Praxistipp: CSI für das Rechenzentrum
Compliance-Vorgaben wie Basel II oder PCI-DSS verlangen von Unternehmen, die Integrität bestimmter Daten nachweisen zu können. Dazu gehört auch der Beleg, dass weder eigene Administratoren mit Super-User-Rechten noch externe Dienstleister daran unerwünschte Änderungen vorgenommen haben. Aber auch bei Sicherheitsvorfällen ist es hilfreich zu wissen, wer wann was an einem System gemacht hat.
- Praxistipp: CSI für das Rechenzentrum
- Admin-Datenverkehr wird aufgezeichnet
Um einen Web-Server, Dateiserver oder eine Datenbank administrieren zu können, benötigt man Administratorrechte. Diese Binsenweisheit stellt zumindest Unternehmen regulierter Branchen vor ein Dilemma. Denn einerseits lässt sich ein System nicht ohne Super-User-Rechte verwalten.
Andererseits müssen etwa CEOs und CFOs börsennotierter Firmen entsprechend dem Sarbanes Oxley Act jederzeit nachweisen können, dass ihre Finanzunterlagen korrekt sind und nicht durch Dritte manipuliert wurden.
Doch es muss gar nicht unbedingt Druck von außen sein, der den Wunsch nach einer transparenten Systemadministration aufkommen lässt. Denn gelangen, wie mehrfach in jüngster Vergangenheit, vertrauliche Kundendaten an die Öffentlichkeit, ist der eigene Ruf schnell schwer beschädigt – selbst wenn sich das Datenleck letztlich bei einem externen Dienstleister fand.
Aus diesem Grund wollen beispielsweise Unternehmen, die ihre Web-Applikationen bei einem Outsourcing-Partner hosten lassen, gerne wissen, wer wann welche Daten auf diesen Systemen eingesehen hat.
Interessanter Weise geht der Wunsch nach Transparenz in der Praxis hier nicht nur von der Kundenseite, sondern oft auch vom IT-Dienstleister selbst aus. Denn lässt sich jederzeit nachvollziehen, wer was gemacht hat, können die Administratoren des Hosters im Zweifelsfall auch die eigene Unschuld nachweisen.
Proxys bringen Einsicht
Eine Möglichkeit, den Wunsch nach Transparenz der Systemadministration zu erfüllen, ist die revisionssichere Protokollierung und Archivierung des kompletten administrativen Datenverkehrs zwischen Systemverwaltern und Zielsystemen. Technisch muss das auch keinen großen Aufwand bedeuten, wenn die dazu eingesetzte Lösung ein paar wichtige Kriterien erfüllt.
Zunächst sollte sie sich so in das Unternehmensnetzwerk integrieren, dass keine Änderungen an Clients, Servern und anderen administrierten Geräten notwendig sind. Sie sollte sich also transparent in das Netzwerk integrieren. Gleichzeitig muss das System alle bei der Systemadministration eingesetzten Protokolle verstehen können. Hierzu gehören neben SSH und Telnet auch RDP 5 und 6, VNC, TN3270 sowie X11 innerhalb von SSH. Die große Herausforderung ist dabei, dass einige dieser Protokolle ihre Nutzdaten verschlüsseln.
