BEGIN:VCALENDAR VERSION:2.0 PRODID:https://github.com/derhansen/sf_event_mgt METHOD:PUBLISH BEGIN:VEVENT UID:629-1320@fg-secmgt.gi.de CLASS: PUBLIC SUMMARY:Managed Security vs. Security Management DESCRIPTION:Die Themen\n\nTools zur Durchsetzung von Sicherheitszielen spie len eine wachsende Rolle besonders im Zusammenhang mit der Erfüllung von Si cherheitsnormen wie BS7799 oder dem GSHB. Die Vielzahl verschiedener Tools und Ansätze ist dabei groß. Im Workshop soll anhand von drei Fallbeispielen geklärt werden, was Tools leisten und was sie nicht leisten können. Zwei Hauptvorträge (mit ausführlicher Diskussion) zum Thema "Managed Security vs . Security Management" oder "wieweit helfen Tools und automatische Abprüfun gen".\n\n\n\nBericht zum Workshop und Details zu den Vorträgen\n\nZum 5.ten mal wurde die Fachgruppe von DB Systems komfortabel eingeladen. Die ca. 30 Teilnehmer haben einen Doppelraum erfordert, der kurzfristig zur Verfügung gestellt wurde. Die von die DB Systems gebotene perfekte Infrastruktur hab en wieder einmal eine entspannte Atmosphäre für ausführliche Diskussionen g eboten. Tools zur Durchsetzung von Sicherheitszielen spielen eine wachsende Rolle besonders im Zusammenhang mit der Erfüllung von Sicherheitsnormen wi e BS7799 oder dem GSHB. Die Vielzahl verschiedener Tools und Ansätze ist da bei groß. Vielfältigen Versprechungen stehen immer wieder auch Schwierigkei ten im praktischen Einsatz gegenüber. Im Workshop wurde anhand dreier Fallb eispiele diskutiert, was Tools bzw. IT-Unterstützung im Allgemeinen leisten können und wo ihre Grenzen sind.\n\nHeinz Sarbinowski/ Fraunhofer SIT: Der elektronische Sicherheitsinspektor: Unterstützung für eine kontinuierliche Überprüfung von IT-Sicherheitsmaßnahmen in Unternehmensnetzen\n\nHerr Sarb inowski berichtete über den Stand eines abgeschlossenen Forschungsprojekts mit dem Schwerpunkt, technische und organisatorische Vorgaben für Systemkom ponenten, wie aus dem GSHB bekannt, automatisch abfragbar und überprüfbar z u machen. In einem Netzwerk müssen dazu aus den verschiedenen Komponenten I nformationen zusammengestellt werden. Für Einzelinformationen stehen durcha us schon vielfältige Tools zur Verfügung, die aber geeignet kombiniert werd en müssen. Ausserdem müssen zusätzliche Tools zum Auslesen von Prüf-Informa tionen je nach Bedarf der betroffenen IT-Installation hinzugefügt werden kö nnen. Der eSI-Ansatz erlaubt dabei beliebige Tools mit cmd-line-Schnittstel len einzubinden. SNMP-Schnittstellen werden natürlich, wo vorhanden, genutz t. Die Architektur beinhaltet neben der Kommunikationsschiene eine Datenban k, einen Scheduler und ziemlich frei programmierbare Auswerter.\n\nDie Entw icklung eines Tools der vorgestellten Art, aber auch seine Pflege erfordert ein hohes Maß an Sicherheits-Know-How. Routine-Überprüfungen können aber d ann automatisiert erfolgen. Eine generelle Regel, wann sich ein solches Vor gehen lohnt, kann noch nicht gegeben werden. Anwender mit einem hohen Prüfa ufkommen werden von der Automatisierung profitieren ebenso wie Anwender, di e bisher aus Kostengründen auf eine umfassende Prüfung verzichten müssen. D ie Interpretation von bei der Inspektion erkannten Abweichungen war eines d er Hauptdiskussionspunkte. Derzeit liegen die individuellen Ergebnisse sowo hl auf einem hohen Abstraktionsniveaus ("rot-gelb-grün") als auch auf einem technischen Detailniveau vor. Das Thema - Aggregation von Ergebnissen, Gew ichtung von Findings etc., liegt derzeit noch nicht im Fokus des Projektes. Die Zielgruppe für ein solches Tool wird zunächst bei Unternehmen mit sich erheitssensitiven Anwendungen gesehen. Die Integration des Tools in System- Management-Tools wird als ein noch zu bearbeitender Punkt gesehen.