Anforderungen an die Protokollierung
Prinzipiell geht das BSI erst einmal davon aus, dass alle Basisanforderungen von OPS.1.1.5 erfüllt sein müssen. Darüber hinaus sieht es folgende Punkte als ein Muss an:
- Aufbau einer zentralen Protokollierungsinfrastruktur,
- Bereitstellung von Protokollierungsdaten für die Auswertung sowie
- Prüfung, ob alle geplanten Protokollierungsquellen gemäß Planung umgesetzt werden.
- Muss-Anforderungen an die Detektion:
- alle Protokolldaten müssen kontinuierlich überwacht und ausgewertet werden,
- für die Detektion von sicherheitsrelevanten Ereignissen müssen genügend personelle Ressourcen bereitgestellt werden,
- Schadensdetektionssysteme müssen zentral verwaltet eingesetzt werden. Anhand des Netzplans muss festgelegt sein, welche Netzsegmente durch zusätzliche Detektionssysteme geschützt werden müssen,
- Übergänge zwischen internen und externen Netzen müssen um netzbasierte Intrusion Detection Systems (NIDS) ergänzt werden,
- eine zeitliche Synchronisation muss erfolgen,
- Ereignismeldungen müssen regelmäßig auf Auffälligkeiten kontrolliert werden,
- es muss eine Auswertung von Informationen aus externen Quellen erfolgen,
- die Auswertung der Protokolldaten muss durch spezialisiertes und qualifiziertes Personal erfolgen,
- zentrale softwaregestützte automatisierte Analysen mit Software müssen eingesetzt werden, um alle Protokollierungsereignisse aufzuzeichnen, in Bezug zueinander zu setzen und sicherheitsrelevante Vorgänge sichtbar zu machen,
- die Protokollierungsdaten müssen lückenlos einsehbar sein und permanent ausgewertet werden,
- werden definierte Schwellenwerte überschritten, muss automatisch alarmiert werden,
- die Systemverantwortlichen müssen die Analyseparameter regelmäßig auditieren und anpassen,
- bei einem sicherheitsrelevanten Ereignis müssen die eingesetzten Parameter das Ereignis automatisch melden und in Netzen, wo die kritische Dienstleistung nicht gefährdet ist, muss es möglich sein, automatisch mit geeigneten Schutzmaßnahmen zu reagieren,
- der Ausschluss von Netzen oder Netzsegmenten von einer automatischen Reaktion muss begründet sein.
Anforderungen an die Reaktion:
- festgestellte Sicherheitsvorfälle im vermeintlichen Zusammenhang mit Angriffen müssen gemeldet werden,
- Sicherheitsvorfälle, die zu einem Ausfall oder einer erheblichen Beeinträchtigung der Funktionsfähigkeit der kritischen Infrastruktur führen oder führen können, müssen an die zuständige Behörde gemeldet werden, entsprechend müssen auch Sicherheitsvorfälle, die im Zusammenhang mit Angriffen stehen, gemeldet werden,
- die zur Angriffserkennung eingesetzten Systeme sollten automatisiert Maßnahmen zur Vermeidung und Beseitigung von angriffsbesdingten Störungen ergreifen können, wenn das zugrunde liegende sicherheitsrelevante Ereignis (SRE) eindeutig qualifizierbar ist. Dabei muss es gewährleistet sein, dass automatisiert ergriffene Maßnahmen nicht zu einer relevanten Beeinträchtigung der kritischen Dienstleistung des Betreibers führen können.
Beim letzten Punkt muss aus praktischer Sicht darauf verwiesen werden, dass der Begriff „eindeutige Qualifizierbarkeit eines sicherheitsrelevanten Ereignisses“ unbedingt genauer zu definieren ist. In der Regel hinterlassen Cyber-Kriminelle weder eine Visitenkarte noch ein Manual.