diff --git a/2_fundamentals.tex b/2_fundamentals.tex
index 552777da9f6a5618654bb314d51330f3f056fb16..790e7fbc9ee309627a4e70160351cd1efa354c80 100644
--- a/2_fundamentals.tex
+++ b/2_fundamentals.tex
@@ -114,14 +114,26 @@ verantwortlich sind. Dadurch ergibt sich eine gewisse Autonomie, jedoch werden
auch Prozesse und Erfahrungen von mehreren Institutionen einzeln gemacht,
anstatt einen einheitlichen Ansatz zu wählen und doppelte Arbeit zu sparen.
-%TODO noch ein Abschlusssatz zur Forschung
-%TODO hier noch ne Einführung, was ist eigentlich security
Auch wenn es einige Anstrengungen dahingehend gibt, fehlt doch ein einheitliches
-Vorgehen zur Absicherung einer Clusterumgebung.
+Vorgehen zur Absicherung einer Clusterumgebung. Dazu sollte auch noch die Frage
+der Sicherheit angesprochen werden. Mittlerweile gibt es eine recht einheitliche
+Meinung dazu, wie Sicherheit in einem System zu bewerten ist. Dabei wird das
+Tripel \textit{Vertraulichkeit, Integrität und Verfügbarkeit} (im engl.:\@ CIA:
+\textit{Confidentiality, Integrity, Availability}) als Basis der
+Betrachtung genommen. Vertraulichkeit beschreibt dabei die Eigenschaft eines
+Datums, nicht von ungewollten Dritten lesbar zu sein. Wenn für ein Datum eine
+hohe Integrität angenommen wird, dann meint das die Unveränderbarkeit dieses
+Datums und Verfügbarkeit sollte selbsterklärend sein. Im Rahmen einer
+Sicherheitsuntersuchung wird oftmals die Relevanz dieser sogenannten Grundwerte
+eingeschätzt. Ein Dienst, der personenbezogene Daten verarbeitet sollte
+stärker auf die Vertraulichkeit achten als eine einfache Webseite. Dagegen
+kann die Webseite aber extrem relevant sein und sollte somit eine höhere Verfügbarkeit
+vorweisen als der Dienst. Je nach Bedarf können auch weitere Kriterien wie
+Verbindlichkeit und Zurechenbarkeit betrachtet werden.
Ich möchte in dieser Arbeit einen Ansatz zum standardisierten Sichern eines
HPC-Clusters vorschlagen. Dazu betrachte ich zunächst die existierenden und
-verbreiteten Standards.
+verbreiteten Standards, insbesondere aber den IT-Grundschutz des BSI.
\subsection{Standardisierungen und Zertifizierungen}
@@ -176,9 +188,9 @@ bei denen ein erhöhtes Risiko festzustellen ist oder es keine angemessenen Baus
gibt. Das Vorgehen und die Einbettung in das Sicherheitskonzept wird im
\textit{BSI Standard 200-3} beschrieben.
-Abschließend zählt noch der \textit{BSI Standard 200-4} dazu. Dieser umfasst das
-Notfallmanagement, um kritische Prozesse nach einem Ausfall wieder starten zu
-können und eventuelle Schäden abzufangen. %TODO hier vielleicht noch etwas mehr beschreiben?
+Abschließend zählt noch der \textit{BSI Standard 200-4} dazu. Dieser umfasst
+dabei das sogenannte \textit{Business Continuity Management (BCM)}, welches den
+Wiederanlauf der Geschäftsprozesse nach einem Vorfall beinhaltet.
In den veröffentlichten Standards bezieht das BSI auch Fachexperten z.B. aus der
Wirtschaft ein und aktualisiert die Inhalte entsprechend. Als Regierungsinstitution
diff --git a/3_methods.tex b/3_methods.tex
index 923be5622c35c202f13652b62e420f5fb3d4c3cd..c039bff6a7dac2ed3ada1ed6876c5ed7b483963c 100644
--- a/3_methods.tex
+++ b/3_methods.tex
@@ -18,8 +18,6 @@ Einrichtung sind ist es also naheliegend, dass dort der Grundschutz sowieso rele
%TODO bunte bilder zum vorgehen
-%TODO: Zielsetzung klarer erklären und eine allgemeine Einführung
-
\begin{figure}[htbp]
\centering
\includegraphics[width=0.8\textwidth]{images/kern-absicherung.png}
@@ -63,18 +61,29 @@ an das Cluster übermittelt werden, die auf den Rechenknoten bearbeitet werden.
wird der Scheduler \textit{Slurm} eingesetzt. Etwaiger Speicher, z.B.\@ für
Eingabedaten liegen auf einem getrennten Speichersystem. Der Zugang auf die
Login-Knoten und damit die Clusterressourcen ist auf das interne Universitätsnetzwerk
-beschränkt.
+beschränkt. Curta ist als Forschungscluster in die Universitätsstruktur eingebunden,
+nicht nur technisch, sondern auch strukturell. Das heißt einerseits, dass Curta sich
+an die Vorgaben für und von der Universität halten muss, andererseits kann dabei auch
+die Infrastruktur der Universität genutzt werden.
-%TODO ab hier weiter
\subsection{Zielsetzung}
-%TODO: Was tue ich in der Arbeit, welche Aspekte lasse ich aus, worauf fokussiere ich mich und was ist mein Bewertungsmaß
-%TODO: Risikoanalyse wird vermutlich der heavy lifter, Modellierung wohl nicht so viel nutzbar
Im nächsten Kapitel werde ich mein Vorgehen beschreiben und erläutern, welche
Ausnahmen und Annahmen getroffen wurden, um ein HPC-Cluster angemessen nach dem
IT-Grundschutz zu betrachten. Insbesondere zeige ich auf, welche Methoden im
Grundschutz geeignet und welche in der Durchführung problematisch waren.
