Bestandsverzeichnis der Systemkomponenten

Ein Bestandsverzeichnis der Systemkomponenten ist die maßgebliche Liste der Teile, aus denen ein System besteht: die Server und Arbeitsplatzrechner, auf denen es läuft, die Netzwerkgeräte, die sie verbinden, die installierten Betriebssysteme und Anwendungen sowie die darunterliegende Firmware. Der Begriff stammt aus dem Konfigurationsmanagement. Im NIST SP 800-53, dem Kontrollkatalog hinter FISMA, FedRAMP und großen Teilen der US-Sicherheitspolitik für Bundesbehörden und Auftragnehmer, ist er als Kontrolle CM-8, Information System Component Inventory, festgelegt. Dieselbe Idee taucht anderswo unter anderen Namen auf, etwa als IT-Asset-Verzeichnis in ISO/IEC 27001 oder als Liste der Konfigurationselemente im ITIL-basierten Konfigurationsmanagement.

Entscheidend für das Verzeichnis sind Genauigkeit und Aktualität, nicht das bloße Vorhandensein einer Liste. Eine einmal für ein Audit erstellte Tabelle, die danach nie wieder aktualisiert wurde, erfüllt die Anforderung nicht. Ihr Wert hängt davon ab, dass sie das System so abbildet, wie es heute ist, einschließlich der Komponenten, die jemand letzte Woche ohne Rückfrage hinzugefügt hat.

Ein Komponentenverzeichnis, das den Zweck der Kontrolle erfüllt, geht weit über eine Namensliste hinaus. Für jede Komponente enthält der Datensatz in der Regel diese Merkmale:

Ein Komponentenverzeichnis ist Voraussetzung für fast jede andere Sicherheitskontrolle. Schwachstellenmanagement kann keine Software patchen, von der niemand weiß, dass sie installiert ist. Die Reaktion auf Vorfälle kann einen Angriff nicht eingrenzen, ohne zu wissen, welche Systeme existieren und was sie betreiben. Die Zugriffskontrolle lässt sich nicht als vollständig nachweisen, wenn manche Komponenten nie überprüft wurden. Jede dieser Tätigkeiten setzt stillschweigend voraus, dass das Verzeichnis vollständig und korrekt ist.

Dieselbe Anforderung findet sich in anderen Rahmenwerken unter anderen Bezeichnungen. FedRAMP übernimmt CM-8 unmittelbar. PCI DSS verlangt ein Inventar der Systemkomponenten im Geltungsbereich der Kartendaten. ISO/IEC 27001 verlangt ein Asset-Inventar mit zugewiesener Verantwortung. Die Formulierungen unterscheiden sich, die Kernforderung bleibt gleich: Man muss wissen, was man besitzt, bevor man es schützen kann.

Ausgereifte Programme kombinieren manuelle Erfassung mit automatischer Erkennung und prüfen die Ergebnisse dann nach einem festen Zeitplan:

1. 1

   Manuelle Erfassung

   Komponenten werden bei Beschaffung und Einsatz erfasst, mit einer von Anfang an zugewiesenen verantwortlichen Person.

2. 2

   Automatisierte Erkennung

   Agenten oder Netzwerkscans erkennen angeschlossene Komponenten laufend und erfassen Hardware und Software, die der manuelle Prozess übersehen hat oder die außerhalb davon hinzugekommen ist.

3. 3

   Abgleich

   Die Erkennungsergebnisse werden nach festem Zeitplan mit dem erfassten Bestand verglichen. Jede im Netzwerk gesehene Komponente, die im Verzeichnis fehlt, wird untersucht und nicht stillschweigend ergänzt.

4. 4

   Prüfintervall

   NIST SP 800-53 überlässt das genaue Intervall der Organisation, erwartet aber, dass es in der Richtlinie festgelegt und eingehalten wird. Quartals- und Monatszyklen sind verbreitet, je nach Risiko des Systems.

Das Hardware-Inventar in Anexet baut diesen Datensatz aus der Erkennung auf. Jede Gerätekarte enthält Typ, Seriennummer, verantwortliche Person und Standort, und die Anwendungsliste jedes Computers zeigt das Software-Inventar mit Versionen und Installationsdaten.

1 / 2

• 
• 

Der Unterschied zwischen einem nominellen und einem verlässlichen Verzeichnis zeigt sich in wiederkehrenden Mustern. Ein Register, das nur während der Audits aktualisiert wird, veraltet innerhalb weniger Wochen. Komponenten, die Endnutzer außerhalb der Beschaffung hinzufügen, etwa private Geräte, nicht genehmigte Software oder ein zusätzlicher Router am Switch, gelangen nie in den Datensatz. Genau das ist das Problem von Shadow IT und unautorisierten Geräten, das das Verzeichnis sichtbar machen soll. Auch die Verantwortungsfelder veralten, wenn Mitarbeitende das Team wechseln, und Komponenten bleiben gelistet, ohne dass jemand dafür einsteht. Verzeichnisse, die nur einen Teil der Umgebung abdecken, lassen den Rest stillschweigend ungeschützt und erzeugen ein falsches Gefühl von Vollständigkeit.

Auditoren und Sicherheitsteams wenden genau den Test an, der die Kontrolle definiert. Kann die Organisation auf Anfrage eine genaue Liste dessen vorlegen, was sie besitzt, wer für jedes Objekt verantwortlich ist und wann es zuletzt geprüft wurde? Die Antwort sollte aus einem Datensatz stammen, der routinemäßig aktuell gehalten wird, und nicht aus dem Gedächtnis oder einer Schätzung.

Weiterlesen: Automatisierung der Informationssicherheit.