Anforderungen für Externe Netzanschlüsse
Externe Netzanschlüsse sind die Übergänge in Netze außerhalb des Informationsverbundes.
Auch genannt: Internetanschluss.
Beispiele: Internet-Uplinks, Leitungen zu Partnern/Dienstleistern, Cloud-Peering, VoIP-Anbindung, öffentliche Mobilfunk-/5G-Router.
Teil von Netze.
50 Anforderungen gelten für ein Asset dieser Kategorie: 16 direkt zugeordnet, 34 geerbt. Dazu kommen die 364 Anforderungen ohne Zielobjektkategorie, die in jedes Anforderungspaket gehören: zusammen 414. Nach STM.2.1.4.1 erhält ein Asset auch die Kategorien über seiner eigenen, so rechnet die Übersicht.
Dieses Paket weitergeben: Im Export öffnen als Excel, CSV oder Checkliste für Tickets und Wikis. Dort lassen sich weitere Kategorien dazunehmen.
Anforderungen mit zwei Kategorien stehen bei beiden. Der Katalog sagt nicht, ob „oder“ oder „und“ gemeint ist; wir lesen es als „oder“. Das ist unsere Lesart, keine Aussage des BSI.
Direkt zugeordnet (16)
Abschnitt betitelt „Direkt zugeordnet (16)“| Anforderung | Pflicht | Stufe |
|---|---|---|
| ARCH.5.1.5 Deaktivierung von Split Tunneling | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.6 Blockieren direkter Management-Verbindungen | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.7 Edge-Routing | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.8 Inspektion verschlüsselter Verbindungen | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.9 Filterung von DNS | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.10 Webfilterung | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.10.1 Bekannte schädliche Inhalte | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.10.2 Bekannte illegale Inhalte | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.10.3 Speicherdienste | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.11 P-A-P-Struktur | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.6.2 Verschlüsselung von Weiterverkehrsverbindungen | SOLLTE | Standard-SicherheitsstufeStandard |
| BER.5.8 Mehr-Faktor-Authentisierung am Perimeter (auch für Anwendungen) | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.13 Produktdiversität | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.6.1 Kontrollierte Verbindungsführung | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.8.2 Redundante TK-Anbindung | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.11.1 Authentifizierungsversuche an externen Schnittstellen | KANN | Erhöhte SicherheitsstufeErhöht |
Geerbt von Netze (34)
Abschnitt betitelt „Geerbt von Netze (34)“Gilt für ein Asset dieser Kategorie, weil Externe Netzanschlüsse unter Netze steht.
| Anforderung | Pflicht | Stufe |
|---|---|---|
| ARCH.2.1 Netzsegmente | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2 Einschränkung von Verbindungen zwischen Segmenten | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.1 Externe Netzanschlüsse | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.2 Gastnetz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.3 Segmentierung von Servern und Clients | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.5 OT-Systeme | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.6 Demilitarisierte Zone | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.7 Management-Netz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.8 Segmentierung von Test und Betrieb | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.9 Segmentierung von IPv4 und IPv6 | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.10 Drucker-Netz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.5 Netzplan | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.6 Topologieüberwachung | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.4.2 Autorisiertes Routing | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.4.3 Authentifizierung von Routingprotokollen | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1 Einschränkung und Inspektion von Verbindungen | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.1 Blockieren anfälliger Netzprotokolle | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.2 Netzbasierte Angriffe | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.3 TCP-basierte Angriffe | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.4 UDP-basierte Angriffe | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.8.1 Redundanz im Kernnetz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.9.1 Dimensionierung der Netzanbindung | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.2.2.1 Aufdecken unautorisierter IT-Systeme | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.11 Anomalien in Netzen und am Perimeter | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.12 Monitoring der Netzverfügbarkeit | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.12.1 Auslastung des Netzes | SOLLTE | Erhöhte SicherheitsstufeErhöht |
| GEB.6.3 Netzkomponenten | SOLLTE | Standard-SicherheitsstufeStandard |
| SENS.10.4 Systemadministration - Strukturierte Verkabelung (auch für Administrierende) | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.4 VoIP-Netz | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.2.2.11 Physische Segmentierung | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.5.1.12 Software-definierte Verbindungen | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.9.5 Schutz gegen volumetrische DoS-Angriffe | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.11.2 Netzwerk-Honeypots | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.11.3 Netzverkehrsfluss | KANN | Erhöhte SicherheitsstufeErhöht |
Dokumente zu diesen Anforderungen (8)
Abschnitt betitelt „Dokumente zu diesen Anforderungen (8)“Diese Anforderungen nennen 8 Dokumenttypen, in denen das Ergebnis festzuhalten ist. Die Anforderungen ohne Zielobjektkategorie und die der Methodik-Praktiken nennen weitere, alle stehen unter Dokumente im Katalog.
| Dokument | Anforderungen | davon MUSS |
|---|---|---|
| Firewallregeln | 14 | 0 |
| Netzplan | 14 | 0 |
| IT-Betriebskonzept | 7 | 0 |
| Konfigurationshistorie | 7 | 0 |
| Detektions-Konzept | 5 | 0 |
| Audit Log | 1 | 0 |
| Gebäudedokumentation | 1 | 0 |
| Schulungsplan | 1 | 0 |
Ohne Zielobjektkategorie (364)
Abschnitt betitelt „Ohne Zielobjektkategorie (364)“364 Anforderungen nennen keine Kategorie. Nach dem BSI-Standard 300-1 (3.4.1) gehören sie in jedes Anforderungspaket. Sie stehen hier nicht einzeln, die Liste gibt es im Export (Auswahl: „ohne Zielobjektkategorie“).