-%TODO nochmal etwas mehr Zielsetzung beschreiben
-%TODO: vielleicht diesen Teil und alles was dazu gehört nach oben packen in die Methodik? Also auch die Annahmen etc.
+Dazu werde ich für jeden Schritt zunächst erläutern, wie der IT-Grundschutz ihn
+beschreibt, um dann die Annahmen und Ausnahmen für unseren Spezialfall zu erläutern.
+
+Als Szenario der Untersuchung nehme ich das Beispiel einer pandemischen Situation,
+für die eine Simulation innerhalb des Clusters wichtige Aussagen zur Art und
+Geschwindigkeit der Verbreitung machen kann. Dabei ist der Forschungsgegenstand nicht
+nur relevant für die beteiligten Institutionen, sondern auch für die politischen
+Entscheidungsträger. Dieses Szenario ist arbiträr gewählt und dient nur der Feststellung
+des Schutzbedarfes und daraus abgeleiteter Risiken. Insbesondere sei festgelegt, dass
+die Datensätze keine besonders schützenswerte Daten enthalten (es könnte sich zum Beispiel
+rein um die anonymisierten Bewegungsmuster handeln).
+Mit diesem Szenario im Hinterkopf betrachte ich also die Eignung des IT-Grundschutzes
+und welche der Schritte besonders hohen Erkenntnisgewinn für das Cluster bringen.
diff --git a/4_structure.tex b/4_structure.tex
index fcf12cc607f8b795c86572b01caff1693e36a332..f32ffc8e4c1d204ab7d8abde84c13356ab693d9c 100644
--- a/4_structure.tex
+++ b/4_structure.tex
@@ -5,44 +5,39 @@ top-bottom Verfahren die Geschäftsprozesse definiert und die dazugehörigen
Anwendungen aufgeschlüsselt. Schließlich werden die IT-Systeme benannt, auf
denen die Anwendungen laufen bzw.\@ auf die sie zugreifen.
-Üblicherweise werden in diesem Schritt auch Umgebungsparameter, wie der Zugang
+Im Grundschutz-Vorgehen ist es vorgesehen, die erfassten Objekte mit einem
+Kürzel zu identifizieren. Dabei ist grundsätzlich jede Art Kürzel möglich und
+es sollte vor allem für die Durchführenden wiedererkennbar sein. In dieser Arbeit
+nutze ich \textit{Sx} für Systeme und \textit{Ax} bzw. \textit{XA} für die
+Anwendungen.\footnote{Die konkrete Benennung der Zielobjekte ist im Grundschutz
+nicht festgelegt und kann beliebig gewählt werden. Man kann sich an den bestehenden
+Beispielen bei der Namensgebung orientieren oder freie, sinnvolle Identifier definieren.}
+
+Üblicherweise werden in der Analyse auch Umgebungsparameter, wie der Zugang
zum Gelände, aufgenommen. Wie bereits erwähnt handelt es sich bei einem Cluster,
insbesondere im Kontext einer Forschungsinstitution, nicht um ein eigenständiges
System. Es gibt immer einen größeren Kontext, z.\@B.\@ in unserem Fall ist
Curta Teil des Netzes der FUB-IT, die wiederum selbst Teil der Freien Universität
Berlin ist. Somit muss für eine vollständige Betrachtung immer der Kontext
gesehen werden. Dies ist zwar auf der einen Seite mit einem höheren Aufwand für
-%TODO inwiefern höherer Aufwand?
die Durchführung verbunden, da nunmehr weitere Positionen am Prozess beteiligt
-sind, jedoch können so viele Schritte, die bereits außerhalb des Kontextes
+sind und mehr Kommunikation nötig ist. Jedoch können so viele Schritte, die bereits außerhalb des Kontextes
\enquote{Cluster} durchgeführt wurden, für uns übernommen werden.
Explizit werden jene Schritte übersprungen, von denen auszugehen ist, dass
sie bereits als Teil des Sicherheitskonzeptes einer höheren Instanz (FUB-IT,
-Freie Universität Berlin, DFG, etc.\@) durchgeführt wurden.
-
-% TODO dafür muss die Tabelle im Anhang noch angepasst werden und alle
-% Bausteine, die nicht mehr durch mich gemacht werden müssen sollten
-% entsprechend gekennzeichnet sein
-
-Weiterhin setzt der Grundschutz eine vollständige Betrachtung des Informationsverbundes
-voraus. Da ich in dieser Arbeit nur das Vorgehen skizziere und daraus die Eignung
-für die Anwendung an HPC-Systemen abschätzen möchte, reicht die Betrachtung
-einer kritischen Anwendung. Dafür wähle ich das Szenario einer pandemischen Situation,
-für die eine Simulation innerhalb des Clusters für die nächsten politischen Entscheidungen
-relevant ist. Dieses Szenario ist arbiträr gewählt und dient nur der Feststellung
-des Schutzbedarfes und daraus abgeleiteter Risiken.
+Freie Universität Berlin, DFG, etc.\@) durchgeführt wurden. Ferner führe ich hier
+nur eine Kern-Absicherung durch, in der ich mich auf den Aspekt der Forschung fokussiere.
\subsection{IT-Strukturanalyse}
-%TODO übertragen der Begriffswelt des BSI auf unser Szenario notwendig
In einer obersten, abstrakten Schicht befassen wir uns zunächst mit den
relevanten Geschäftsprozessen. Dies sind jene Prozesse, deren Durchführung zu
den Geschäftszielen führen. Das BSI sieht dabei eine Strukturierung in Kern- und
unterstützende Prozesse vor, diese werden in dieser Arbeit aber zusammengefasst.
Die Unterscheidung basiert darauf, ob Prozesse direkt zum Erreichen eines
Geschäftsziels dienen oder unterstützen. Diese Differenzierung ist in einer
-Gesamtbetrachtung durchaus sinnvoll, für den Zweck dieser Arbeit aber viel zu
+Gesamtbetrachtung durchaus sinnvoll, für den Zweck dieser Arbeit aber zu
feingliedrig.
