Ende des Jahres 2001 begannen sich die schweren Hackerattacken auf Rechner in und über das Deutsche Wissenschaftsnetz G-WiN (=Gigabit Wissenschaftsnetz) an den deutschen Hochschulen zu häufen. Leider blieb auch die Universität des Saarlandes hiervon nicht verschont. Hierbei wurden Netzverbindungen, ganze Serversysteme bis hin zu Arbeitsplatzsystemen außer Funktion gesetzt. Das Hochschul-IT-Zentrum hat bei den ersten schweren Attacken im Dezember 2001 einige Sofortmaßnahmen ergriffen, um weiterhin einen möglichst reibungslosen Netzbetrieb zu gewährleisten. Diese sind aber bei weitem nicht ausreichend, um einen genügenden Schutz zur Sicherheit der innerhalb von HORUS vernetzten IT-Systeme auf dem Campus zu bieten. Die vermehrten Angriffe von und auf Rechner in HORUS lässt die Frage nach einem globalen ganzheitlichen Sicherheitskonzept für die Universität des Saarlandes aktuell werden, in dem - nach einer Schutzbedarfsfeststellung - die dazu technischen, organisatorischen und personellen Maßnahmen zu definieren und die notwendigen Verantwortlichkeiten festzulegen sind.
Der Begriff Sicherheit im IT-Bereich hat viele Facetten. Sicherheit in der IT-Welt bedeutet das Einhalten einschlägiger datenschutzrechtlichen Bestimmungen, wirft Fragen auf nach Verschlüsselungstechniken, der Datenauthentizität und -integrität, des Virenschutzes, der Datensicherung bis hin zum physischen Schutz. Dies zeigt, dass die Betrachtung der IT-Sicherheitsaspekte eines gesamten IT-Verbundes sich als sehr komplex darstellt. Daher hat das Bundesamt für Sicherheit in der Informationstechnik (=BSI) zur Einordnung der Aufgaben das folgende 5-Schichtenmodell zugrunde gelegt:
Die dargestellte Einteilung in ein Schichtenmodell hat den Vorteil, dass sich die Komplexität eines einheitlichen Sicherheitskonzeptes für eine gesamte Einrichtung reduzieren lässt: Man ordnet den einzelnen Schichten die sicherheitsrelevanten Fragestellungen zu und kann sie auf diese Weise einzeln betrachten und abhandeln. Entsprechend kann man auch Zuständigkeiten und Verantwortlichkeiten zuordnen:
In Schicht 1 müssen Grundsatzfragen des IT-Einsatzes geklärt werden. Diese haben Gültigkeit für die gesamte Einrichtung und müssen von der koordinierenden Stelle festgelegt werden.
Die Verantwortlichkeiten für Schicht 2 liegen bei der Haustechnik.
Die IT-Systeme der Schicht 3 unterliegen der Verantwortlichkeit der Nutzer selbst oder den lokalen Administratoren dieser Systeme.
Schicht 4 betrifft die Netz- und Systemadministratoren.
Schicht 5 betrifft die Verantwortlichen für die jeweiligen angebotenen Dienste bzw. auf den Systemen ablaufenden Anwendungen.
Das Hochschul-IT-Zentrum sieht es als eine seiner wichtigsten Aufgaben an, den sicheren, robusten und verlässlichen Betrieb des Netzes und der dazugehörigen Netzdienste zu gewährleisten. Deshalb werden in den nachfolgenden Abschnitten Maßnahmen beschrieben und festgelegt, um Angriffe auf Rechensysteme über Netzverbindungen (sowohl von innen als auch von außen) abzuwehren. Da das Hochschul-IT-Zentrum die Endanwender betreut und sowohl Betreiber des Netzes als auch der zentralen Server ist, soll mit der Umsetzung des Konzeptes ein Teil der Sicherheitsanforderungen der Schichten 3, vorwiegend aber 4 und 5 erfüllt werden. Die "Spielregeln" zur Nutzung von HORUS werden in einer Security - Policy des Netzes festgelegt. Um die aufgezählten Maßnahmen auch wirkungsvoll und nachhaltig umzusetzen, sind im Netzbereich zusätzliche Hardwareinvestitionen notwendig, die mit ihren Kosten nachfolgend aufgelistet werden.
