Server gegen Diebstahl sichern

[Muffel 11]

Ein Server (AD und Fileserver) soll gegen Diebstahl gesichert werden. Die Daten auf dem Server sollen diebstahlsicher abgelegt werden können. Wichtig ist, dass der Server remote gestartet werden kann, weshalb Truecrypt ausscheidet. Zumindest habe ich noch keine Möglichkeit gefunden, einen Trycrypt-verschlüsseltes System ohne die Eingabe eines Passwortes zu starten.

 

Da gäbe es zwar Bitlocker mit TPM, aber das wurde ja quasi vor wenigen Wochen geknackt (Speicherriegel einfrieren und dann auslesen).

 

BTW: Damit sind quasi auch Laptops mit Bitlocker nicht so sicher wie ich es bisher gedacht hatte.

 

Klar kenne ich die Hinweise, dass ein Server in einem abgeschlossenen Raum mit bla bla bla ... Da kommt man aber immer rein, entweder mit Gewalt oder durch einen richterlichen Beschluss.

 

Welche Möglichkeiten, außer eigener Armee, gibt es?

[LukasB 10]

Etwas besseres als Bitlocker wirst du im Moment nicht kriegen.

 

Die nächste Generation müsste den ganzen Encryption/Decryption-Seich durch den TPM routen, der dann als massiv schneller und vorallem tamper-proof ausgelegt sein müsste.

 

Bitlocker ist "good enough" für Business-Ansprüche. Wenn jemand einen RODC klaut wird er wohl kaum versuchen die Memory-Sticks vor Ort einzufrieren.

 

Es ist im übrigen nicht möglich per Software eine bessere Lösung als Bitlocker hinzukriegen - man braucht Hardwareerweiterungen.

 

Eine weitere Möglichkeit währe natürlich den ganzen Serverraum tamper-proof zu machen, mit Sprengladungen und so ;) (Insert Mission Impossible Theme)

[Dr.Melzer 191]

Da gäbe es zwar Bitlocker mit TPM, aber das wurde ja quasi vor wenigen Wochen geknackt (Speicherriegel einfrieren und dann auslesen).

 

Ja ja, da smit dem Einfrieren ist echt eine tolle Idee, aber wer hat schon das passende Kühlaggregat dabei um den geklauten Server im Frostzustand zu halten, wärend er ihn aus dem Servrraum schleppt...

 

Deine Paranoia in Ehren, aber das halte ich eher für eine sehr theoretische Idee mit verschwindend kleiner Wahrscheinlichkeit...

[Lian 2.341]

Vielleicht meldet sich Yusuf zu Wort, sein Credo: "RODC & Bitlocker, feddisch"

Es gibt noch andere Lösungen zur Verschlüsselung, Stichwort: Full Disk Encryption (FDE).

 

 

Serverräume mit Alarmanlage sichern und gut ist.

 

 

Mit richterlichem Beschluß kommt man auch so an die Daten, sonst ist man selbst wegen Behinderung der Justiz d'ran und das eher weniger lustig...

[Daim 12]

Huhuu,

 

Vielleicht meldet sich Yusuf zu Wort,

 

aber gerne doch. ;)

 

sein Credo: "RODC & Bitlocker, feddisch"

 

Ne nee... da fehlt noch der Server Core dazwischen.

Also: RODC auf einem Server Core und darauf Bitlocker aktivieren. Ferddisch. :D

 

 

@Muffel

 

Definiere "Sicherheit". Wie sicher soll es denn sein?

So sicher, dass der Server einen Bombenanschlag oder gar Flugzeugangriff überlebt?

 

Ich denke da immer an den Wirtschaftsprüfer oder an ITIL oder an die IT-Revision die prüft, ob auch die IT (samt Prozesse) SOX-Compliant sind. Wenn die Umgebung die aufgeführten Punkte erfüllen, dann sind deine Daten gut gesichert.

 

Also, natürlich gehört ein Server zuerst einmal hinter Schloss und Riegel.

Es muss ein Serverraum her. Da auf dem Server auch ein DC laufen soll, wäre hier der RODC zu wählen, dass somit erstmal das AD DS gesichert ist. Als nächstes sollte natürlich Bitlocker aktiviert werden. Im Serverraum gehört neben Klima und Alarmanlage auch ein Temperaturfühler, der bei übersteigen einer bestimmten Temperatur einen Alarm (SMS,E-Mail, etc.) auslöst. Der Serverraum muss natürlich auch nach den aktuellen Brand und "was weiss ich noch alles" für Richtlinien gebaut sein. Des Weiteren gehört am Serverraum nicht nur ein starkes Schloss, sondern, es muss z.B. anhand einer Smartcard protokolliert werden, wer - wann - wie lange im Serverraum war.