\n\nRefer enzen: www.ske-projekt.de, www.sit.fraunhofer.de  [  Präsentation als PDF]\ n\nStichworte aus der Diskussion (Mitschrift Hr. Berlich):\n\n Umsetzung v on Überprüfungsprozessen erfordert einen sauberen QM/Verbesserungsprozess. Ein "Big Bang" wird nicht funktionieren. Sicherheit des Tools selbst? (Unt erscheidung von Systemlese- und Kontrollzugriffen), Werkzeug baut hauptsäch lich auf bereits vorhandene Agenten in Netzwerkkomponenten auf. Sicherung g egen Zugriffe auf die Schnittstellen kann u.U. selbst problematisch sein. Der Wert des Werkzeugs liegt hauptsächlich in der Benutzerschnittstelle und Datenhaltung/-verwaltung. Entwicklung seit zweieinhalb Jahren, bereits ei nige Kunden. Eindruck: vorwiegend technologieorientiert. Meinungsbildung üb er Fortschreibung (Open Source oder wie auch immer) noch offen, ebenfalls w ie Vertrieb und Marketing.  \n\nChristian Wahl/ Atsec: Automatisiertes Sich erheitsmanagement - Möglichkeiten und Grenzen\n\nHerr Wahl berichtet über e in vor ca. zwei Jahren erstmals vorgestellte Projekt von Vodafone Informati on Systems (VIS), das zur Unterstützung der Zertifizierung nach BS7799 ins leben gerufen worden war und mittlerweile im Scope der Zertifizierung entha lten ist.\n\nBeim Security Monitor wurden bereits bei VIS vorhandene Tools (IDS, System management Umgebung etc.) um weitere Werkzeuge (z.B. CERT-Info und Scan-Profile) erweitert und bestehende Verfahren weiterhin genutzt. Ei n Ergebnis des erfolgreich etablierten automatisierten Sicherheitsmanagemen ts ist, dass alle sicherheitsrelevanten Ereignisse über den 2nd-Level Suppo rt und Trouble-Tickets verfolgt werden und ihre Behandlung damit in einer z entralen Ablage dokumentiert und nachvollziehbar sind.\n\nZentraler Ansatz des Konzeptes für eine adäquate Abstraktionsebene ist die Nutzung des Tivol i-Risk-Managers als Correlation Engine, um verschiedene Ereignisse zu korre lieren und ggf. zu filtern. Auf diese Weise werden z.B. die vielen "false p ositives" des IDS auf ein erträgliches Maß zurückgeführt. Das eingeführte R egelwerk musste so in den letzten 2 Jahren nur um wenige Regeln erweitert w erden. In mindestens einem Fall wurde ein schwerer Angriff erkannt und ein Host rechtzeitig heruntergefahren. Zusätzliches Personal wurde - obwohl nun auch alle Sicherheits-Events über den 2nd-Level Support geschleift werden - nicht benötigt. Die neue Arbeitsteilung hat die wenigen Leute mit echtem Sicherheits-Know-How von Routine-Tätigkeiten befreit, so dass sie zur Behan dlung von Sicherheitsproblemen zur Verfügung stehen.\n\nDer erfolgreiche Ei nsatz in der Vergangenheit heisst allerdings nicht, dass das System perfekt ist und nicht noch verbessert werden könnte. Eine Erweiterung durch Prüfer kenntnisse, wie sie bei einem Einsatz des oben geschilderten "Sicherheitsin spektors" möglich würden, könnte hierzu z.B. effizient beitragen.\n\nDie ab schliessende Diskussion war von technischen Detailfragen geprägt, die Melan ie Wahl, als maßgeblich am Projekt Beteiligte, beantwortete.