Bei der Einteilung der IP-Subnetze (VLans) und deren Größe, musste bisher auch Rücksicht auf andere ablaufende Netzwerkprotokolle wie z.B. Netware oder gerade NetBios genommen werden. Aus diesem Grund wurde bspw. das Subnetz der Juristischen Fakultät wegen der Kommunikation auf Basis von Broadcasts sehr groß dimensioniert (1024 Rechner in einem VLan). Will man aber bei der Definition der Sicherheitsklassen einer sehr feinen Granularität Rechnung tragen, müssen möglichst kleine Subnetze gebildet werden. Im Idealfall würde man für jeden Lehrstuhl ein eigenes Subnetz bilden, das dann theoretisch noch einmal nach seinen Funktionalitäten aufgespalten werden könnte. Eine solche Untergliederung zieht natürlich einen erheblichen administrativen Aufwand nach sich. Es müssten ca. 400 verschiedene VLans eingerichtet und verwaltet werden. Sofern sich gleiche Interessengruppen in einem VLan gemeinsam organisieren lassen, sollte man von dieser Möglichkeit Gebrauch machen, um den Administrationsaufwand nicht zu groß werden zu lassen. Die Erfahrungen der Vergangenheit haben gezeigt, dass die Möglichkeit einer bidirektionale Initiierung der Kommunikation aus jedem Subnetz heraus hauptsächlich für die Verbreitung von Viren, Trojanern, etc. verantwortlich war. Wie einleitend erwähnt, wurde Anfang des Jahres ein gehäuftes Auftreten des Code Red-Viruses festgestellt. Der Verbreitungsweg erfolgte haupsächlich durch Arbeitsplatzrechner, wo unbeabsichtigt ein Webserver aktiv war. Dies wurde von außen durch geeignete Werkzeuge erkannt und der Arbeitsplatzrechner aufgrund von Sicherheitslücken in der entsprechenden Serversoftware so manipuliert, dass er seinerseits wieder zum Angriffswerkzeug wurde. Ein Subnetz mit der reinen Client-Funktionalität hätte eine Infektion gar nicht ermöglicht, weil der unbeabsichtigt installierte Webserver nicht erreicht worden wäre.
Daraus ergibt sich der in der Skizze dargestellte Ansatz:
Alle Subnetze werden grundsätzlich in zwei Klassen eingeteilt, die nur noch die unidirektionale Initiierung einer Kommunikation erlauben:
1. Client-Subnetze mit der Möglichkeit Serverdienste innerhalb des eigenen Subnetzes sowie ausserhalb des eigenen Subnetzes zu nutzen. Die Arbeitsplatzrechner in diesen Subnetzen haben nicht die Möglichkeit Serverdienste aus dem Subnetz heraus anzubieten
2. Server-Subnetze mit der Möglichkeit Serverdienste aus dem Subnetz heraus anzubieten. Server können in dem Fall nicht als Arbeitsplatzrechner in obigem Sinn genutzt werden.
Diese grundsätzliche Einteilung muss noch in weitere Subklassen unterteilt werden, um einen möglichst praxisgerechte Einstellung vornehmen zu können. Server-Subnetze werden je nach Dienstangebot und Betreiber in unterschiedliche Server-Subnetze eingeteilt. Servern, die eine gewisse Vertrauensstellung innerhalb von HORUS besitzen, kann die Initiierung einer Kommunikation in gewisse Client-Subnetze erlaubt werden. Die Klassifizierung kann jedoch nur für verbindungsorientierten Verkehr (TCP) angewandt werden. Für die Nutzung von verbindungslosem Verkehr (UDP, ICMP, IPSec) müssen in Bezug auf die Sicherheitseinstellungen Kompromisse gemacht werden (z.B. bei Multimedia-Anwendungen).
Eine globale Sicherheitseinstellung regelt den grundsätzlichen Datenaustausch zwischen HORUS und Internet und betrifft alle Rechner in HORUS. Damit soll erreicht werden, dass spezielle Dienste (Mailserver, Webserver, DNS-Server, SSH-Server, ...) nur noch von offiziellen und angemeldeten Rechnern erbracht werden dürfen. Außerdem sorgt diese Sicherheitseinstellung dafür, dass gewisse Anwendungen, die nur lokal sinnvoll sind, über die Grenzen von HORUS weder verbreitet noch genutzt werden können. Die genaueren technischen Einzelheiten sind in der Kommunikationsmatrix im Anhang dargestellt. Dabei ist zu beachten, dass es sich dabei um den gegenwärtigen Stand handelt. Die Matrix wird auf Grund neuerer Erkenntnisse bzw. sich ändernden Gegebenheiten regelmäßig angepasst werden.
