securiCAD-Schnittstelle: SerNet verinice

verinice ist ein OpenSource Werkzeug zur Verwaltung von Informations-Sicherheit. Das seit 2007 verfügbare Tool ist seitens BSI (Bundesamt für Sicherheit in der Informationstechnik) empfohlen.

Mit Hilfe des Informations-Sicherheits-Management-Systems lässt sich die Informations-Sicherheit nach verschiedenen Standards im Unternehmen etablieren, beispielsweise nach BSI IT-Grundschutz und ISO 27001.

securiCAD führt eine quantifizierbare Resilienzmessung von IT-Infrastrukturen zur Verfügung und erlaubt ein risikobasiertes Management von identifizierten Schwachstellen.

Damit lassen sich Schwachstellen nach ihrer tatsächlichen Priorisierung innerhalb der aktuell betrachteten Infrastruktur bewerten. Dies sorgt dafür, dass stets die Schwachstellen in Angriff genommen werden, die das aktuelle Sicherheits-Niveau am meisten gefährden.

Ein gemeinsamer Ansatz zur Informations-Sicherheit

securiCAD ermittelt die Widerstandsfähigkeit von IT-Systemen auf Basis eines CAD-Modells. In diesem digitalen Zwilling wird die logische IT-Infrastruktur beschrieben und auf Ihr Risiko untersucht. Der Vorteil dabei ist, dass dieser Ansatz nicht invasiv für die aktuell genutzte Infrastruktur ist. Außerdem lässt sie Veränderungen des Netzwerks zu, um neue IT-Konzepte auf Ihre Wirksamkeit zu überprüfen.

Dabei ist es notwendig, Informationen aus der IT-Infrastruktur in das securiCAD Modell zu überführen. Für einen dauerhaften Risiko-Steuerungs-Prozess ist es notwendig, diese Informationen möglichst automatisiert aus bestehenden Informations-Quellen in securiCAD zu überführen. Das Informations-Sicherheits-Management-System, am Beispiel verinice, eignet sich hierfür hervorragend, da dort aktuelle Systeme und Bedrohungen bereits dokumentiert und bewertet werden.

Schritt 1: Visualisierung

securiCAD erlaubt mit Hilfe des SKDs Daten strukturierter Art in ein securiCAD Modell zu importieren. Hierfür wird der verinice-Export verwendet. In diesem sind alle Informationen zum ISMS hinterlegt. Der Vorteil bei dieser Export-Methode ist, dass der Export auch aus mehreren ISMS-Instanzen durchgeführt werden kann. securiCAD erlaubt das zusammenführen von verschiedenen securiCAD Infrastruktur-Modellen zu einer großen Infrastruktur.

Beim Import der Daten in securiCAD werden die Netzwerk-Topologie, also genutzte Netzwerke, Router, verwendete Host-Systeme in das Modell aufgenommen. Die Schnittstelle berücksichtigt jeden hinzugefügten Host als zu betrachtendes IT-System für die Risiko-Ableitung, sodass für jedes System später eine Aussage verfügbar ist, wie widerstandsfähig das IT-System gegenüber Cyber-Angriffen ist. Auf Wunsch lassen sich Scope und Angriffs-Vektor im Modell anpassen.

Im Anschluss an den Import stellt securiCAD die aktuelle Infrastruktur grafisch dar. Dabei entsteht ein aktueller Netzwerkplan auf Basis der ISMS-Dokumentation. Über die Netzwerk-Topologie hinweg, bildet der verinice-Import außerdem die Datenflüsse im Netzwerk ab. Dabei zeigt securiCAD grafisch dar, welche Systeme miteinander in Kommunikation stehen.

Schritt 2: Resilienz-Messung

securiCAD geht von einem maximal starken Angreifer aus und berechnet die möglichen Wege von Hackern in die IT-Infrastruktur. Daraus ergibt sich, wie widerstandsfähig die aktuelle IT-Infrastruktur ist. Die Widerstandsfähigkeit wird mit Hilfe eines statistischen Messwertes ausgegeben:

  • Korrumpierungswahrscheinlichkeit in %
  • Statische Anzahl an Tagen, wie lange ein Angreifer braucht, um das IT-System zu übernehmen.

Diese Werte lassen sich im ISMS als Eintrittswahrscheinlichkeit für Bedrohungen bzw. Risiken hinterlegen und erlauben damit einen Weg zur Ermittlung der Eintrittswahrscheinlichkeit, der im Zuge des Risiko-Assesments immer gleich abläuft. Im Audit-Fall lässt sich darstellen, wie es zu den Einschätzungen kam und welche Entscheidungen im Bereich IT-Sicherheit deshalb abgeleitet wurden.

Sie haben Fragen zu diesem Artikel?

Sprechen Sie uns an!

Kontakt

Menü