1 Einleitung
ISO 27033-5
Die ISO/IEC 27033-5 [1], Information technology – Security techniques – Network security – Securing communications across networks using Virtual Private Networks (VPNs), gibt Anleitung für die Auswahl, Implementierung und Überwachung technischer Sicherheitsmaßnahmen für VPNs. Sie ersetzt die ISO/IEC 18028-5.
Die ISO/IEC 27033-5 [1], Information technology – Security techniques – Network security – Securing communications across networks using Virtual Private Networks (VPNs), gibt Anleitung für die Auswahl, Implementierung und Überwachung technischer Sicherheitsmaßnahmen für VPNs. Sie ersetzt die ISO/IEC 18028-5.
Die Anfangskapitel des Standards gehen nach dem Vorwort ein auf den Geltungsbereich des Standards sowie normative Referenzen, verweisen in Kapitel 3 auf Begriffe und deren Definitionen und erläutern in Kapitel 4 Abkürzungen. Die Abkürzungen erstrecken sich u. a. von AH für Authentication Header über IPsec für Internet Protocol Security, PPP für Point-to-Point Protocol sowie SSL für Secure Socket Layer bis hin zu WAN für Wide Area Network. Kapitel 5 gibt einen Überblick über die Kapitelstruktur des Standards.
Kapitelüberblick
Diesen Anfangskapiteln schließen sich die folgenden Kapitel an:
Diesen Anfangskapiteln schließen sich die folgenden Kapitel an:
| • | Überblick über VPNs |
| • | Bedrohungen |
| • | Sicherheitsanforderungen |
| • | Sicherheitsmaßnahmen (Security Controls) |
| • | Entwurfstechniken |
2 Kapitelinhalte
Überblick
Virtual Private Networks (VPNs) stellen einem Endbenutzer einen abgesicherten Datenkanal zwischen seinem Endgerät und einem Gateway oder zwischen zwei Gateways über ein öffentliches Netz zur Verfügung. Der Standard nennt – basierend auf dem Open-Systems-Interconnection-(OSI-)Referenzmodell – folgende drei Arten von VPNs
Virtual Private Networks (VPNs) stellen einem Endbenutzer einen abgesicherten Datenkanal zwischen seinem Endgerät und einem Gateway oder zwischen zwei Gateways über ein öffentliches Netz zur Verfügung. Der Standard nennt – basierend auf dem Open-Systems-Interconnection-(OSI-)Referenzmodell – folgende drei Arten von VPNs
| • | Layer-2-VPNs, bei denen VPN-Verbindungen über ein Netzwerk geführt werden, um Unternehmensstandorte miteinander zu verbinden oder eine Remote-Verbindung zu ermöglichen. |
| • | Layer-3-VPNs, die die Nutzung privater IP-Adressschemata über eine öffentliche Infrastruktur ermöglichen. |
| • | VPNs eines höheren Layers zum Schutz von Transaktionen zwischen Anwendungen. |
Bedrohungen
Die ISO/IEC 27033-5 nennt als grundsätzliche Bedrohungsarten für VPNs das Eindringen und die Blockade des Dienstes (Denial of Service, DoS). Sie nennt fünf Sicherheitsthemen für VPNs. Dazu gehören dementsprechend der Schutz vor unberechtigtem Zugang und vor DoS-Angriffen, aber auch der Schutz der Netzwerkstruktur.
Die ISO/IEC 27033-5 nennt als grundsätzliche Bedrohungsarten für VPNs das Eindringen und die Blockade des Dienstes (Denial of Service, DoS). Sie nennt fünf Sicherheitsthemen für VPNs. Dazu gehören dementsprechend der Schutz vor unberechtigtem Zugang und vor DoS-Angriffen, aber auch der Schutz der Netzwerkstruktur.
Sicherheitsanforderungen
VPNs sollen einen Kanal bzw. Tunnel aufbauen, der die Vertraulichkeit und Integrität der Daten schützt sowie ihre Verfügbarkeit sicherstellt. An den Endpunkten des Tunnels muss daher sichergestellt sein, dass Nutzer und Administratoren authentisiert und autorisiert sind sowie die Verfügbarkeit des Endpunkts sichergestellt ist. Bei der Übertragung besonders sensitiver Daten können zusätzliche Verschlüsselungsmaßnahmen – z. B. vor der Übertragung – erforderlich sein. Zur Sicherstellung der Integrität übertragener Daten sollten geeignete Techniken genutzt werden, z. B. Message Verification Codes.
VPNs sollen einen Kanal bzw. Tunnel aufbauen, der die Vertraulichkeit und Integrität der Daten schützt sowie ihre Verfügbarkeit sicherstellt. An den Endpunkten des Tunnels muss daher sichergestellt sein, dass Nutzer und Administratoren authentisiert und autorisiert sind sowie die Verfügbarkeit des Endpunkts sichergestellt ist. Bei der Übertragung besonders sensitiver Daten können zusätzliche Verschlüsselungsmaßnahmen – z. B. vor der Übertragung – erforderlich sein. Zur Sicherstellung der Integrität übertragener Daten sollten geeignete Techniken genutzt werden, z. B. Message Verification Codes.