Sicherheit und Konnektivität ins Internet ist ein Antagonismus. Ein Rechner ist erst dann sicher, wenn er keine Netzverbindungen hat und bei völliger Einbindung ins Internet ist er ungeschützt. Bei Unternehmen wird der Zugang bzw. Zugriff aus und in das Internet heute mehr denn je sehr restriktiv durch Einsatz von Firewalls und entsprechenden Richtlinien (Policies) geregelt. Dies gilt ebenso für den öffentlichen Verwaltungsbereich (siehe z.B. IT-Sicherheitsrichtlinie für die Landesverwaltung im Saarland Gem. Ministerialblatt des Saarlandes vom 25.4.97, S.74). Solche Festlegungen stehen allerdings der Vorstellung von wissenschaftlichen Einrichtungen eines möglichst offenen, freien und ungehinderten Zugangs in und aus dem Internet entgegen und sind in ihrer Anwendung auf den Hochschulbereich nicht durchsetzbar ("Freiheit der Lehre und Forschung"). Andererseits fordern aber gerade auch die Nutzer in einer Hochschule, die Stabilität und das ordnungsgemäße Funktionieren des Netzes und den dort verfügbaren Diensten zu gewährleisten und es vor Angriffen zu schützen. Ebenso wichtig ist auch der Schutz vor Angriffen von HORUS auf andere Firmen und Einrichtungen. Neben den dadurch entstehenden finanziellen Schäden können auch die rechtlichen Folgen und vor allem die Schädigung des Ansehens einer wissenschaftlichen Einrichtung immens sein. Dabei erfordert der Schutz vor Angriffen von innen eine weitaus höhere Granularität als der Schutz von außen. Ein Sicherheitskonzept an einer Hochschule muss auf der Netzebene daher zum Ziel haben, möglichst hohe Sicherheit zu bieten bei gleichzeitig größtmöglicher Offenheit des Netzes. Die Umsetzung eines solchen Konzeptes wird damit für das Hochschul-IT-Zentrum zu einer Gratwanderung.
Mit der geplante
- Schutz von Rechnern in HORUS vor Angriffen von Außen
- Schutz von Rechnern in HORUS vor Angriffen aus dem eigenem Netz
- Schutz der Internetteilnehmer vor Angriffen aus HORUS
- Schutz vor Überlastung der Internetverbindung (Spiele, Tauschbörsen, DDoS)
erreicht werden.
Das Konzept sieht verschiedene skalierbare Sicherheitsklassen vor. Der Anwender kann je nach seinen Bedürfnissen die Sicherheitsklasse für den ihn betreffenden Bereich wählen. Diese Sicherheitszonen werden dann innerhalb von HORUS eingerichtet. Die Implementation solcher Zonen hat den entscheidenden Vorteil, dass auf individuell eingesetzte Firewalls und deren Betreuung - die in der Regel von den lokalen Administratoren nebenbei gemacht wird - an einzelnen Einrichtungen und Lehrstühlen verzichtet werden kann. Zudem handelt es sich bei den herkömmlich eingesetzten Systemen oft um Firewalls auf Software-Basis, die oftmals in dem dahinterliegenden Netz nicht mehr die gewünschte Performance bieten. Für eine solche Klassifizierung muss zunächst unterschieden werden, von wo Rechner auf Netzdienste zugreifen. Das nachfolgende Schaubild verdeutlicht, von wo aus Rechner einen physikalischen Zugang zum Netz und dessen Dienste haben:
Die logische Struktur von HORUS, mit der die Einteilung in Sicherheitsklassen mit einheitlichen Richtlinien letztendlich vollzogen wird, liegt nun über der physikalischen Struktur und ist über sog. VLans( =virtual local area networks) realisiert. Sie erlauben die logische Zusammenfassung von physisch getrennt liegenden Netzbereichen unabhängig von der Lage in der Gesamttopologie. Der Übergang in andere Netzbereiche mit anderen Sicherheitsfunktionen erfolgt ebenfalls topologieunabhängig.