Bevor wir aber festlegen können, welche Geschäftsprozesse relevant sind, sollten
@@ -63,23 +58,32 @@ ergänzen, die beim initialen Assessment nicht betrachtet wurden.
\subsubsection{Geschäftsprozesse}
-Für den Ablauf im Cluster sind die folgenden Prozesse grundlegend relevant:
-%TODO: Geschäftsprozesse ausschreiben
-\begin{itemize}
-
- \item Verwaltung am Cluster, sowie IT-Support und Wartung
-
- %TODO klar herausstellen, dass es um Forschung mit Hilfe des Clusters geht
- \item Forschung auf der Clusterinfrastruktur
-
-\end{itemize}
-
-%TODO vllt noch was dazu schreiben, warum unsere Prozesse so abstrakt sind ->
-%weniger Aufwand, leichtere Anwendbarkeit für andere Cluster etc.
+Für unser einfaches Beispiel ist das einzige Geschäftsziel die erfolgreiche
+Forschung mithilfe des Clusters (GP1). Als unterstützender Prozess könnte auch die
+Administration des Clusters (GP2) miteinbezogen werden. Ohne diese Wartungs- und
+Optimierungsarbeiten wäre das Betreiben des Clusters nicht möglich. Dieser
+unterstützende Prozess wird jedoch nur marginal betrachtet, da nicht zu erwarten
+ist, dass sich die Maßnahmen und Anforderungen dafür von der klassischen Büro-IT
+unterscheiden werden.
\subsubsection{Anwendungen}
-%TODO warum diese Aufteilung
+Relevant für die Administration sollte es sein, ein solides Verständnis der
+eingesetzten Anwendungen zu besitzen und darauf basierend eine Abschätzung
+für den Schutzbedarf treffen zu können. In unserem Fall reicht eine grobe
+Kategorisierung aus, denn ich betrachte die eingesetzte Software in abstrakten
+Klassen. Dies hat den Vorteil, dass man nicht an die konkrete Software gebunden
+ist. Aufgrund der Sicht auf den Cluster wäre auch garnicht klar, welche Software
+dort gerade betrieben wird und für wie lange. Je nach Art des Clusters kann es
+natürlich auch vorkommen, dass Software über viele Monate oder Jahre hinweg
+genutzt wird. Dann kann es aus einer Ressourcenperspektive sinnvoll
+sein, diese Anwendungen in die Liste explizit mit aufzunehmen und einzeln zu
+betrachten. Im optimalen Fall werden die Anwendungen vor dem Einsatz stets
+in das ISMS aufgenommen und überprüft, sodass jede Anwendung angemessen betrachtet
+wird. Dies setzt aber voraus, dass ein entsprechendes ISMS (z.B. im Rahmen einer
+IT-Grundschutz Durchführung) etabliert ist und dass die Ressourcen für die
+kontinuierliche Arbeit eingeplant sind.
+
Wir teilen die Anwendungen in Fachanwendungen (FA) und Betriebsanwendungen (BA)
auf. Letztere inkludieren alle Anwendungen, die für den Betrieb des Clusters
relevant sind. Dazu zählen das Betriebssystem sowie etwaige administrativ
@@ -87,27 +91,12 @@ genutzte Tools. Unter die Fachanwendungen fallen alle Anwendungen der
Forschungsgruppen. Diese können hier nur begrenzt betrachtet werden, da sie
immer davon abhängig sind, welche Forschung gerade betrieben wird. Ich werde
abstrakt zwei Gruppen von Fachanwendungen mit aufnehmen, einmal für solche
-mit normalem und jene mit hohem bzw.\@ sehr hohem Schutzbedarf. Dies wird
-%TODO: warum greife ich hier vor?
-später dazu führen, dass wir mindestens die Kategorie der Fachanwendungen mit
-höherem Schutzbedarf (FA1) in der Risikoanalyse betrachten werden.
-
-%TODO klar machen, ob etwas eine Annahme meinerseits ist oder durch den Grundschutz bedingt
-Relevant für die Administration sollte es sein, ein solides Verständnis der
-eingesetzten Anwendungen zu besitzen und darauf basierend eine Abschätzung
-für den Schutzbedarf treffen zu können. In dem Fall reicht eine grobe
-Kategorisierung aus. Je nach Art des Clusters kann es auch vorkommen, dass
-Software über viele Monate oder Jahre hinweg genutzt wird. Dann kann aus
-einer Ressourcenperspektive natürlich sinnvoll sein, diese Anwendungen in
-die Liste explizit mit aufzunehmen und einzeln zu betrachten.
-%TODO das ins Fazit stecken
-Der Grundschutz
-erlaubt hierbei eine gewisse Flexibilität, die bei angemesser Begründung und
-Abschätzung für die Institution vorteilhaft ist.
+mit normalem und jene mit hohem bzw.\@ sehr hohem Schutzbedarf. Gemessen an
+dem Szenario und da eine Kern-Absicherung angestrebt wird, werde ich mich in
+der Arbeit auch auf die Fachanwendungen mit höherem Schutzbedarf fokussieren.
\subsubsection{IT-Systeme}
-%TODO was ist ein IT-System - oben im Grundschutz-Einführungskapitel einführen
Anwendungen laufen auf \textit{IT-Systemen}. Diese müssen natürlich ebenfalls
betrachtet werden. Neben den hier aufgeführten Systemen sind noch einige weitere
im Gesamtkomplex beteiligt, darunter fällt z.\@ B.\@ das Speichersystem. Dieses
@@ -117,41 +106,36 @@ Verantwortliche bei der Umsetzung des Grundschutzes das entsprechende
Sicherheitskonzept der FUB-IT einsehen und die dort getätigten Annahmen
verifizieren und gegebenenfalls so modifizieren, dass sie dem betrachteten
Verbund (also dem HPC-Cluster) und dem dafür angebrachten Schutzbedarf gerecht
-werden.
