Appliances und eingebettete Systeme: Router, Messgeräte, Kopierer etc.

Als Appliance bezeichnet man eine Kombination aus Hard- und Software, die für eine spezielle Aufgabe konzipiert und produziert wurde.

Typische Beispiele für Appliances sind

• Router, Switches und andere aktive Netzwerkkomponenten;
• Drucker, Kopierer und Multifunktionsgeräte;
• Mess- und Laborgeräte wie zum Beispiel Oszilloskope sowie
• Geräte zur Umwelt- und Gebäudeüberwachung.

Im Gegensatz zu „normalen“ Rechnersystemen ist die administrative Kontrolle bei Appliances häufig nur sehr eingeschränkt oder gar nicht vorhanden. Sie müssen daher aus Sicht der Informationssicherheit gesondert betrachtet und speziell abgesichert werden.

Besonderheiten von Appliances

Durch die speziell aufeinander abgestimmte Kombination von Hard- und Software ist es bei Appliances in der Regel nicht möglich, selbst Einfluss auf die Softwarekomponenten zu nehmen und zum Beispiel ein neues oder anderes Betriebssystem zu installieren. Eine direkte Folge hiervon ist, dass man bei Aktualisierungen und Patches darauf angewiesen ist, dass diese vom Hersteller passend für das System zur Verfügung gestellt werden. Leider gibt es dabei häufig Verzögerungen und Produkte ab einem gewissen Alter werden häufig gar nicht mehr mit Updates versorgt.

Bei manchen Appliances können Updates zudem nur durch den Hersteller installiert werden.

Darüber hinaus sind Appliances häufig sehr teure Systeme, die für einen langen Zeitraum eingesetzt werden.

Sicherer Betrieb von Appliances

Um trotzdem einen möglichst sicheren Betrieb von Appliances zu gewährleisten, sind folgende Punkte zu beachten:

• Updates und Patches umgehend installieren, wenn diese zur Verfügung gestellt werden
• Bei bekannten kritischen Schwachstellen, für die kein Patch existiert: Gerät vorübergehend außer Betrieb nehmen oder vom Netzwerk trennen
• Möglichkeiten einer Netzsegmentierung prüfen
• Appliances, für die keinerlei Updates mehr zur Verfügung gestellt werden, müssen vom Uninetz separiert werden
• Physikalischen Zugriff auf die Systeme einschränken
• Bereits bei der Anschaffung von Appliances auf Supportzeiträume (insbesondere: „Wie lange gibt es Updates vom Hersteller?“) achten.

Netzsegmentierung

Generell sollte bei einer Appliance überprüft werden, ob und in welchem Umfang ein Zugriff auf das Internet und Teile des Universitätsnetzes erforderlich ist. In vielen Fällen bietet es sich an, Appliances in speziellen, vom restlichen Netzwerk logisch getrennten Labor- oder Druckernetzen (in der Regel in der Form von VLANs) zu betreiben.

Dabei gilt:

• Die Zugriffsmöglichkeiten auf die Appliances müssen strikt auf die vorgesehenen Rechnersysteme und/oder Netze beschränkt werden. Insbesondere der direkte Zugriff aus dem Internet oder anderen Institutsnetzen muss unterbunden oder auf zwingend notwendige Zugriffe beschränkt werden.
• Die Zugriffsmöglichkeit der Appliances auf die Systeme im Institutsnetz und das Internet muss soweit wie möglich unterbunden werden.
• Wartungszugänge müssen abgeschottet und minimiert werden.

Absicherung des physikalischen Zugriffs

Appliances verfügen teilweise über Wartungszugänge via Konsole, USB oder Netzwerkanschluss.

Bei Appliances, die an Orten mit Publikumsverkehr stehen (z.B. Multifunktionsgeräte auf Fluren) müssen diese Wartungszugängen so gesichert sein, dass sie nicht von unbefugten Personen genutzt werden können.