VPN erlaubt einen sicheren Datentransfer von Arbeitsplätzen über öffentliche, unsichere Netze. Durch den Einsatz dieser Technologien können durch das Internet authentisierte und verschlüsselte Kommunikationskanäle - sogenannte Tunnel - aufgebaut werden. Die übertragenen Informationen sind somit geschützt und ihre Übertragung wird überwacht. Wenn Mitglieder der Universität sich bei der Einwahl in HORUS eines externen Providers bedienen , stehen normalerweise nicht alle im Netz der Universität des Saarlandes angebotenen Dienste zur Verfügung. Diese Dienste können von außerhalb nicht mit der Adresse fremder Netzes oder externer Provider genutzt werden. Zur Nutzung der Dienste muss der Rechner über eine IP-Adresse innerhalb des IP Adressbereichs der Universität des Saarlandes (134.96.x.y) verfügen. Rechner aus anderen Netzen mit allen anderen Adressen werden abgelehnt. Wird der VPN-Zugang benutzt, so läuft die Kommunikation durch einen Tunnel mit einer Adresse aus dem IP-Adressbereich der Universität und der Rechner wird als ein Teil von HORUS betrachtet. Vor der Zuweisung einer solchen Tunnel-IP-Adresse, muss der Nutzer sich an dem RADIUS Server von HORUS (analog dem Dial Up Zugang) authentifizieren. Durch Auswahl verschiedener Gruppenprofile kann der Nutzer steuern, ob der gesamte Verkehr von seinem Rechner bis zum VPN-Server übertragen und verschlüsselt wird oder ob nur der Verkehr zur Universität des Saarlandes zum VPN-Server übertragen und verschlüsselt wird. Hat der Nutzer z.B. zu Hause ein privates Netzwerk aufgespannt und sein Internet-Zugang erfolgt über einen Router mit NAT (Network and Port Address Translation), so kann ein Gruppenprofil benutzt werden, das dies unterstützt. Derzeit werden vier Gruppenprofile unterstützt:
unisb, unisb-nat: Datenübertragungen durch das Internet zur Universität des Saarlandes erfolgen verschlüsselt bis zum VPN-Server. Datenübertragungen zu anderen Zielen werden unverschlüsselt und auf dem direkten Weg über den Internetservice Provider übertragen.
world, world-nat: Übertragungen, gleichgültig ob zur Universität des Saarlandes oder zu anderen Zielen in der Welt erfolgen verschlüsselt bis zum VPN-Server. Alle Ziele werden über die Außenanbindungen der Universität ins Internet weitergeroutet.
Der VPN-Zugang kann natürlich auch innerhalb von HORUS zur Authentifikaton und Verschlüsselung genutzt werden:
Auf dem Campusgelände besteht die Möglichkeit, sich per Funk-LAN ins Internet zu begeben. Beim Funk-LAN handelt es sich um ein sogenanntes Shared Medium, d.h. dass alle anderen Rechner in einer Funkzelle die von anderen übertragene Information theoretisch mitlesen können. Deshalb sollen sensitive Daten zumindest bis zum Access-Point (dort, wo es kabelgebunden weitergeht), auf keinen Fall unverschlüsselt übertragen werden. Erreicht wird dies über den VPN-Zugang mit dem Gruppenprofil world. Aus Sicherheitsgründen besitzen öffentlich zugängliche Datendosen nur eine sehr begrenzte Möglichkeit, Internetdienste zu nutzen. Grund dafür ist, dass der Benutzer einer solchen Datendose im allgemeinen anonym ist. Die Versorgung mit einer IP-Adresse erfolgt über DHCP (Dynamic Host Configuration Protocol). Identifiziert sich der Benutzer jedoch über den VPN-Server mit dem Profil world, so können alle Internetdienste ohne Einschränkung benutzt werden. Wird ein Notebook, an den unterschiedlichsten Datendosen benutzt, so wird diesem durch die Versorgung mit DHCP, ganz gleich im welchem VLan man sich befindet, eine IP-Adresse zugeteilt. Diese ist jedoch, wie bei öffentlichen Datendosen, in ihrer Funktionalität eingeschränkt. Identifiziert sich der Nutzer jedoch über den VPN-Server, so stehen alle Internetdienste ohne Einschränkung zu Verfügung.