-
-%TODO woher kommen die Abkürzungen
-Als Grundbestandteile eines Clusters kennen wir nun darüber hinaus zwei
-Bestandteile, die für unsere Strukturanalyse relevant sind. Der offensichtliche
-Kandidat sind die Knoten (\textit{S0}), die für die verschiedenen Rechenaufgaben verwendet werden.
-%TODO login knoten sollten aufgeteilt werden
-% die Rechenknoten können damit grundsätzlich abgeschirmt betrachtet werden, weil nur slurm darauf zugreift
-% dann Login-Knoten als Betrachtungssystem in der Risikoanalyse
-Darin inbegriffen sind die dedizierten \textit{Login-Knoten}, die von außerhalb des
-Clusters erreichbar sind. Darin loggen sich sowohl Nutzende als auch Administrierende
+werden. Im Rahmen dieser Arbeit werde ich davon ausgehen, dass diese
+nicht-betrachteten Systeme angemessen im Sicherheitskonzept der FUB-IT mitbedacht
+wurden.
+
+Als Grundbestandteile eines Clusters können wir nun darüber hinaus einige
+Bestandteile identifizieren, die für unsere Strukturanalyse relevant sind. Der
+offensichtliche Kandidat sind die Knoten, wobei wir uns hier zunächst auf die
+Login-Knoten (\textit{S0}) beschränken, die für den Zugang auf das Cluster
+verwendet werden. Darüber loggen sich sowohl Nutzende als auch Administrierende
ein, um geplante Tätigkeiten zu initiieren oder den Status eines aktuellen Jobs
einzusehen. Der Zugang zu den \textit{Login-Knoten} (und damit zum Cluster selbst)
ist nur über das Uninetzwerk (bzw.\@ eine VPN-Verbindung dahin) möglich. Diese
Trennung ist grundsätzlich ein Standardverfahren und wird auch in den gängigen
-Publikationen vorausgesetzt.
-
-%TODO diese footnote weiter oben anführen, damit man da bereits weiß, woher die benennung kommt
-Auch die Netzwerkkomponenten (\textit{S1}\footnote{Die konkrete Benennung der Zielobjekte
-ist im Grundschutz nicht festgelegt und kann beliebig gewählt werden. Man kann sich an
-den bestehenden Beispielen bei der Namensgebung orientieren oder freie, sinnvolle Identifier
-definieren.}) wie Switches und Router, insbesondere mit Anbindung an externe Netze (wie
-das Internet), müssen hier Beachtung finden. Aufgrund des Netzplanes kennen wir
-zwei Arten von Switches, diese können wir allerdings als eine Gruppe zusammenführen,
-da die Unterscheidung nur der Topologie dient, darüber hinaus aber keine
-Sicherheitsfeatures anzunehmen sind. Ferner befindet sich der Clusterzugang nicht
-direkt im Internet, sondern ist nur durch das interne Uni-Netzwerk zu erreichen.
-%TODO vielleicht sollte das woanders hin, eher zum Netzwerk-Thema
+Publikationen vorausgesetzt. Darüber hinaus sind auch die Rechenknoten \textit{(S0\_a)}
+zu beachten, die zwar von der reinen Konfiguration den Login-Knoten ähneln, jedoch
+nicht von außen erreichbar sind. Nur der Job-Scheduler kann auf diese zugreifen und die
+entsprechenden Rechenjobs verteilen.
+
+Auch die Netzwerkkomponenten (\textit{S1}) wie Switches und Router, insbesondere
+mit Anbindung an externe Netze (wie das Internet), müssen hier Beachtung finden.
+Aufgrund des Netzplanes kennen wir zwei Arten von Switches, diese können wir
+allerdings als eine Gruppe zusammenführen, da die Unterscheidung nur der Topologie
+dient, darüber hinaus aber keine Sicherheitsfeatures anzunehmen sind.
\subsubsection{Infrastruktur}
An dieser Stelle betrachtet man im Grundschutz üblicherweise die Infrastruktur des
Informationsverbundes. Darunter fallen natürlich Räumlichkeiten, aber auch weitere
-Geräte, die zunächst nicht direkt mit der Informationssicherheit verbunden werden.
-Dazu zählen Klimaanlagen oder auch Kaffeemaschinen. Auch hier sollte am Ende ein
+Geräte, die zunächst nicht direkt mit der Informationssicherheit verbunden werden,
+wie Klimaanlagen oder auch Kaffeemaschinen. Auch hier sollte am Ende ein
guter Überblick herrschen, welche Geräte wo betrieben werden, um etwaige Auswirkungen
auf den Gesamtverbund erkennen zu können.
@@ -160,13 +144,26 @@ Komplexes der \textit{Freien Universität Berlin} bzw.\@ deren \textit{FUB-IT}.
sind auch die Räumlichkeiten und entsprechenden Infrastrukturgeräte Teil deren
Sicherheitskonzepte und können bei unserer Betrachtung außen vor gelassen werden.
In einer vollen Betrachtung sollten die angewandten Maßnahmen nochmal auf den
-Bedarf für den Clusterbetrieb angepasst werden.
+Bedarf für den Clusterbetrieb angepasst werden, mindestens aber Erwähnung im
+Sicherheitskonzept finden.
\subsection{Schutzbedarfsanalyse}
+Nach der entsprechenden Kategorisierung werden nun zunächst den erfassten
+Geschäftsprozessen ein Schutzbedarf zugeordnet. Danach den jeweils
+beteiligten Anwendungen und den IT-Systemen, auf denen diese Anwendungen laufen.
+Diese Reihenfolge erlaubt die \textit{Vererbung} des Schutzbedarfes nach unten.
