich darin befinden und wie der Status der einzelnen Komponenten ist. PCs, Server, vielleicht auch noch Drucker dabei im Blick zu haben ist nur ein Aspekt.

Ein ganz anderer ist: Welche weiteren Systeme befinden sich in meinem Netzwerk, beispielsweise IP-Telefone, Router, Switches und sonstige Geräte, die ebenfalls Ziele von Angriffen werden können? Als ein Beispiel sei der großangelegte Hackerangriff auf Router aus dem Jahr 2016 zu nennen, der zeigt, dass es wirklich wichtig ist zu wissen, welche Geräte in welchem Status im Netzwerk laufen.

#experte

Netzleittechnik-Schutz

In fünf Schritten zu Sicherheit und Stabilität in Kritischen Infrastrukturen

Händische Erfassung ist nicht zeitgemäß

Dass hierbei eine händische Erfassung der einzelnen Geräte kaum als sinnvolle Option zu betrachten ist, um einen aktuellen Überblick zu haben, ist ziemlich offensichtlich. Noch dazu ist es eher eine ungeliebte Arbeit in den IT-Teams.

Und ist diese manuelle Recherche- und Visualisierungsarbeit des Netzwerks nach mühevoller Detailarbeit schließlich abgeschlossen, ist die künstlerisch anmutende Übersichtsgraphik auch schon wieder überholt. Denn insbesondere in größeren Netzwerken werden permanent Geräte ausgetauscht, sei es wegen eines Defekts, einer Modernisierung oder einer Ergänzung des Netzwerks.

Wie viele andere Organisationen hatten die Stadtwerke Saarbrücken den Versuch einer händischen Erfassung unternommen: „Als Ergebnis unserer Mühen standen wir Administratoren vor einem riesigen Ausdruck, der gut und gerne als Wandtapete herhalten konnte und bereits kurz nach dessen Fertigstellung nicht mehr den aktuellen Stand abbildete“, erläutert Christian Schorr, Sachgebietsleiter für Service Design und Infrastruktur Services bei den Stadtwerken Saarbrücken, die Erfahrung.

Doch wie kann der Betreiber einer Organisation nach der BSI-KRITIS-Verordnung dieser Problematik begegnen? Die einzig sinnvolle Option ist hier sicherlich die ­Abkehr von der händischen Erfassung hin zur Automatisierung, denn nur diese ermöglicht die zeitnahe Erfassung wirklich jeden ­Geräts im Netzwerk.

Durch die Automatisierung aktualisiert sich die Netzwerkdokumentation permanent und kann die Zusammenhänge der Netzwerkkomponenten auf Wunsch übersichtlich darstellen. Darüber hinaus kann eine Lösung zur Netzwerkautomatisierung Veränderungen im Netzwerk auch rückwirkend anzeigen und erlaubt damit, die Zustände zu verschiedenen Zeitpunkten miteinander zu vergleichen. Außerdem erhalten Netzwerkexperten einen granularen Einblick in die Netzwerksituation und Informationen über die Struktur des Netzwerks.

Sinnvoll ergänzt wird das dynamische Dokumentationssystem durch die Aufbereitung der Daten in Diagrammen und Bestandslisten. Dies sorgt für Übersichtlichkeit und Transparenz.

Skalierbare Ansicht liefert besseren Überblick

Diese Transparenz verschafft den Administratoren dann schnell im richtigen Maßstab den bestmöglichen Überblick, denn für das Troubleshooting im Netzwerk brauchen Administratoren nicht den gesamten Überblick über alle verbundenen Komponenten. Dies funktioniert beispielsweise über Dynamic Maps. Sie bieten eine kontextorientierte Sichtweise auf die betreffenden Netzwerksegmente und stellen End-to-end-Verbindungen dar. So wird keine Komponente und keine Verbindung versehentlich bei der Suche nach Fehlern oder Optimierungspotenzialen ausgelassen. Dazu zählt auch die Darstellung der Verbindung in andere Netzwerke. Dies ist besonders nützlich bei heterogenen Netzwerkstrukturen oder der Integration moderner Software Defined Networks.

Jetzt Newsletter abonnieren

Verpassen Sie nicht unsere besten Inhalte

Geschäftliche E-Mail

Bitte geben Sie eine gültige E-Mailadresse ein.

Abonnieren

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

Stand vom 15.04.2021

Es ist für uns eine Selbstverständlichkeit, dass wir verantwortungsvoll mit Ihren personenbezogenen Daten umgehen. Sofern wir personenbezogene Daten von Ihnen erheben, verarbeiten wir diese unter Beachtung der geltenden Datenschutzvorschriften. Detaillierte Informationen finden Sie in unserer Datenschutzerklärung.

Einwilligung in die Verwendung von Daten zu Werbezwecken

Ich bin damit einverstanden, dass die Vogel Communications Group GmbH & Co. KG, Max-Planckstr. 7-9, 97082 Würzburg einschließlich aller mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen (im weiteren: Vogel Communications Group) meine E-Mail-Adresse für die Zusendung von redaktionellen Newslettern nutzt. Auflistungen der jeweils zugehörigen Unternehmen können hier abgerufen werden.