Für nicht angemeldete Rechner (z. B. von Gästen, neue Rechner ohne Anmeldung, mobile Rechner wie Notebooks, die in anderen Räumen als dem eigenen Büro betrieben werden, etc.) werden mittlerweile in allen Subnetzen, die in der Verantwortung des Hochschul-IT-Zentrums stehen, IP-Adressen mit dynamischem DHCP vergeben. Da nicht festgestellt werden kann, wer der eigentliche Nutzer einer so zugewiesenen IP-Adresse ist, sind diese Adressen in ihrer Funktion massiv eingeschränkt. Folgende Dienste stehen zu Verfügung:
- Ping zu allen Adressen mit dem Präfix 134.96. (zum Testen eines Netzwerkanschlusses)
- HTTP, HTTPS, SSH, POP3 zu beliebigen IP-Adressen
- IP-Protokoll zu vpnserver.rz.uni-saarland.de
Der DNS-Eintrag dieser IP-Adressen wird immer in der Domain public.uni-saarland.de gepflegt, um am Namen schon einen Hinweis auf die eingeschränkte Funktionalität zu erkennen. Die Einschränkung kann durch die Nutzung des VPN (Virtual Private Network) Zugangs aufgehoben werden. Hierzu wird auf dem jeweiligen Arbeitsgerät ein VPN-Client installiert und eine VPN-Verbindung zu dem zentralen VPN-Server der Uni (vpnserver.rz.uni-saarland.de) aufgebaut. Nach einem erfolgreiche Verbindungsaufbau zu dem VPN-Server wird durch einen verschlüsselten Tunnel eine weitere IP-Adresse zugeteilt, die keinerlei Einschränkungen unterliegt. Vorraussetzung ist eine UdS-Kennung.
In seiner allgemeinen Form definiert der Internet-RFC 2196 (=Request for Comment) den Begriff der Sicherheitspolicy wie folgt: "Eine Sicherheitspolicy ist eine formale Darlegung der Richtlinien an die sich Personen halten müssen, die Zugang zu den Technologien und Informationsbeständen einer Unternehmung haben". Diese Richtlinien manifestieren das Sicherheitskonzept, legen Regeln zum Anschluss und Betrieb von Rechnern einschließlich der auf den Rechnern verfügbaren Netzdienste fest und bestimmen die Reaktionen nach Regelverletzungen. In sehr allgemeiner und wenig differenzierter Form finden diese sich in der Benutzerordnung des Hochschul-IT-Zentrums unter § 7, der die Netznutzung regelt, wieder. Die Benutzerordnung des Hochschul-IT-Zentrums wird derzeit überarbeitet und wird in ihrer neuen Form der Nutzung der IT-Kommunikationsinfrastrukturen wegen ihrer zentralen Stellung im IT-Umfeld ein stärkeres Gewicht beimessen. Da eine überarbeitete Benutzerordnung nicht nur niedergeschrieben werden, sondern auch von den entsprechenden Gremien beschlossen und den Nutzern zur Kenntnis gebracht werden muss, wird an dieser Stelle nicht näher darauf eingegangen. Welche Dienste vom Hochschul-IT-Zentrum innerhalb des Netzes zum Schutz und zur Abwehr von Angriffen gefiltert und mitprotokolliert werden, sind der aufgeführten Kommunikationsmatrix zu entnehmen. Bisher gibt es auch einige Regelungen, die allerdings nicht verbindlich festgeschrieben sind und die derzeitige Policy "in jedem Subnetz darf jeder alles" darf in dieser Form keine Gültigkeit mehr besitzen.
Zur Realisierung des Konzeptes soll ein Switch aus der 6500 Familie von CISCO wie im folgenden Bild dargestellt in HORUS integriert werden:
Bei diesem Switch handelt es sich um ein modulares System für Unternehmens- und Service-Provider Netze, das den Anforderungen nach Gigabit Skalierbarkeit, Multilayer Switching und Services wie sowohl Intrusion Detection als auch Firewall gerecht wird. Hauptbestandteil zur Umsetzung des Sicherheitskonzeptes wird die Integration eines Intrusion Detection Systems (= IDS) in HORUS sein. Die Aufgaben des IDS werden an dem nachfolgend schematischen Netzwerkangriff, wie er typischerweise abläuft, klargemacht: einem Angriff geht oft eine Netzerkundung voraus , wobei über das Zielnetzwerk Informationen gesammelt werden. Dies geschieht dann mittels DNS-Abfragen, Ping Sweeps und Port Scanning. Mit der DNS-Abfrage werden Informationen über Eigentümer bestimmter Domänen und zugewiesene Adressen innerhalb der Domäne gesammelt. Der anschließende Ping Sweep zeigt ein Abbild der aktiven Hosts in einer bestimmten Umgebung , bei denen dann mit Hilfe von Port Scanning Tools alle bekannten Ports abgefragt werden. Das Ergebnis ist eine Liste sämtlicher Dienste, die auf den durch den Ping Sweep gefundene Rechnern ausgeführt werden. IDS setzt die Administratoren in Kenntnis, wenn ein solcher Erkundungsangriff gestartet wurde, womit ein teilweiser Schutz gegeben ist.