\n\nReferenzen:  www.projekt.de  [  Präsentation als PDF]\n\nStichworte aus der Diskussion (Mitschrift Hr. Berlich):\n\n Installationsaufwand: Ca. 8 Monate für die g esamte Installation. Pflegeaufwand skaliert mit den Komponenten, das Gesamt system reduziert durch die Reduktion der False Positives den Pflegeaufwand. Das System ist reaktiv auf Verletzung der "Controls" fokussiert, und stel lt sicher, das alle "Controls" betreffenden Ereignisse über den Dokumentati onsserver nachvollziehbar sind. Das System ist "problemlos" erweiterbar, z . B. (laut Aussage des Vortragenden). (Dabei stellt sich allerdings die Fra ge, wieweit das über die Nutzung der Workflow Engine des Trouble Ticket Sys tems hinausgeht, welche Aufwände im Tivoli Risk Manager entstehen etc., in Summe, wie effektiv eine solche Verknüpfung ist) Weitere denkbare Erweiteru ngen gehen in Richtung Patch-Management.  \n\nFrank Damm/ DB Systems: Halba utomatische Bewertung des Sicherheitsstandes von IT-Systemen in der Praxis\ n\nEin Überblick über die Praxis der Überprüfungen bei DB Systems zeigt, da ss hier nur ein geringer Teil "automatisiert" werden kann. Das augenblickli che Vorgehen basiert noch völlig auf manueller Zulieferung der Information durch Betroffene und Verantwortliche. Die Analyse zeigt, dass wesentliche D aten auch durch eine automatisierte Erfassung nicht erfassbar wären. Automa tisiert ist die Verteilung der Fragebögen und deren Ablage, wodurch allerdi ngs schon ein wesentlicher Beitrag für einen "ordnungsmäßigen" Betrieb gege ben ist. Die Datenerfassung erfolgt in Anlehnung (auch Verlinkung) an das G SHB, spezifisch erweitert und detailliert für die aktuelle Umgebung. Die Be wertung erfolgt durch organisatorisch unabhängiges Personal über ein Punkte -System und individuelle Gutachten - im Dialog mit den Verantwortlichen.\n\ nDie Analyse von Sicherheitsproblemen der Vergangenheit hat ergeben, dass d ie jeweiligen Risiken durch die vorhandenen Daten jeweils richtig eingeschä tzt und vorhergesagt worden waren. Im Rückblick hat sich also gezeigt, dass sowohl die Datenerfassung als auch die manuelle Bewertung angemessen korre kt und vollständig arbeiten (>"90%"), und dass in Summe das sehr wirtschaft lich arbeitende System trotz der geringen Automatisierung eine angemessene Sicherheit bietet. (Tool-Unterstützung und Automatisierungsgrad wird natürl ich trotzdem gemäß dem Stand-der-Technik laufend verbessert.)\n\nBeispiele für die verwendeten Formulare und Bewertungen wurden den Zuhörern zur Einsi cht gegeben, können aber nicht im Web frei zugänglich gemacht werden. Ein Ü berblick über das Sicherheitsmanagement bei DB Systems war auf der GI-Jahre stagung gegeben worden.\n\nReferenz: Vortrag der Herren Damm und Jakoby im  Workshop auf der GI-Jahrestagung 2003.  Peer Reymann/ itqs: Aktuelles zum "Datenschutz-Gütesiegel"\n\nHerr Reymann stellte ein aktuelles Tagesthema v or, um anzuregen hier ggf. noch gestalterisch mitzuwirken. Die Gruppe hat z war insgesamt dazu keine Legitimität, einzelne können aber ggf. in ihrem Um feld aktiv werden. Das Thema der Querbeziehungen zwischen Datenschutz und M anagement von Informationssicherheit soll allerdings weiterverfolgt werden. \n\nStichworte (Mitschriften Herr Berlich):\n\n Übergangsfristen des BDSG 2001 laufen am 23.5.2004 ab; Alle relevanten Verfahren müssen in einem Reg ister hinterlegt werden (außer Verarbeitung von "unschädlichen" Daten); Er hebung von Daten nur bei den Betroffenen. Keine automatisierten Einzelentsc heidungen. §6c: "mobile, personenbezogene Speicher"; Gütesiegel vs. Datens chutzaudit. LOCATION:DB Systel GmbH DTSTAMP:20180726T171125Z DTSTART:20040206T091500Z DTEND:20040206T161500Z END:VEVENT END:VCALENDAR