ESUKOM Best Practice Report

Bericht AP5: „Best-Practise“-
Dokument
5 Zusammenfassung der Testergebnisse
Die abschließenden Tests wurden im Rahmen des letzten abgehaltenen Projekt-
Workshops der ESUKOM-Partner durchgeführt. Innerhalb des Workshops wurde der
finalen Prototypen implementiert und anhand mehrerer vordefinierter Anwendungsfälle
auf seine Funktionalität hin überprüft. Die getesteten Anwendungsfälle beinhalten eine
Auswahl unterschiedliche Kernanforderungen, welche im Rahmen des Projektes
erarbeitet wurden:
Real-Time Enforcement
Smartphone-Awareness
Location Based Services
Anomalie-Erkennung
Malware-Erkennung
Um diese Anforderungen in einen beispielhaften Kontext zu bringen, wurde ein fiktives
Gesamtszenario definiert, in welchem eine beispielhafte IT-Infrastruktur innerhalb eines
Krankenhauses beschrieben wird. Unterschiedliche Benutzergruppen (Ärzte sowie
andere Mitarbeiter) greifen dabei auf verschiedene Ressourcen zu, wobei der Zugriff auf
diese Ressourcen durch vorher festgelegte Sicherheitsrichtlinien reglementiert ist. Eine
detaillierte Beschreibung des umgesetzten Demonstrators kann in Kapitel 4 gefunden
werden. Anhand des Prototypens wurden exemplarisch sämtliche der im folgendem
aufgeführten Anwendungsfälle auf ihre technische Umsetzung hin überprüft.
5.1 Anwendungsfall 1
Der erste Anwendungsfall beinhaltet den Zugriff eines mobilen Endgerätes vom externen
Netz auf geschützte Ressourcen im internen Netz (in diesem Fall sensible Informationen,
welche durch einen zusätzlichen Dienst bereitgestellt werden) und beinhaltet die
Kernanforderung „Real-Time-Enforcement“. Damit ein mobiles Endgerät auf diese
Informationen zugreifen darf, muss zunächst eine Verbindung vom externen in das
interne Netz mit Hilfe einer VPN-Verbindung hergestellt werden. Abbildung 13 zeigt
diesen Ablauf schematisch auf, wobei die roten Linien den Verlauf der Kommunikation
darstellen.
Nach der erfolgreichen Herstellung der Verbindung werden daraufhin die Metadaten des
mobilen Endgerätes (z.B. die ISP- sowie VPN-IP-Adresse) vom NCP VPN-Server
innerhalb des Metadatengraphen veröffentlicht. Bei diesem Vorgang werden zusätzlich
die dem Benutzer-Account zugeordneten Privilegien in Form von Capability-Metadaten
publiziert. Im zweiten Schritt (Zugriff auf den Dienst mit den sensiblen Informationen)
werden diese Privilegien vom iptables-IF-MAP-Client überprüft (siehe Abbildung 13, die
zu überprüfenden Metadaten sind rot markiert).
Sollten die für den Dienst benötigten Privilegien innerhalb des Metadatengraphen
gefunden werden, wird für das entsprechende Endgerät eine iptables-Regel ausgeführt,
welche den Zugriff auf den Dienst freischaltet.
Copyright ESUKOM-Konsortium 2010-2012 Seite 26