Ein Intrusion Detection System entdeckt durch ständige Überwachung derart strukturierte Einbruchsversuche oder wahrscheinliche Einbrüche und dokumentiert diese in Logfiles. Dabei gibt es zwei sich ergänzende Technologien: das netzwerkbasierende System (NIDS) überwacht alle Pakete, die eine bestimmtes VLan durchlaufen. Falls ein Paket oder eine Paketfolge ein für einen Angriff typisches Bitmuster aufweist, gibt es Alarm und die betroffene Sitzung wird beendet. Hostbasierende ID-System (HIDS) platzieren Agenten in dem zu schützenden Host. Diese Technologie greift erst dann, wenn ein Angriff gegen diesen speziellen Host erfolgt. Bei beiden Systemversionen ist allerdings das genaue Kontrollieren der Logfiles ebenso notwendig, wie ständiges Feintuning und das Updaten mit neuen Angriffsmustern. IDS tragen wesentlich dazu bei vor allem DoS (=Denial of Service) und DDoS-Attacken (=Distributed DoS) zu erkennen. Wichtige Eigenschaft des Moduls des Catalyst 6500 ist, dass es nicht in den Forwarding-Pfad eingehängt ist, sondern Kopien der Datenpakete untersucht. Daher entstehen auch keine Performance Verluste. Es entdeckt ein weites Spektrum möglicher Attacken, wobei der sogenannten Signature Engine des Moduls leicht neue Hacker-Profile hinzufügt werden können. Mehrere VLan können gleichzeitig überwacht werden. Als Teil des VPN-Gateways überwacht es den an dieser Stelle aus- und eingehenden Verkehr auf Port Scans, Adress Sweeps oder Land Attacks.
Es wurde schon erwähnt, dass durch die Definition der Sicherheitsklassen lokale Firewalls sich erübrigen. Zusätzlich wird dieses Argument noch dadurch verstärkt, dass der Vorteil des Catalyst u.a. darin besteht, ein Firewall Modul (=PIX) in ihm zu betreiben. Dies wird zur Zeit nur als mögliche Option betrachtet, falls sich eine reine Absicherung über die Access Listen als unzureichend erweist. Allerdings ist der Personalaufwand bei einem effektiven Einsatz eines Firewalls um ein Vielfaches höher als Acces Listen zu pflegen. Es soll an dieser Stelle auch nicht das Thema Firewall vs. IDS diskutiert werden, denn beides sind Systeme, die sich ergänzen: Firewalls dienen zur Absicherung eines internen Netzbereiches gegenüber dem Internet. Trotz ausgefeilter Mechanismen kann eine Firewall jedoch niemals einen 100%igen Schutz garantieren. Firewalls repräsentieren faktisch den Wächter an einem Portal, während das IDS-System versucht, mögliche Angreifer im gesamten Netz schnell zu erkennen.
