RZ-Sicherheit mit KVM over IP
Direkter Draht zur Serverfarm
"Safety first" ist gerade bei der Netzwerkverwaltung die Regel Nummer eins. Ein Problem kann dies besonders in großen, verteilten Umgebungen darstellen: Wie garantiert man Sicherheit bei Unternehmensnetzwerken mit mehreren tausend Clients, einer dreistelligen Zahl von Servern und Rechenzentren an verschiedenen Standorten? Ein wichtiger Aspekt ist der gesicherte Fernzugriff.
Das Thema Sicherheit im Rechenzentrum ist aus verschiedenen Blickwinkeln zu betrachten. Da ist
zunächst die physische Sicherheit: Administratoren müssen Server, auf denen wichtige Daten für die
Unternehmensabläufe liegen, möglichst geschützt unterbringen. Zugang zu Bereichen, in denen
unternehmenskritische Hardware steht, sollte nur erhalten, wer für den Betrieb unerlässlich ist.
Eine Zugangskontrolle beugt nicht Diebstahl vor, sondern schützt die IT auch vor Staub und Schmutz
oder Schwankungen von Temperatur und Luftfeuchtigkeit. Die Verwaltung von Schlüsseln oder
Chipkarten dafür ist sehr aufwändig. Um ein Vielfaches schwieriger gestaltet sich eine solche
physische Zugangskontrolle durch immer komplexer aufgebaute IT-Landschaften mit dezentralen
Rechenzentren und dem Outsourcing von Rechenkapazität.
Eine Abhilfe verspricht KVM over IP (Keyboard, Video, Mouse over Internet Protocol). Das
grundlegende Prinzip: Video-Signale, Tastatur- und Mauseingaben laufen für die Übertragung vom
Arbeitsplatz zum Rechner als komprimierte IP-Pakete über eine sichere TCP/IP-Verbindung. Menschen
und Maschinen müssen folglich nicht mehr im gleichen Gebäude, ja noch nicht einmal mehr in der
gleichen Stadt oder im gleichen Land sein. KVM over IP ermöglicht somit personalfreie "Lights-out"
-Rechenzentren. Diese bieten hohe physische Sicherheit: Sämtliche Server und Netzwerkhardware
stehen hinter Schloss und Riegel, die Administratoren verwalten die Systeme von ihren
Schreibtischen aus.
Verwaltungsaufgaben lassen sich so an einem Ort bündeln. Das erleichtert die Arbeit der
Administratoren: Sie überwachen via KVM over IP die IT eines Unternehmens, haben Zugriff bis auf
BIOS-Ebene und setzen Systeme neu auf, ohne selbst am Standort der Technik zu sein. Gleichzeitig
lässt sich das Rechenzentrumsmanagement effizient verteilen, zum Beispiel für den
Bereitschaftsdienst. Dieser kann jederzeit eingreifen, wenn das Netzwerk Probleme bereitet – von
überall, wo sich ein Modem anschließen lässt. Diese Offenheit und Flexibilität ist allerdings auch
ein klassischer Einwand gegen KVM over IP: Die gleiche Technik, die die physische Sicherheit der
Hardware und der gespeicherten Daten garantiert, könne genauso gut die Türen für potenzielle
Eindringlinge und unbefugte Nutzung öffnen.
Es ist wichtig, die logischen Sicherheits-Features eines Systems zur Rechenzentrumssteuerung
genau zu betrachten. An erster Stelle steht dabei die Verschlüsselung der übertragenen Daten.
Selbstverständlich müssen sämtliche Signale – Tastatur- und Mauseingaben wie auch Videodaten – auf
der kompletten IP-Strecke verschlüsselt sein. Dabei sollten verschiedene Standards wie 3DES und SSL
zur Auswahl stehen, damit sich das KVM-System an die Sicherheitsrichtlinien des Rechenzentrums
anpassen lässt. Die Integration in die Sicherheitsstrategie ist entscheidend: Eine Insellösung, so
sicher sie auch sein mag, steigert die Kosten, ohne die Gesamtsicherheit nennenswert zu
verbessern.
Verschlüsselung und Zugriffsrechte
Verschlüsselung verhindert das Ausspähen des Datenverkehrs durch Externe. Aber auch intern
lauern Gefahrenpotenziale, seien es Bedienfehler oder Attacken. Eine ebenso detaillierte wie
umfassende Verwaltung der Zugriffsrechte ist deshalb ein Muss. Grundsätzlich sollte es beim
Definieren der Rechte keinerlei Beschränkungen geben. Mit dem Rechtemanagement eines guten
KVM-over-IP-Systems lässt sich der Zugriff für jeden Bereich der Serververwaltung erlauben oder
verweigern: für die Anmeldung neuer Geräte im System, das Erstellen von Reports oder auch die
Steuerung der Stromversorgung. Die Rechte sollten zudem für jeden einzelnen Port individuell
definierbar sein.
Zu diesen Basiseigenschaften gesellen sich Features für die tägliche Arbeit der Administratoren.
Dabei kommt es vor allem auf kurze Reaktionszeiten an – Downtime kostet schließlich bares Geld.
Deshalb müssen Administratoren umgehend Kenntnis über Netzwerkprobleme erhalten. Das geht am
komfortabelsten mit konfigurierbaren SNMP-Traps. Je umfangreicher die Liste an Ereignissen ist,
desto besser lässt sich das KVM-over-IP-System an eigene Bedürfnisse anpassen. Beispiele sind die
Benutzeran- und -abmeldung, Reboots und Kaltstarts von Geräten, Fehler bei der Authentifizierung
sowie Änderungen an den Systemeinstellungen.
