Anforderungen für Netze
This content is not available in your language yet.
Verbindungen eines oder mehrerer IT-Systeme, über die ein Datenaustausch stattfinden kann, z.B. Ethernet LAN, SAN, Wireless LAN, Mobilfunkanschluss.
Auch genannt: Netzwerk.
Beispiele: SAN, LAN, Mobilfunkanschluss.
34 Anforderungen gelten für ein Asset dieser Kategorie: 34 direkt zugeordnet. Dazu kommen die 364 Anforderungen ohne Zielobjektkategorie, die in jedes Anforderungspaket gehören: zusammen 398. Nach STM.2.1.4.1 erhält ein Asset auch die Kategorien über seiner eigenen, so rechnet die Übersicht.
Dieses Paket weitergeben: Im Export öffnen als Excel, CSV oder Checkliste für Tickets und Wikis. Dort lassen sich weitere Kategorien dazunehmen.
Unterkategorien: Externe Netzanschlüsse, Interne Netzsegmente. Deren eigene Anforderungen stehen nicht hier, sie gelten nur für die jeweilige Unterkategorie.
Anforderungen mit zwei Kategorien stehen bei beiden. Der Katalog sagt nicht, ob „oder“ oder „und“ gemeint ist; wir lesen es als „oder“. Das ist unsere Lesart, keine Aussage des BSI.
Direkt zugeordnet (34)
Abschnitt betitelt „Direkt zugeordnet (34)“| Anforderung | Pflicht | Stufe |
|---|---|---|
| ARCH.2.1 Netzsegmente | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2 Einschränkung von Verbindungen zwischen Segmenten | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.1 Externe Netzanschlüsse | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.2 Gastnetz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.3 Segmentierung von Servern und Clients | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.5 OT-Systeme | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.6 Demilitarisierte Zone | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.7 Management-Netz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.8 Segmentierung von Test und Betrieb | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.9 Segmentierung von IPv4 und IPv6 | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.10 Drucker-Netz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.5 Netzplan | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.6 Topologieüberwachung | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.4.2 Autorisiertes Routing | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.4.3 Authentifizierung von Routingprotokollen | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1 Einschränkung und Inspektion von Verbindungen | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.1 Blockieren anfälliger Netzprotokolle | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.2 Netzbasierte Angriffe | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.3 TCP-basierte Angriffe | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.4 UDP-basierte Angriffe | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.8.1 Redundanz im Kernnetz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.9.1 Dimensionierung der Netzanbindung | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.2.2.1 Aufdecken unautorisierter IT-Systeme | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.11 Anomalien in Netzen und am Perimeter | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.12 Monitoring der Netzverfügbarkeit | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.12.1 Auslastung des Netzes | SOLLTE | Erhöhte SicherheitsstufeErhöht |
| GEB.6.3 Netzkomponenten | SOLLTE | Standard-SicherheitsstufeStandard |
| SENS.10.4 Systemadministration - Strukturierte Verkabelung (auch für Administrierende) | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.4 VoIP-Netz | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.2.2.11 Physische Segmentierung | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.5.1.12 Software-definierte Verbindungen | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.9.5 Schutz gegen volumetrische DoS-Angriffe | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.11.2 Netzwerk-Honeypots | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.11.3 Netzverkehrsfluss | KANN | Erhöhte SicherheitsstufeErhöht |
Dokumente zu diesen Anforderungen (8)
Abschnitt betitelt „Dokumente zu diesen Anforderungen (8)“Diese Anforderungen nennen 8 Dokumenttypen, in denen das Ergebnis festzuhalten ist. Die Anforderungen ohne Zielobjektkategorie und die der Methodik-Praktiken nennen weitere, alle stehen unter Dokumente im Katalog.
| Dokument | Anforderungen | davon MUSS |
|---|---|---|
| Netzplan | 14 | 0 |
| Firewallregeln | 5 | 0 |
| Konfigurationshistorie | 5 | 0 |
| Detektions-Konzept | 4 | 0 |
| IT-Betriebskonzept | 3 | 0 |
| Audit Log | 1 | 0 |
| Gebäudedokumentation | 1 | 0 |
| Schulungsplan | 1 | 0 |
Ohne Zielobjektkategorie (364)
Abschnitt betitelt „Ohne Zielobjektkategorie (364)“364 Anforderungen nennen keine Kategorie. Nach dem BSI-Standard 300-1 (3.4.1) gehören sie in jedes Anforderungspaket. Sie stehen hier nicht einzeln, die Liste gibt es im Export (Auswahl: „ohne Zielobjektkategorie“).