Sicherheitsmaßnahmen
Kapitel 9.1 der ISO/IEC 27033-5 weist darauf hin, dass sowohl ein Datentunnel als auch die Endpunkte des Tunnels abgehört werden können. Selbst beim Einsatz von Verschlüsselung lassen sich die Endpunkte ermitteln. Grundsätzlich ist die Kompromittierung eines VPNs unwahrscheinlicher, wenn es traditionell über eine virtuelle Verbindung, z. B. eine gemietete Leitung, geführt wird.
Kapitel 9.1 der ISO/IEC 27033-5 weist darauf hin, dass sowohl ein Datentunnel als auch die Endpunkte des Tunnels abgehört werden können. Selbst beim Einsatz von Verschlüsselung lassen sich die Endpunkte ermitteln. Grundsätzlich ist die Kompromittierung eines VPNs unwahrscheinlicher, wenn es traditionell über eine virtuelle Verbindung, z. B. eine gemietete Leitung, geführt wird.
Entwurfstechniken
Gemäß Kapitel 10.1 der ISO/IEC 27033-5 können Tunnel durch virtuelle Verbindungen (Virtual Circuits), Label Switching oder Protokollkapselung hergestellt werden. Virtuelle Verbindungen bilden einen Tunnel auf Layer 2 des OSI-Modells. Sie bestehen üblicherweise aus gemieteten Leitungen mit Paketvermittlung, z. B. Frame Relay oder ATM (Asynchronous Transfer Mode). Label-Switching-Technologien ermöglichen Verbindungen auf Layer 2 oder 3. Beim Label Switching erhalten die Datenpakete eine Markierung (Label). Einer Verbindung werden nur Datenpakete mit dem gleichen Label zugeordnet. Beide Arten eines Tunnels stellen zwar die Separierung sicher, erfüllen jedoch keine Vertraulichkeitsanforderungen. Dazu ist eine Verschlüsselung erforderlich. Die Protokollkapselung kann – mit Ausnahme der physischen Ebene – auf allen OSI-Ebenen zum Einsatz kommen.
Gemäß Kapitel 10.1 der ISO/IEC 27033-5 können Tunnel durch virtuelle Verbindungen (Virtual Circuits), Label Switching oder Protokollkapselung hergestellt werden. Virtuelle Verbindungen bilden einen Tunnel auf Layer 2 des OSI-Modells. Sie bestehen üblicherweise aus gemieteten Leitungen mit Paketvermittlung, z. B. Frame Relay oder ATM (Asynchronous Transfer Mode). Label-Switching-Technologien ermöglichen Verbindungen auf Layer 2 oder 3. Beim Label Switching erhalten die Datenpakete eine Markierung (Label). Einer Verbindung werden nur Datenpakete mit dem gleichen Label zugeordnet. Beide Arten eines Tunnels stellen zwar die Separierung sicher, erfüllen jedoch keine Vertraulichkeitsanforderungen. Dazu ist eine Verschlüsselung erforderlich. Die Protokollkapselung kann – mit Ausnahme der physischen Ebene – auf allen OSI-Ebenen zum Einsatz kommen.
Entscheidungskriterien für VPNs
Bei der Nutzung von VPNs sind gesetzliche und regulatorische sowie geschäftliche Anforderungen, z. B. im Hinblick auf den Datenschutz, zu beachten. Als architekturelle Aspekte, die bei der Auswahl eines VPNs zu berücksichtigen sind, nennt der Standard u. a. die Sicherheit des Endpunkts, den Ort zur Terminierung der VPN-Verbindung, den Schutz vor Schadsoftware, die Authentifizierung, Intrusion-Detection- und -Prevention-Systeme sowie Sicherheits-Gateways. Zu betrachten sind weiterhin technische Aspekte, wie z. B. das Management der VPN-Geräte und das Monitoring.
Bei der Nutzung von VPNs sind gesetzliche und regulatorische sowie geschäftliche Anforderungen, z. B. im Hinblick auf den Datenschutz, zu beachten. Als architekturelle Aspekte, die bei der Auswahl eines VPNs zu berücksichtigen sind, nennt der Standard u. a. die Sicherheit des Endpunkts, den Ort zur Terminierung der VPN-Verbindung, den Schutz vor Schadsoftware, die Authentifizierung, Intrusion-Detection- und -Prevention-Systeme sowie Sicherheits-Gateways. Zu betrachten sind weiterhin technische Aspekte, wie z. B. das Management der VPN-Geräte und das Monitoring.
Produktauswahl
Kapitel 11 gibt Anleitung für den Produktauswahlprozess. Dabei geht der Standard ein auf die Auswahl des Carrier-Protokolls und die Nutzung von VPN-Appliances.
Kapitel 11 gibt Anleitung für den Produktauswahlprozess. Dabei geht der Standard ein auf die Auswahl des Carrier-Protokolls und die Nutzung von VPN-Appliances.
Quellen
1
ISO/IEC 27033-5:2013, Information technology – Security techniques – Network security – Securing communications across networks using Virtual Private Networks (VPNs). International Organization for Standardization (ISO)
