Anforderungen für Interne Netzsegmente
Netze, die innerhalb des Informationsverbundes betrieben werden.
Auch genannt: Netzwerk.
Beispiele: Core-Network, segmentierte LANs.
Teil von Netze.
37 Anforderungen gelten für ein Asset dieser Kategorie: 3 direkt zugeordnet, 34 geerbt. Dazu kommen die 364 Anforderungen ohne Zielobjektkategorie, die in jedes Anforderungspaket gehören: zusammen 401. Nach STM.2.1.4.1 erhält ein Asset auch die Kategorien über seiner eigenen, so rechnet die Übersicht.
Dieses Paket weitergeben: Im Export öffnen als Excel, CSV oder Checkliste für Tickets und Wikis. Dort lassen sich weitere Kategorien dazunehmen.
Unterkategorien: WLANs. Deren eigene Anforderungen stehen nicht hier, sie gelten nur für die jeweilige Unterkategorie.
Anforderungen mit zwei Kategorien stehen bei beiden. Der Katalog sagt nicht, ob „oder“ oder „und“ gemeint ist; wir lesen es als „oder“. Das ist unsere Lesart, keine Aussage des BSI.
Direkt zugeordnet (3)
Abschnitt betitelt „Direkt zugeordnet (3)“| Anforderung | Pflicht | Stufe |
|---|---|---|
| ARCH.4.1 Netzzugangskontrolle | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.4.1.1 Dynamische Netzzugangskontrolle | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.4.1.2 Quarantäne | KANN | Erhöhte SicherheitsstufeErhöht |
Geerbt von Netze (34)
Abschnitt betitelt „Geerbt von Netze (34)“Gilt für ein Asset dieser Kategorie, weil Interne Netzsegmente unter Netze steht.
| Anforderung | Pflicht | Stufe |
|---|---|---|
| ARCH.2.1 Netzsegmente | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2 Einschränkung von Verbindungen zwischen Segmenten | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.1 Externe Netzanschlüsse | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.2 Gastnetz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.3 Segmentierung von Servern und Clients | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.5 OT-Systeme | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.6 Demilitarisierte Zone | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.7 Management-Netz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.8 Segmentierung von Test und Betrieb | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.9 Segmentierung von IPv4 und IPv6 | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.10 Drucker-Netz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.5 Netzplan | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.6 Topologieüberwachung | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.4.2 Autorisiertes Routing | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.4.3 Authentifizierung von Routingprotokollen | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1 Einschränkung und Inspektion von Verbindungen | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.1 Blockieren anfälliger Netzprotokolle | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.2 Netzbasierte Angriffe | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.3 TCP-basierte Angriffe | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.5.1.4 UDP-basierte Angriffe | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.8.1 Redundanz im Kernnetz | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.9.1 Dimensionierung der Netzanbindung | SOLLTE | Standard-SicherheitsstufeStandard |
| ASST.2.2.1 Aufdecken unautorisierter IT-Systeme | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.11 Anomalien in Netzen und am Perimeter | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.12 Monitoring der Netzverfügbarkeit | SOLLTE | Standard-SicherheitsstufeStandard |
| DET.4.12.1 Auslastung des Netzes | SOLLTE | Erhöhte SicherheitsstufeErhöht |
| GEB.6.3 Netzkomponenten | SOLLTE | Standard-SicherheitsstufeStandard |
| SENS.10.4 Systemadministration - Strukturierte Verkabelung (auch für Administrierende) | SOLLTE | Standard-SicherheitsstufeStandard |
| ARCH.2.2.4 VoIP-Netz | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.2.2.11 Physische Segmentierung | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.5.1.12 Software-definierte Verbindungen | KANN | Erhöhte SicherheitsstufeErhöht |
| ARCH.9.5 Schutz gegen volumetrische DoS-Angriffe | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.11.2 Netzwerk-Honeypots | KANN | Erhöhte SicherheitsstufeErhöht |
| DET.4.11.3 Netzverkehrsfluss | KANN | Erhöhte SicherheitsstufeErhöht |
Dokumente zu diesen Anforderungen (8)
Abschnitt betitelt „Dokumente zu diesen Anforderungen (8)“Diese Anforderungen nennen 8 Dokumenttypen, in denen das Ergebnis festzuhalten ist. Die Anforderungen ohne Zielobjektkategorie und die der Methodik-Praktiken nennen weitere, alle stehen unter Dokumente im Katalog.
| Dokument | Anforderungen | davon MUSS |
|---|---|---|
| Netzplan | 14 | 0 |
| Konfigurationshistorie | 8 | 0 |
| Firewallregeln | 5 | 0 |
| Detektions-Konzept | 4 | 0 |
| IT-Betriebskonzept | 3 | 0 |
| Audit Log | 1 | 0 |
| Gebäudedokumentation | 1 | 0 |
| Schulungsplan | 1 | 0 |
Ohne Zielobjektkategorie (364)
Abschnitt betitelt „Ohne Zielobjektkategorie (364)“364 Anforderungen nennen keine Kategorie. Nach dem BSI-Standard 300-1 (3.4.1) gehören sie in jedes Anforderungspaket. Sie stehen hier nicht einzeln, die Liste gibt es im Export (Auswahl: „ohne Zielobjektkategorie“).