+Hat z.\@ B.\@ eine Anwendung einen hohen Schutzbedarf, so ergibt sich auch
+für die Systeme, die für diese Anwendung benötigt werden ein entsprechender
+Schutzbedarf. Es ist hierbei wichtig zu betonen, dass ein höherer Schutzbedarf
+nicht allzu freizügig vergeben werden sollte. Oftmals betrachtet eine
+anwendende Person das System als höchst kritisch, wobei die Auswirkung auf
+die Gesamtinstitution eher marginal ist. Relevant für den Schutzbedarf sollte
+stets sein, welche Effekte der Ausfall eines Prozesses oder Systems für die
+Institution hat.
+
Zunächst muss für die Schutzbedarfsanalyse eine angemessene Betrachtung der
Schutzbedarfseigenschaften vorgenommen werden. Diese werden in der üblicherweise
-%TODO warum ist das üblich, woher kommen die Grundwerte?
verwendeten Konstellation \textit{Verfügbarkeit, Integrität, Vertraulichkeit}
auch hier Anwendung finden. Das BSI beschreibt im Standard~\cite{bsi-200-2}
eine allgemeine, qualitative Beschreibung~\ref{schutzbedarf_definition}.
@@ -179,25 +176,7 @@ von der betroffenen Institution bestimmt werden kann (und dies auch explizit
so vom BSI gefordert wird), verbleibe ich bei der allgemeinen Definition
und gebe bei Bedarf beispielhafte Auswirkungen an.
-%TODO das ist auch irgendwie eher vorgehen
-Nach der entsprechenden Kategorisierung werden nun zunächst den erfassten
-Geschäftsprozessen ein Schutzbedarf zugeordnet. Danach den jeweils
-beteiligten Anwendungen und den IT-Systemen, auf denen diese Anwendungen laufen.
-Diese Reihenfolge erlaubt die \textit{Vererbung} des Schutzbedarfes nach unten.
-Hat z.\@ B.\@ eine Anwendung einen hohen Schutzbedarf, so ergibt sich auch
-für die Systeme, die für diese Anwendung benötigt werden ein entsprechender
-Schutzbedarf. Es ist hierbei wichtig zu betonen, dass ein höherer Schutzbedarf
-%TODO reworden: oftmals setzt man, insbesondere als technische Person, den Schutzbedarf höher als er eigentlich ist => es geht grundlegend um die Relevanz nicht für das technische System sondern den Geschäftsprozess der Institution
-nicht allzu freizügig vergeben werden sollten. Oftmals betrachtet eine
-anwendende Person das System als höchst kritisch, wobei die Auswirkung auf
-die Gesamtinstitution eher marginal ist. Relevant für den Schutzbedarf sollte
-stets sein, welche Effekte der Ausfall eines Prozesses oder Systems für die
-Institution hat. Sorgt eine Störung der Anwendung für einen totalen
-Betriebsausfall oder erzeugt es nur einen Mehraufwand in der Bearbeitung?
-%TODO reworden, mehr "Verständnis" für die individuelle Betroffenheit
-% generell vllt etwas reworden :D
-
-Es ist schwer, für solche Kriterien eine allgemeine Aussage treffen zu können.
+Es ist allerdings schwer, für solche Kriterien eine allgemeine Aussage treffen zu können.
Gleiche Prozesse können in unterschiedlichen Institutionen auch unterschiedliche
Schutzbedarfe haben. Ich werde hier einige sinnvolle Annahmen treffen, aus denen
sich dann die weiteren Schritte ableiten werden. In der Umsetzung des Grundschutzes
@@ -211,20 +190,13 @@ des Internetzugangs für das Unternehmen. Dieser Vorgang ist normal und da sich
gerade der technische Bereich immer weiterentwickelt müssen Institutionen sich auch
auf die neuen Begebenheiten anpassen können.
-%TODO: lohnt sich eine Tabelle des Schutzbedarfes für Curta? Ich betrachte die
-% in der Arbeit sowieso nicht weiter und würde lieber auf RECPLAST als Beispiel
-% verweisen.
-%TODO GP1 erklären oder darauf verweisen
Ich betrachte für den Schutzbedarf hier nur den Prozess der Forschung (GP1), da
wie oben begründet eine allgemeine, breite Betrachtung nicht viel Mehrwert erzeugt.
-Um sicherzustellen, dass ein geeigneter Schutzbedarf vorliegt (und somit die folgenden
-Schritte nach Grundschutz durchzuführen sind) nehme ich an, dass einige
-Forschungsanwendungen einen hohen Schutzbedarf haben. Dieser ergibt sich aus dem
-Maximalprinzip der einzelnen Grundwerte \textit{Verfügbarkeit, Integrität
-und Vertraulichkeit}, die im folgenden erläutert werden. Daraus ergeben sich später
-relevante Maßnahmen und Risiken.
-
-%TODO zu annahmen hochtun, konkretes Szenario für die kritische Forschungsaufgabe erklären
+Ich nehme an, dass einige Forschungsanwendungen einen hohen Schutzbedarf haben.
+Dieser ergibt sich aus dem Maximalprinzip der einzelnen Grundwerte
+\textit{Verfügbarkeit, Integrität und Vertraulichkeit}, die im folgenden erläutert
+werden. Daraus ergeben sich später relevante Maßnahmen und Risiken.
+
Ich nehme an, dass die Forschungsaufgaben keine personenbezogenen oder geheimen
Daten verarbeiten, jedoch die Intergrität der Eingangsdaten und Ergebnisse
unbedingt gewahrt sein muss. Ferner benötigt die Forschungsanwendung eine hohe
@@ -240,73 +212,77 @@ bereits im Geschäftsprozess stattfinden. Ebenfalls können Anwendungen oder IT-
auch für mehrere Geschäftsprozesse relevant sein. Aufgrund dieser in der Praxis
oft sehr komplexer Zusammenhänge ist ein strukturiertes Vorgehen umso wichtiger.