 

Jetzt kann man sich Fragen, ob das alles einen Anschlag standhält.

Natürlich nicht, es gibt immer einen Weg. Aber wo leben wir hier denn? Im tiefsten Urwald oder in Deutschland? Aber eins ist sicher, meine aufgeführten Punkte stellen einen Wirtschaftsprüfer oder einer IT-Revision ruhig. Die wären mit diesen Maßnahmen befriedigt.

 

Das wichtigste ist nunmal, das jeder Server idealerweise in einen Serverraum gehört. Wenn in diesem Raum nur noch du die einzigste Person bist, die reingehen kann, ist das sicher genug? Nein. Denn der Mensch ist auch nicht sicher. Warum? Schon einmal etwas von Social Engineering gehört [1]?

 

 

[1] Social Engineering – Wikipedia

 

–

 

Nachtrag:

 

Die physikalische Sicherheit eines Servers ist nur die halbe Miete.

Aber ist denn auch online alles sicher? Sind alle Systeme auf dem aktuellen Patch-Stand?

Wird IPSec, später NAP oder 802.1x in der Umgebung eingesetzt usw. usf.

Das Thema Sicherheit ist viel zu komplex um das hier in einem Forum zu besprechen.

 

Der ehemalige Slogan von Michael Kalbe [MSFT] trifft das Thema Sicherheit genau auf den Kopf:

 

Security is not a destination, its a journey.

 

In der IT ändern sich schnell, viele Dinge. Dementsprechend muss sich auch das Netzwerk mitverändern.

Sicherheit fängt schon dort an, ob jemand unbemerkt oder recht einfach in die Firma hineingehen kann.

[nerd 28]

Ich denke da immer an den Wirtschaftsprüfer oder an ITIL oder an die IT-Revision die prüft, ob auch die IT (samt Prozesse) SOX-Compliant sind. Wenn die Umgebung die aufgeführten Punkte erfüllen, dann sind deine Daten gut gesichert.

Wirtschaftprüfer und IT - Revisoren in einen Topf zu werfen ist schon ein Verbrechen - IT Prüfungen in den gleichen Topf zu werfen dürfte aber jeden richtigen IT Revisor gegen dich aufgebracht haben. :cool: Das ist an sich ein Grund zur Steinigung - kommst du zur ice? Dann bringe ich ein paar steine mit :jau:

 

 

Aber eins ist sicher, meine aufgeführten Punkte stellen einen Wirtschaftsprüfer oder einer IT-Revision ruhig. Die wären mit diesen Maßnahmen befriedigt.

hmm noch nie richtig geprüft worden? :p

 

Ok, grundsätzlich hast du aber recht. Wenn die Anforderungen zur physischen Sicherheit erfüllt sind kann man hochsichere Umgebungen noch zusätzlich sichern in dem man die Festplatten verschlüsselt und das Schlüsselmaterial in einer HSM speichert. Solche HSM's können in der größten Ausbaustuffe in der ich diese bis jetzt gesehen habe fast eine Tonne wiegen. Zusätzlich sind die Einheiten mit diversen systemen ausgerüstet, die Bewegung oder Einbruchsversuche feststellen und daraufhin das Schlüsselmaterial physisch sprengen. :cool: Solche Einheiten erfüllen allerdings nicht alle deine Anforderungen; um das System zu rebooten müssen bei solchen Geräten normal zwei Schlüsselkarten eingefürt werden...

[Lian 2.341]

Off-Topic:
@Daim: Ich wusste, da war noch was - stimmt: Server Core, am besten headless

[zahni 523]

Sowas ist für 2 Server auch nciht schlecht:

 

Sicherheitssafes - Lampertz GmbH & Co. KG - Kompetenz mit Sicherheit - Die Sicherheitsadresse Nr. 1 in Europa

 

(Gleich mit Klimaanlage)

 

-Zahni

[Lian 2.341]

Ohja, Lampertz hat sehr heftige Systeme, vor allem Raum-im-Raum-Systeme suchen ihresgleichen.