Die meisten der lokalen Netz- und Systemadministratoren an den Lehrstühlen, aber auch den in HORUS angeschlossenen Einrichtungen sind computerbegeisterte Studenten und Wissenschaftler, die diese Aufgabe als wissenschaftliche Hilfskraft oder neben ihrer eigentlichen Aufgabenstellung im Bereich der Wissenschaft wahrnehmen. Hinzu kommt, dass dieser Personenkreis einer hohen Fluktuationsrate unterworfen ist. Deshalb hat das Hochschul-IT-Zentrum seine Beratungstätigkeit auf dem Gebiet der Sicherheit sofort nach Auftreten der ersten Attacken intensiviert. Die Inanspruchnahme des Beratungsangebotes soll helfen, präventiv zu schützen bevor "das Kind in den Brunnen gefallen ist". Hierzu wird gerade ein sogenanntes CERT-RZ (Computer Emergency Response Team des Hochschul-IT-Zentrums) etabliert, entsprechend dem CERT des DFN bzw. der Gruppe am Hochschul-IT-Zentrum der Universität Stuttgart. Weiterhin wird das Hochschul-IT-Zentrum ab dem WS2002/03 für diesen Personenkreis der lokalen Netz- und Systemadministratoren spezielle Kurse zum Thema "Sicherheit" anbieten. Darüberhinaus werden auch Betriebshinweise für Server erstellt. Für LINUX-Systeme, die durch Konfigurationsmängel sehr häufig Angriffspunkte und damit auch wieder Sprungbrett für weitere Attacken waren, soll zusätzlich zum Beratungsangebot eine Betriebssystemversion von LINUX mit den entsprechenden Sicherheitskonfigurationen "à jour" gehalten werden, die dann den Nutzern zu Verfügung gestellt wird. Des weiteren wird die Möglichkeit geschaffen, dass Benutzer auf Antrag ihre Rechner auf Sicherheitslücken hin überprüfen lassen können. Das Hochschul-IT-Zentrum ist dabei, solche Prüfprogramme zu beschaffen und einen Sicherheitscheck auszuarbeiten.
Immerhin zeigt die im April veröffentlichte Umfrage des Computer Security Institute (CSI) des FBI unter großen Unternehmen, Regierungsstellen und insbesondere Universitäten, dass 90% der Befragten Sicherheitsverletzungen in den letzten zwölf Monaten beobachtet hatten, wobei 74% das Internet als Ausgangspunkt bzw. Angriffsziel nannten und 33% eigene Systeme als Verursacher der Attacken verantwortlich machten. Mit der Umsetzung des vorliegenden Vorschlages kann damit ein Teil der weltweit zunehmenden Attacken abgefangen, zumindest aber erkannt werden. Die massiven Angriffe der letzten Zeit hatten an der Universität des Saarlande zumindest den positiven Effekt, dass die Mitglieder der Universität einschließlich der Professorenschaft für das Thema Sicherheit sensibilisiert wurden. Es wurde erkannt, dass Fehler in der Betreuung und der Konfiguration der Systeme und Sparmaßnahmen an der falschen Stelle mitverantwortlich sind, dass Sicherheitsschwachstellen in derart eklatanter Form zutage traten. Eine weitreichende Sicherheit ohne zusätzliche Investitionen und ohne gewisse Einschränkungen in der Nutzung ist nur begrenzt zu erreichen. Die Sicherung der IT-Systeme ist als Daueraufgabe anzusehen, die ständig Personal bindet. Das Hochschul-IT-Zentrum bemüht sich, eine entsprechende Task-Force zu bilden, kann dies aber mit den derzeit vorhandenen Kapazitäten nur durch Umverteilung der Arbeit bzw. das Setzen neuer Schwerpunkte erbringen. Die oftmals erfolgreichen Angriffe haben gezeigt, dass Verantwortung und Zuständigkeit für das gesamte Kommunikationsnetz in einer Hand liegen müssen.
Der IT-Sicherheit muss ein wesentlich höherer Stellenwert eingeräumt werden. Die Informations-technische Infrastruktur ist heute zu einem "Lebensnerv" der Hochschule geworden. Dies erfordert ein globales Sicherheitskonzept, das die anfangs erwähnten Schichten in seiner Gesamtheit umfasst. Realisert werden kann dies nur durch das Zusammenwirken verschiedener Einrichtungen (wie z.B. IT-Management, TBD, Hochschul-IT-Zentrum,...). Hierzu ist - wie auch schon an anderer Stelle mehrmals gefordert - ein Leitungsgremium zu etablieren, das sich u.a. aus den Leitern der angesprochenen Einrichtungen zusammensetzt.
Für die Universität des Saarlandes muss ein Sicherheitshandbuch nach den BSI-Richtlinien erstellt werden. Eine Fortschreibung des vorliegenden Papiers kann hierzu als Ausgangsbasis dienen. Zur Realisierung müssten seitens der Universität die notwendigen personellen und finanziellen Ressourcen bereitgestellt werden.