-% !TeX encoding = UTF-8
\subsection{Modellierung}
-Ich orientiere mich bei den Bausteinen am Grundschutzkompendium in der Edition 2023. Jene
-Bausteine, die dort nicht mehr aufgeführt sind sehe ich als veraltet an. Daher
-kommen die eventuell fehlenden Nummern. %TODO klar machen was hier mit nummer gemeint ist, vielleicht die
-% tabelle vorher einführen
+Ich orientiere mich bei den Bausteinen am Grundschutzkompendium in der Edition 2023.
+Bausteine, die dort nicht mehr aufgeführt sind sehe ich als veraltet an. Ein Baustein
+ist eine Sammlung an Anforderungen und Maßnahmen zur Sicherung von Zielobjekten.
+Dabei können durchaus mehrere Bausteine auf ein Zielobjekt abgebildet werden
+(Für einen Webserver unter Linux sind die Bausteine \textit{APP.3.2 Webserver,
+SYS.1.1 Allgemeiner Server} und \textit{SYS.1.3 Server unter Linux und Unix} anzuwenden).
+
+Neben diesen sogennanten systemorientierten Bausteinen (da sie sich auf konkrete
+technische Systeme beziehen) gibt es noch die prozessorientierten Bausteine. Wie
+der Name schon impliziert, handelt es sich dabei um Anforderungen zu den Prozessen
+in der Organisation. Diese sind meist allgemein auf den Informationsverbund anzuwenden,
+werden aber hier als bereits durchgeführt angesehen, da die Prozesse bereits in
+der FUB-IT implementiert sein sollten.
+
+Im Grundschutz ist es vorgesehen, dass es Zielobjekte geben kann, die mit den
+bestehenden Bausteinen nicht abgebildet werden können. Für diesen Fall muss eine
+Risikoanalyse durchgeführt werden.~\cite{bsi-200-3} Diese wird im Anschluss an
+die Modellierung gemacht.
-%TODO kurz einführen was Bausteine sind
-Wir betrachten zunächst die Prozess-Bausteine. Diese sind allgemein auf den
-Informationsverbund, das Cluster, anzuwenden. Danach sind die Systembausteine
-auf die entsprechenden Zielobjekte bzw. Gruppen anzuwenden. Im Grundschutz ist
-es vorgesehen, dass es Zielobjekte geben kann, die mit den bestehenden Bausteinen
-nicht abgebildet werden können. Für diesen Fall muss eine Risikoanalyse durchgeführt
-werden.~\cite{bsi-200-3}
-
-%TODO klar machen, um welche Tabelle es hier geht
Grundsätzlich sind beim Einsatz des Grundschutzes nicht alle Bausteine nötig.
Die Wahl der anzuwendenden Bausteine ist abhängig von der Ausprägung des
-Informationsverbundes und der eingesetzten Methoden und Technologien. Für die
-bessere Übersicht befindet sich eine Tabelle im Anhang~\ref{modellierung_matrix}.
-Einige Bausteine, z.~B.~ \textit{ISMS.1}, sind so wichtige Bausteine, dass sie
-im Prinzip angewandt werden (können), unabhängig davon, wie der konkrete
-Informationsverbund aufgebaut ist. Diese habe ich zur einfachen Erkennung als
-\textit{MUSS} markiert. Im Regelfall sind diese Bausteine immer anzuwenden und
-%TODO klar machen, dass das so im Grundschutz vorgesehen ist
-somit ergibt sich keine weitere Diskussion zur Notwendigkeit. Besonders sind
-ebenfalls jene Bausteine hervorzuheben, die bereits durch die übergeordnete
-Institution einbezogen wurden. So kann davon auszugehen sein, dass die FUB-IT
-ein Sicherheitskonzept mit dazugehörigen ISMS bereits implementiert hat. Da
-das Cluster als eine Einheit dieser Institution zuzuordnen ist, gelten auch
-die Richtlinien und Anforderungen des ISMS. Somit können die \textit{MUSS}-Bausteine
-für unsere Zwecke außer Acht gelassen werden.
+Informationsverbundes und der eingesetzten Methoden und Technologien. Eine beispielhafte
+Modellierung für das Cluster ist im Anhang in der Tabelle~\ref{modellierung_matrix} zu
+finden. Für jeden Baustein wird dabei aufgeführt, ob er betrachtet wird und warum.
+Diese Tabelle dient eher der Übersicht und wird oft verbunden mit der Anzahl der
+Vorkommen der einzelnen Bausteine. Dies habe ich in diesem Fall weggelassen, da uns
+dadurch kein wirklicher Mehrwert entsteht. Einige Bausteine, z.~B.~ \textit{ISMS.1},
+sind so wichtige Bausteine, dass sie im Prinzip angewandt werden (können), unabhängig
+davon, wie der konkrete Informationsverbund aufgebaut ist. Diese habe ich zur einfachen
+Erkennung als \textit{MUSS} markiert. Gleichzeitig kann bei diesen davon ausgegangen werden,
+dass die FUB-IT sie in ihrem Sicherheitskonzept mitbedacht hat. Den aufmerksamen Lesenden
+wird nicht entgangen sein, dass es sich dabei fast ausschließlich um Prozessbausteine handelt.
Spannend sind die Bausteine, die über die \enquote{Basis-IT} hinaus abdecken.
Dazu betrachten wir die für uns relevante Anwendung \textit{FA1} und die dazugehörigen
IT-Systeme, die Knoten und Switches des Cluster. Die Tabelle~\ref{modellierung_GP1}
zeigt die angewandten Bausteine für jedes Zielobjekt mit Relevanz für den
-Geschäftsprozess GP1 (Forschung).