[Daim 12]

Wirtschaftprüfer und IT - Revisoren in einen Topf zu werfen ist schon ein Verbrechen

 

Ich wußte das du dich zu Wort melden würdest.

 

- IT Prüfungen in den gleichen Topf zu werfen dürfte aber jeden richtigen IT Revisor gegen dich aufgebracht haben. :cool:

 

Ich hatte gerade vor 4 Wochen unsere interne IT-Revision fünf Tage lang am Zipfel und kurz zuvor waren die Wirtschaftsprüfer im Haus. Daher habe ich dann beide Parteien zusammengeworfen.

 

Das ist an sich ein Grund zur Steinigung - kommst du zur ice? Dann bringe ich ein paar steine mit :jau:

 

Auhaa... sei nicht so streng mit mir. Ich gelobe Besserung und abgesehen davon bist du ja dann da, um es gerade zu rücken. ;)

Die ICE fällt dieses Jahr erneut in meinen Sommerurlaub, wird also nichts.

 

hmm noch nie richtig geprüft worden? :p

 

Doch, permanent würde ich sogar sagen.

Vom Gefühl her kommt es mir so vor, als ob ich wöchentlich geprüft werde.

Ich kann die Fragen bald nicht mehr hören. Vorallem wenn der Prüfer für die ISO 9001 Zertifizierung ankommt...

 

Ok, grundsätzlich hast du aber recht.

 

Ich weiß. :D

[Sternenkind 11]

Als - damals - paranoider Filesharer hatte ich für mein ATX Gehäuse zwei Elektromagneten über und unter den Platten + Motorradbatterie (da klein) und einen guten alten Quecksilberschalter (gegen Bewegung empfindlich) sowie eine unter den Holzdielen versteckte NAS Platte.

 

Ich weiß nicht, wie zuverlässig diese Art der Löschung ist - es waren die guten "Schwebebahnbremsmagneten" aber Tools wie Getdataback/Ontrack waren hilflos - eine Platte klapperte komisch und eine lief gar nicht mehr an - restliche Hardware unbeschädigt - wär ne recht zuverlässige Lösung, da niemand damit rechnet

 

Ich dachte mir halt damals besser 2 Platten kaufen als MP3s erklären - heute hab ich ja die gute Napster Flat - und bin damit legal

[Darksun777 10]

Eine gute und einfache Möglichkeit wäre:

 

Du installierst auf der physikalischen Maschine Microsoft Virtual Server und legst eine mitTruecrypt verschlüsselte Disk an. Dort rein installierst Du deinen produktiven Server.

 

Somit kannst Du den Server immer per Remote starten und die Passwortabfrage wird nur beim Hochfahren der virtuellen Maschine erforderlich.

 

Sollte der Server geklaut werden kommt niemand an die Daten ran.

 

Alternative: Bau in deinen Server eine RAC bzw. ILO-Karte ein, dann kannst Du den Server auch von remote starten wenn die Platte komplett mit Truecrypt verschlüsselt ist (Passworteingabe erfolgt dann ueber die Remoteconsole)

[GerhardG 10]

was genau bringt die verschlüsselung des servers? dann klaut man eben die unverschlüsselten bänder oder kopiert die daten über einen der clients. wie schon einige gepostet haben, mit der verschlüsselung der daten hast du nicht wirklich viel erreicht.

 

gegen einen gerichtlichen beschluss kann man ggf mit beugehaft "überzeugt" werden. die 6 monats grenze soll ja auf 24 monate erhöht werden.

 

 

wenn die sache ernsthaft angegangen werden soll, hol dir eine anständige komplett lösung. diese muss aber durchgängig sein => rechne mit einem 6-7 stelligen betrag.

[warbird001 10]

Doch, permanent würde ich sogar sagen.

Vom Gefühl her kommt es mir so vor, als ob ich wöchentlich geprüft werde.

Ich kann die Fragen bald nicht mehr hören. Vorallem wenn der Prüfer für die ISO 9001 Zertifizierung ankommt...

 

Ich weiß. :D

 

Kann man die Fragen die da gestellt werden irgendwo nachlesen?

 

 

ciao

Stefan:wq

[nerd 28]

Kann man die Fragen die da gestellt werden irgendwo nachlesen?

 

ciao

Stefan:wq

 

... die Zeiten von checklistenaudits sind vorbei ;) zumindest bei Prüfern die ihr Handwerk verstehen :p