Grundlagen

Physische Sicherheit im Serverraum

Eines der komplexesten Themengebiete im Bereich der IT-Sicherheit ist der physische Schutz. Gleichwohl ist dies eine der unterschätztesten Sicherheitsaufgaben. Sehr viele Unternehmen ergreifen konkrete technische Maßnahmen zur Absicherung vor Viren und sonstigem Schadcode oder dem Hacker- Angriff von außen. Vernachlässigt wird dabei immer wieder, das eigene Rechenzentrum gegen einschlägige Gefahren zu wappnen.
Die Grundschutzkataloge des Bundesamtes für Sicherheit in der Informationstechnik (BSI) geben im Rahmen des Maßnahmenkataloges "Infrastruktur" 73 Empfehlungen für eine vollumfängliche physikalische IT-Sicherheit. In diesem Artikel behalndeln wir die wichtigsten Aspekte.

Angepasste Aufteilung der Stromkreise
Sobald hohe oder sehr hohe Anforderungen an die Verfügbarkeit der IT gestellt werden, ist eine Stromversorgungen der IT über zwei voneinander unabhängige elektrische Versorgungsstränge und der Einsatz von IT-Geräten mit zwei Netzteilen üblich und angemessen. Unabhängige Versorgungsstränge bedeuten in diesem Zusammenhang, dass die Einspeisung tatsächlich getrennt voneinander erfolgt (am besten über unterschiedliche Trassen).

Handfeuerlöscher
Die jeweils einzusetzenden Handfeuerlöscher sind durch einschlägige Normen (DIN EN 3) geregelt. In Serverräumen sollte nicht mit Wasser, sondern mit Kohlendioxyd gelöscht werden. Dabei ist drauf zu achten, dass die Dimensionierung für den Raum ausreichend ist und der Feuerlöscher zyklisch überprüft wird (auf Funktion und Haltbarkeit).

Verwendung von Sicherheitstüren und -fenstern
Entsprechende Komponenten schützen nicht nur vor Feuer oder Rauch, sondern auch vor Einbruch. Verschiedene Normen legen die jeweiligen Klassen fest (DIN EN 1627 für Fenster, Türen, Abschlüsse, Einbruchhemmung und DIN 18095-1 für Türen und Rauchschutztüren). Generell sollten Sie in einem Serverraum oder Rechenzentrum den Einsatz entsprechender Türen und Fenster nicht nur erwägen, sondern zwingend in der Realität umsetzen. Obwohl wir eigentlich davon ausgehen, dass dies eine Selbstverständlichkeit ist, sollten Sie zudem eine konkrete Regelung dazu finden, Fenster und Türen stets geschlossen zu halten. Diese Maßnahme richtet sich natürlich gegen unbefugten Zugriff, aber auch gegen Brandschutz (eine Sauerstoffreduktionsanlage wird bei geöffneten Türen oder Fenstern an Effektivität verlieren).

Gefahrenmeldeanlage
Eine Gefahrenmeldeanlage ist ein komplexes Gesamtsystem bestehend aus zahlreichen Komponenten. Eine solche Anlage sollte jede Form der Gefahr melden können (Wasser, Feuer, Rauch, Temperatur, Einbruch). Technisch existieren viele Lösungen dafür – auch quelloffene Software kann in Kombination mit entsprechenden Meldern genutzt werden (Nagios). Jedoch ist die Hauptherausforderung die entsprechende Meldung und Reaktion auf solche Vorfälle. Diesen Ablauf sollten Sie organisatorisch regeln und eventuell entsprechende Schichtpläne erstellen.

Einbruchschutz
Die Kombination verschiedener Maßnahmen stellt einen effektiven Schutz gegen Einbruch in das Unternehmen (und damit das Rechenzentrum) dar. Beispielsweise sind dies einbruchhemmende Türen und Fenster (mit entsprechenden Widerstandsklassen), Rollladensicherungen bei einstiegsgefährdeten Türen oder Fenstern, besondere Schließzylinder, Zusatzschlösser und Riegel, Sicherung von Kellerlichtschächten, Verschluss von nicht benutzten Nebeneingängen oder einbruchgesicherte Notausgänge. Auch den Einsatz eines Zugangskontrollsystems – vielleicht sogar auf Serverschrankebene – sollten Sie prüfen.