Grundsätzlich schickt ein solches System dem Administrator bei einem Alert eine Textdatei, die
die Ursache beschreibt. Wenn das Netzwerk über einen SMTP-Server verfügt, ist die Datei auch
automatisch als E-Mail versendbar. Per SMS-Gateway erreicht der Alarm auch ein Mobiltelefon –
nützlich vor allem für den Bereitschaftsdienst.
Für die Kontrolle in Echtzeit (on the fly) ist ein Share-Modus sinnvoll. Damit klinkt sich der
Administrator in die Sitzung eines Benutzers ein. Er sieht den gleichen Bildschirminhalt wie der
Anwender und verfolgt sämtliche Vorgänge direkt mit. So kann er schnell und unkompliziert helfen
und eingreifen. Dieses "Lehrer-Schüler-Verhältnis" macht den Share-Modus nicht nur für den Support,
sondern auch für Schulungszwecke interessant.
Reporting
Um Probleme und Sicherheitslücken zu analysieren, darf eine umfassende Reporting-Engine nicht
fehlen. Deren Berichte sollten möglichst viele Daten anbieten, aber genauso umfangreich
konfigurierbar sein wie die Rechteverwaltung.
Ein guter Bericht enthält nur die Daten, die die Administratoren wirklich benötigen, und zeigt
sie strukturiert an. Ein reduzierter Report erleichtert es, Sicherheitsrisiken zu finden und zu
beheben. Zum Beispiel sollte ein KVM-System speichern, warum ein Login-Versuch fehlgeschlagen ist:
Scheiterte die Anmeldung aus technischen Gründen, wollte ein Anwender auf ein nicht für ihn
freigegebenes Gerät zugreifen, oder hat ein Ex-Mitarbeiter versucht, sich mit seinem abgelaufenen
Passwort anzumelden? So lassen sich sowohl Hardwareprobleme als auch Angriffe schnell erkennen.
Sicherheit und Komfort
Auch wenn Komfort auf den ersten Blick wenig mit Sicherheit zu tun hat: Er steigert die logische
Sicherheit erheblich. Wenn Anwender Sicherheitsfunktionen als störend für das Tagesgeschäft
empfinden, ist die Wahrscheinlichkeit groß, dass sie diese nicht einsetzen. Je klarer die Features
erscheinen, umso selbstverständlicher werden sie genutzt. Das bedeutet auch, dass Systeme außerhalb
des Arbeitsbereichs eines Administrators gar nicht erst in dessen Aufgabenliste erscheinen.
Ausblenden lassen sollten sich auch ungeliebte Routine-Jobs: Arbeiten wie das Exportieren von
Log-Files, Hoch- und Herunterfahren von Geräten oder das Ziehen von Backups kann die
Managementsoftware übernehmen. Um diese Tätigkeiten zu automatisieren, sollte die Software einen
Aufgabenplaner enthalten.
Mehr Sicherheit durch mehr Komfort gilt auch bei der Account-Verwaltung: Ein Zugang mit Single
Sign-on (SSO), der nur einmal eine Authentifizierung erfordert, ist nicht nur bequem, sondern auch
ein Sicherheitsplus. Denn eine zentrale Login-Datenbank lässt sich leichter und damit zuverlässiger
administrieren. Die Managementlösung sollte sich einfach in die vorhandene Infrastruktur
integrieren und verschiedene Verzeichnisdienste wie LDAP oder Active Directory unterstützen.
Bei Sicherheit und Komfort hat das Rechenzentrumsmanagement mit KVM over IP fünf Jahre nach
seiner Einführung hohe Standards erreicht – nicht als parallele Entwicklungsziele, denn beide
Aspekte bedingen einander. Letztlich bestimmen die Anwender das Sicherheitsniveau einer
IT-Installation. Deshalb sind in der Entwicklung nicht nur die Techniker, sondern auch
praxiserfahrene Designer der Benutzeroberflächen gefordert.
Bei der Übertragungstechnik sind in absehbarer Zeit wohl keine umwälzenden Neuerungen zu
erwarten. Den altbewährten Standard TCP/IP ergänzen aber zunehmend Wireless-Techniken – eine
Entwicklung, die gerade im Bereich Sicherheit zusätzliche Herausforderungen stellt.
Fortschritte gibt es im Bereich Interoperabilität. So besteht mit dem Intelligent Platform
Management Interface (IPMI) eine hardware- und betriebssystemunabhängige Schnittstelle, um
Netzwerkgeräte zu überwachen und zu steuern. Das ist angesichts wachsender Heterogenität der
IT-Landschaften ein richtiger Schritt. Entwickelt wird IPMI von einem Herstellerkonsortium, dem
unter anderem AMD, Avocent, Dell, HP, IBM, Intel und Microsoft angehören. IPMI-Steuerung ergänzt
eine KVM-Lösung sinnvoll: Denn IPMI überwacht nicht nur Umgebungsbedingungen wie Lüfterdrehzahl,
Betriebstemperatur und -spannung, es warnt auch bei Ereignissen wie einem System-Reset oder dem
Öffnen des Gehäuses.
Der direkte Draht zur Hardware besteht also nach wie vor. Auch wenn Menschen und Maschinen
räumlich getrennt sind, virtuell sind sie dank KVM-Lösungen eng verbunden. Und das sichert die IT
sowohl logisch als auch physisch.
Lesen Sie mehr zum Thema