Der Newsletterinhalt erstreckt sich dabei auf Produkte und Dienstleistungen aller zuvor genannten Unternehmen, darunter beispielsweise Fachzeitschriften und Fachbücher, Veranstaltungen und Messen sowie veranstaltungsbezogene Produkte und Dienstleistungen, Print- und Digital-Mediaangebote und Services wie weitere (redaktionelle) Newsletter, Gewinnspiele, Lead-Kampagnen, Marktforschung im Online- und Offline-Bereich, fachspezifische Webportale und E-Learning-Angebote. Wenn auch meine persönliche Telefonnummer erhoben wurde, darf diese für die Unterbreitung von Angeboten der vorgenannten Produkte und Dienstleistungen der vorgenannten Unternehmen und Marktforschung genutzt werden.

Falls ich im Internet auf Portalen der Vogel Communications Group einschließlich deren mit ihr im Sinne der §§ 15 ff. AktG verbundenen Unternehmen geschützte Inhalte abrufe, muss ich mich mit weiteren Daten für den Zugang zu diesen Inhalten registrieren. Im Gegenzug für diesen gebührenlosen Zugang zu redaktionellen Inhalten dürfen meine Daten im Sinne dieser Einwilligung für die hier genannten Zwecke verwendet werden.

Recht auf Widerruf

Mir ist bewusst, dass ich diese Einwilligung jederzeit für die Zukunft widerrufen kann. Durch meinen Widerruf wird die Rechtmäßigkeit der aufgrund meiner Einwilligung bis zum Widerruf erfolgten Verarbeitung nicht berührt. Um meinen Widerruf zu erklären, kann ich als eine Möglichkeit das unter https://support.vogel.de abrufbare Kontaktformular nutzen. Sofern ich einzelne von mir abonnierte Newsletter nicht mehr erhalten möchte, kann ich darüber hinaus auch den am Ende eines Newsletters eingebundenen Abmeldelink anklicken. Weitere Informationen zu meinem Widerrufsrecht und dessen Ausübung sowie zu den Folgen meines Widerrufs finde ich in der Datenschutzerklärung, Abschnitt Redaktionelle Newsletter.

Playbooks zu statisch

In der Netzwerkanalyse haben sich sogenannte Playbooks etabliert. Sie dienen als Wissenssammlung, in der Routinen wie Starten, Stoppen, Überwachen oder Debuggen des Systems abgelegt sind. Dabei handelt es sich um Situationen, auf deren Aufzeichnung IT-Teams bei Bedarf zurückgreifen können, beispielsweise bei der Überprüfung von Sicherheitsprotokollen oder dem Erstellen von System-Backups.

Doch diese Playbooks haben einen entscheidenden Nachteil: Sie sind statisch. Sie bilden lediglich den jeweils zum Zeitpunkt ihrer Abfassung geltenden Wissensstand ab und sind deshalb extrem schnell veraltet. Hinzu kommt, dass sie sich meist nur auf einen Teilaspekt der Problemlösung beziehen. Daraus resultiert die Gefahr, dass Netzwerkexperten falsche Schlüsse ziehen, falls die beschriebene Situation wichtige Einflussfaktoren der Aufgabenstellung nicht berücksichtigt.

Und die Playbooks haben einen weiteren Nachteil: Es handelt sich oftmals um gedruckte Bücher, die nicht sofort zur Verfügung stehen, sondern erst aufwändig gesucht werden müssen. Das führt zu Verzögerungen und auch dazu, dass wiederholt völlig unterschiedliche Lösungsansätze umgesetzt werden, die nicht unbedingt zum gewünschten Ziel führen.

Der dynamische Weg zur Lösung

Aufgrund dieser Problematik empfiehlt es sich, Runbooks anstelle von Playbooks einzusetzen. Die Runbooks enthalten eine Sammlung von Prozeduren und Lösungsanweisungen und sind im Gegensatz zu den Playbooks Bestandteil einer dynamischen, automatisierten Netzwerkdokumentation und damit automatisch immer auf dem aktuellen Stand. Aufgrund ihrer Integration in das Dokumentationssystem bieten sie viele Funktionen, mit denen unterschiedliche Teams zeitgleich an der Optimierung oder Problemlösungen des aktuellen Zustands arbeiten können. Know-how, das ein Team gewinnt, steht damit auch anderen Teams unmittelbar zur Verfügung. Dabei liegen sämtliche Informationen in digitaler Form vor.

Es ist davon auszugehen, dass die Komplexität der Netzwerke weiter zunehmen wird. Händische Dokumentation ist diesem Trend sicherlich nicht gewachsen. Es stellt sich somit kaum mehr die Frage, ob eine automatisierte und dynamische Lösung benötigt wird, sondern wie schnell die Implementierung einer solchen umgesetzt werden kann. Nur dann werden die Unternehmen der BSI-KRITIS-Verordnung in der Lage sein, den gesetzlichen Anforderungen auch im Netzwerkbetrieb gerecht zu werden.

*Der Autor: Christian Lorentz ist Director Product Marketing bei NetBrain Technologies.

Cybersecurity

Kritische nationale Infrastruktur in Gefahr

Dieser Beitrag ist ursprünglich auf unserem Partnerportal eGovernment Computing erschienen.

(ID:46183777)