-%TODO Es ist anscheinend nicht offensichtlich, dass Slurm eine Anwendung ist
-Dabei ergibt sich zusätzlich eine weitere Anwendung, der Scheduler \textit{Slurm},
-der vorher zunächst nicht relevant schien. Nachdem man sich auf einem Login-Knoten
-mittels SSH eingeloggt hat, benutzt man diesen um seine Simulation zu starten.
-%TODO klar machen, was hier gemeint ist
-Somit ist diese Anwendung auch Teil des Prozesses und muss mitbetrachtet werden.
-Leider ist außer dem notwendigen Baustein \textit{APP.6 Allgemeine Software} kein
-anderer passend für diese Anwendung.
-%TODO warum gibt es keinen anderen Baustein?
+Geschäftsprozess GP1 (Forschung). Hierbei werden jedem Zielobjekt die passenden
+Bausteine aus dem Kompendium zugeordnet. Die in den Bausteinen beschriebenen
+Anforderungen sind also für diese Zielobjekte umzusetzen.
+
+Im Rahmen dieses Prozesses ergab sich während der Ausarbeitung eine weitere
+Anwendung, der Scheduler \textit{Slurm}, die vorher zunächst nicht relevant schien.
+Nachdem man sich auf einem Login-Knoten mittels SSH eingeloggt hat, benutzt man
+diesen um seine Simulation zu starten. Somit ist diese Anwendung auch relevant für
+den Prozess der Forschung und muss damit auch in der Kern-Absicherung betrachtet werden.
+Gleichzeitig fällt allerdings auf, dass nur der Systembaustein \textit{APP.6 Allgemeine Software}
+passend ist. Zwar kann es einzelne Anforderungen aus anderen Bausteinen geben, die auch
+für diese Anwendung förderlich wären, jedoch passen die Beschreibungen der anderen
+Bausteine nicht gut genug auf unsere sehr spezifische Anwendung.
\subsubsection{Zusammenfassung der bisherigen Schritte}
-%TODO präsizer formulieren
-Wir haben im Schritt der Modellierung festgestellt, dass eine weitere Anwendung für
-unseren betrachteten Geschäftsprozess relevant ist. Auch wenn wir sie zunächst nicht
-im Blick hatten, können wir sie nachträglich hinzufügen und daraus entstehende
-Abweichungen ergänzen. Dies ist durchaus normal im Verlaufe der Grundschutzdurchführung,
-es sollte aber darauf geachtet werden, dass die dadurch notwendigen Ergänzungen
-im Konzept nicht vergessen werden.
-
-Aus den zugewiesenen Bausteinen ergeben sich die notwendigen Anforderungen.
-Dieser Schritt beinhaltet in der Praxis die Erstellung der umzusetzenden Maßnahmen,
-die dann intern verteilt werden und von den jeweiligen Bereichen zu implementieren
-sind. Im Folgenden werde ich annehmen, dass grundlegend alle Maßnahmen, die in den
-Bausteinen beschrieben sind, umgesetzt worden sind.
-%TODO: schauen, welche Maßnahmen in der Cluster-Umgebung typischerweise nicht umgesetzt sind
-Hierbei kann jedoch auch von einigen beschriebenen Maßnahmen abgewichen werden, sofern
-eine geeignete Abschätzung geführt wird. So kann die Anforderung \textit{OPS.1.1.4.A1
+Bis hierhin habe ich die vorhandene Struktur analysiert und ihren Schutzbedarf festgelegt.
+Daraufhin wurden den Zielobjekten passende Bausteine zugewiesen, wobei aufgrund der
+Spezialisierung des Grundschutzes auf Büro-IT hier nur wenig Bausteine passten.
+Somit sind zwar einige Maßnahmen eruierbar, jedoch fehlt dennoch ein genügender
+Überblick über die Sicherheitslage der Systeme. Neben dem Ziel, Maßnahmen für bestimmte
+Systeme zu ermitteln enthalten die Bausteine auch eine implizite Risikoeinschätzung.
+Diese ist also ebenfalls nicht gegeben und somit kann keine ausreichende Aussage über den
+Schutz der Forschungsanwendung und seiner beteiligten IT-Systeme gemacht werden.
+Kann ein Zielobjekt nicht ausreichend durch Bausteine abgebildet werden, müssen
+diese Gefährdungen betrachtet werden. Auch dies geschieht in der Risikoanalyse, die im
+\textit{Standard 200-3} beschrieben ist.
+
+Im nächsten Schritt würden zunächst die ermittelten Anforderungen aus den Bausteinen umgesetzt.
+Dazu würden jeweils Arbeitspakete erstellt und an die verantwortlichen Instanzen
+übermittelt werden. Dabei kann durchaus von den Maßgaben im Kompendium abgewichen werden,
+wenn eine geeignete Abschätzung und Begründung vorliegt. So kann die Anforderung \textit{OPS.1.1.4.A1
Erstellung eines Konzepts für den Schutz vor Schadprogrammen} als Ergebnis haben,
das bestimmte Zielobjekte nicht durch ein Virenschutzprogramm geschützt werden müssen.
Dies würde zunächst der Anforderung \textit{OPS.1.1.4.A3} widersprechen, jedoch kann
@@ -314,15 +290,11 @@ das Konzept beinhalten, dass ein Virenschutzprogramm den Aufgaben des Zielobjekt
widerspricht, weil dort z.B.\@ Schadsoftware getestet wird. Insbesondere im HPC-Bereich
ist hier die Frage nach der Performanz zu stellen und etwaige Sicherheitsvorkehrungen
mit deren Auswirkungen immer abzuschätzen. Werden Anforderungen nicht umgesetzt, muss
-dies im folgenden Schritt, der Risikoanalyse, begründet werden.
-
-Für jeden Baustein wurden die im Kompendium beschriebenen Gefährdungen mitbedacht.
