ESUKOM Best Practice Report
ESUKOM Best Practice Report
ESUKOM Best Practice Report
Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.
YUMPU macht aus Druck-PDFs automatisch weboptimierte ePaper, die Google liebt.
Bericht AP5: „<strong>Best</strong>-Practise“-<br />
Dokument<br />
5 Zusammenfassung der Testergebnisse<br />
Die abschließenden Tests wurden im Rahmen des letzten abgehaltenen Projekt-<br />
Workshops der <strong>ESUKOM</strong>-Partner durchgeführt. Innerhalb des Workshops wurde der<br />
finalen Prototypen implementiert und anhand mehrerer vordefinierter Anwendungsfälle<br />
auf seine Funktionalität hin überprüft. Die getesteten Anwendungsfälle beinhalten eine<br />
Auswahl unterschiedliche Kernanforderungen, welche im Rahmen des Projektes<br />
erarbeitet wurden:<br />
<br />
<br />
<br />
<br />
<br />
Real-Time Enforcement<br />
Smartphone-Awareness<br />
Location Based Services<br />
Anomalie-Erkennung<br />
Malware-Erkennung<br />
Um diese Anforderungen in einen beispielhaften Kontext zu bringen, wurde ein fiktives<br />
Gesamtszenario definiert, in welchem eine beispielhafte IT-Infrastruktur innerhalb eines<br />
Krankenhauses beschrieben wird. Unterschiedliche Benutzergruppen (Ärzte sowie<br />
andere Mitarbeiter) greifen dabei auf verschiedene Ressourcen zu, wobei der Zugriff auf<br />
diese Ressourcen durch vorher festgelegte Sicherheitsrichtlinien reglementiert ist. Eine<br />
detaillierte Beschreibung des umgesetzten Demonstrators kann in Kapitel 4 gefunden<br />
werden. Anhand des Prototypens wurden exemplarisch sämtliche der im folgendem<br />
aufgeführten Anwendungsfälle auf ihre technische Umsetzung hin überprüft.<br />
5.1 Anwendungsfall 1<br />
Der erste Anwendungsfall beinhaltet den Zugriff eines mobilen Endgerätes vom externen<br />
Netz auf geschützte Ressourcen im internen Netz (in diesem Fall sensible Informationen,<br />
welche durch einen zusätzlichen Dienst bereitgestellt werden) und beinhaltet die<br />
Kernanforderung „Real-Time-Enforcement“. Damit ein mobiles Endgerät auf diese<br />
Informationen zugreifen darf, muss zunächst eine Verbindung vom externen in das<br />
interne Netz mit Hilfe einer VPN-Verbindung hergestellt werden. Abbildung 13 zeigt<br />
diesen Ablauf schematisch auf, wobei die roten Linien den Verlauf der Kommunikation<br />
darstellen.<br />
Nach der erfolgreichen Herstellung der Verbindung werden daraufhin die Metadaten des<br />
mobilen Endgerätes (z.B. die ISP- sowie VPN-IP-Adresse) vom NCP VPN-Server<br />
innerhalb des Metadatengraphen veröffentlicht. Bei diesem Vorgang werden zusätzlich<br />
die dem Benutzer-Account zugeordneten Privilegien in Form von Capability-Metadaten<br />
publiziert. Im zweiten Schritt (Zugriff auf den Dienst mit den sensiblen Informationen)<br />
werden diese Privilegien vom iptables-IF-MAP-Client überprüft (siehe Abbildung 13, die<br />
zu überprüfenden Metadaten sind rot markiert).<br />
Sollten die für den Dienst benötigten Privilegien innerhalb des Metadatengraphen<br />
gefunden werden, wird für das entsprechende Endgerät eine iptables-Regel ausgeführt,<br />
welche den Zugriff auf den Dienst freischaltet.<br />
Copyright <strong>ESUKOM</strong>-Konsortium 2010-2012 Seite 26