Vermeidung von wasserführenden Leitungen
Häufig werden Serverräume oder Rechenzentren nicht speziell geplant, sondern vorhandene Räume umfunktioniert. Jedoch sind solche Räume meist ungeeignet. Ein Hauptaugenmerk sollten Sie auf wasserführende Leitungen (Abwasser, Heizungen und vergleichbare) legen. Selbst das sogenannte “Blindschalten” oder abklemmen von Heizkörpern birgt große Gefahren, da Leitungen unter Umständen korrodieren, so zu einem Wassereinbruch führen und sensible IT-Technik gefährden. Sind wasserführende Leitungen nicht zu verhindern, sollten diese speziell abgesichert werden, etwas durch die erwähnte Gefahrenmeldeanlage oder der Implementierung einer Auffangwanne.

Klimatisierung
Nicht nur die ausreichende Dimensionierung (inklusive Puffer für künftige Anforderungen) einer Klimaanlage ist enorm wichtig, sondern auch die Redundanz im Falle eines Ausfalls und die Absicherung wasserführender Leitungen. Stellen Sie daher eine Überwachung der Temperatur und der Funktionsfähigkeit der Anlage ebenso sicher wie regelmäßige Wartungen (alle zwei Jahre).

Brandlastreduzierung

Viele Serverräume und Rechenzentren dienen als Zwischenlager für Kartons aller Art, etwa Verpackungsmaterial für neues Equipment. Nicht nur, dass diese sehr gut brennbar sind, sie entwickeln dabei auch viel Rauch. Beides ist sehr schlecht für eine laufende IT. Selbst eine abgehängte Decke oder die Wahl der falschen Wandfarbe stellen eine große Brandlast dar. Daher sollten Sie jederzeit darauf achten, dass entsprechende Brandlasten im Serverraum keinen Einzug finden.
30.09.2015/Thomas Gronenwald/dr

Nachrichten

Sicherheit für Cloud und 5G [13.02.2019]

Palo Alto Networks hat mehrere neue Funktionen eingeführt, die Angriffe vorhersagen und durch Automatisierung stoppen sollen. Ab sofort erhalten Next-Generation-Firewall-Kunden, die auf die PAN-OS-Version 9.0 upgraden, Zugang zu diesen neuen Sicherheitsfähigkeiten, bestehend aus mehr als 60 neuen Funktionen und Tools zur einfachen Implementierung von Security Best Practices. [mehr]

Im Fadenkreuz [5.02.2019]

Proofpoint lüftet den Vorhang für den 'Proofpoint Targeted Attack Protection Index' (TAP). Dabei handelt es sich um einen Index, mit dessen Hilfe die IT-Security-Teams in den Unternehmen die aktuelle Gefährdung einzelner Personen im Unternehmen einschätzen könnten. Der Hintergrund sei die Strategie der Cyberkriminellen, nicht die technische Infrastruktur direkt anzugreifen, sondern über Mitarbeiter Zugang zu Systemen im Unternehmen zu erlangen. [mehr]

Tipps & Tools

Citrix: Basis-vDisk erstellen [3.02.2019]

In Citrix-Umgebung kann es vorkommen, dass eine vDisk importiert werden muss, bei der Änderungen in verschiedenen Versionen gespeichert sind, aber die zugehörige XML Datei nicht (mehr) verfügbar ist. Glücklicherweise gibt es eine Methode, um eine neu zusammengeführte Basis-vDisk außerhalb von PVS zu erstellen, bevor Sie sie in eine Farm importieren, und die dafür keine XML- oder PVP-Dateien benötigt. [mehr]

Vorschau Februar 2019: Cloudmanagement [21.01.2019]

Die Vorteile der Cloud liegen auf der Hand in Form schnell verfügbarer IT-Ressourcen, um deren Betrieb sich der Administrator nur noch eingeschränkt kümmern muss. Dafür wiederum wollen Cloudlandschaften passgenau in die Unternehmens-IT eingebunden werden, vor allem wenn es um die Sicherheit geht. In der Februar-Ausgabe widmet sich IT-Administrator dem Cloudmanagement und zeigt unter anderem, wie Sie Azure-Logs auswerten und Red Hat CloudForms mit Ansible verwalten. In unserem großen Vergleichstest treten daneben vier deutsche Hosting-Anbieter gegeneinander an. [mehr]

Buchbesprechung

IT-Sicherheit

von Prof. Dr. Claudia Eckert

Anzeigen