-Kann ein Zielobjekt nicht ausreichend durch Bausteine abgebildet werden, müssen
-diese Gefährdungen betrachtet werden. Auch dies geschieht in der Risikoanalyse, die im
-\textit{Standard 200-3} beschrieben ist.
-
-%TODO ?
-In unserem Modell folgen also aus der Modellierung die in der Tabelle~\ref{modellierung_GP1}
-festgestellten Bausteine bzw.\@ deren Anforderungen als Arbeitspakete und die unzureichend
-abgebildeten oder besonders Schützenswerte Zielobjekte für die Risikoanalyse.
-
+dies im folgenden Schritt, der Risikoanalyse, begründet werden.
+
+Die Kern-Absicherung sieht vor der Risikoanalyse noch den IT-Grundschutz-Check vor. Dieser
+Schritt vergleicht die ermittelten Sicherheitsanforderungen aus den vorherigen Teilen mit
+der realen Situation, indem Interviews mit den verantwortlichen Personen durchgeführt werden.
+Diesen Schritt kann ich nicht zeitlich (und logistisch) unterbringen, somit nehme ich an,
+dass die beschriebenen Anforderungen entweder wie im Grundschutz beschrieben umgesetzt sind
+oder entsprechende Ausnahmen begründet sind.
diff --git a/5_risk.tex b/5_risk.tex
index 2cf1fa457c10ade0fb0d1cb67d38f64a6aeee014..8d406ef11cea8379abc270c4616e4d944fde170c 100644
--- a/5_risk.tex
+++ b/5_risk.tex
@@ -5,53 +5,35 @@ Modellierung offensichtlich nur jene Systeme abdecken kann, für die auch ein
Baustein konzipiert wurde und diese Bausteine zwangsläufig nicht jeden
spezifischen Fall komplett abbilden können, muss für diese Komponenten eine
weitere Bewertung und eventuelle Sicherung durch Maßnahmen erfolgen. Diese Rolle
-wird im Grundschutz durch die Risikoanalyse eingenommen, um diese Lücke zu füllen.
-Ebenfalls werden die Komponenten mit höherem Schutzbedarf dadurch noch einmal
-betrachtet. Dies ist ganz im Sinne der Abwägung zwischen
-Eintrittswahrscheinlichkeit und potentiellem Schaden.
-
+wird im Grundschutz durch die Risikoanalyse eingenommen. Ebenfalls werden die
+Komponenten mit höherem Schutzbedarf dadurch noch einmal betrachtet. Dies ist
+ganz im Sinne der Abwägung zwischen Eintrittswahrscheinlichkeit und potentiellem Schaden.
Dazu definiert das BSI einige elementare Gefährdungen, die bereits in der
Modellierung durch die entsprechenden Anforderungen einbezogen werden. Gibt es
nun im Informationsverbund Teile, die durch die Bausteine nicht (vollständig)
abgebildet werden können, müssen diese elementaren Gefährdungen entsprechend
nochmal im Einzelnen für das Objekt betrachtet werden. Eine Auflistung der
-elementaren Gefährdungen ist in~\ref{gefahren} dargestellt.
-
-%TODO: Einstufung wovon
-Aufgrund der recht allgemeinen Einstufung wird eine Anwendung des Grundschutzes
-am konkreten Verbund vermutlich wesentlich aufwändiger werden als die in dieser
-Arbeit beschriebene Vorgehensweise. Entsprechend größer würde auch diese Sektion
-aussehen. Dieser Schritt muss entsprechend geplant werden und die Zeitplanung
-sollte angemessen sein.%TODO ins Fazit
-
-In der Modellierung betrachtete ich die Forschungsanwendungen mit hohem Schutzbedarf.
-Die relevanten Zielobjekte und die anzuwendenden Bausteine sind in der
-Tabelle~\ref{modellierung_GP1} dargestellt. Für die involvierte
-Netzkwerkinfrastruktur reichen die Bausteine aus, da sich deren Anwendung
-kaum von der erwarteten Anwendung in anderen Netzen unterscheidet. Somit sind
-die relevanten Gefährdungen bereits betrachtet und müssen nicht nochmal in einer
-Risikoanalyse betrachtet werden. %todo ist das wirklich so? nochmal evaluieren
-
-%TODO der obige Absatz eher in eine subsubsection tun? Es fehlen noch die EInführung
-% zur FA1, A0 (?) und den Knoten
-
-In der Risikoanalyse zu betrachten ist das IT-System (bzw.\@ Systeme) \textit{S1 (Knoten)}.
-Auch wenn einige Bausteine (\textit{SYS1.1} und \textit{SYS.1.3}) anwendbar sind,
-ist der Einsatzzweck zu spezifisch, um durch sie vollständig abgebildet zu werden.
-%todo entweder erklären warum wir es nicht betrachten oder Analyse für Knoten machen?
-
-Zusätzlich zu den von der Modellierung nicht erfassten Objekte müssen wir einige
-davon sowieso aufgrund des erwarteten Schutzbedarfes in der Risikoanalyse
-aufnehmen. Als Fallbeispiel nehme ich dazu
-\textit{FA1: Forschungsanwendungen mit höherem Schutzbedarf}. Die notwendig
-definierte Allgemeinheit der Anwendung impliziert eine gewisse Abstraktion
-dieses Schrittes, die allerdings in der Praxis unüblich, sogar unerwünscht
-ist. Denn dadurch fällt es schwerer, Gefährdungen, Eintrittswahrscheinlichkeiten
-und mögliche Konsequenzen einzuschätzen. Da in einem realen Szenario diese
-Anwendungen aber immer in der Risikoanalyse betrachtet werden müssen, werde ich
-sie beispielhaft auch betrachten.
-
-\subsection{Vorgehen}
+elementaren Gefährdungen ist in der Tabelle~\ref{gefahren} dargestellt. Jede
+Gefährdung hat dabei eine ID und zugeordnete Grundwerte (Confidentiality,
+Integrity und Availability), auf die sich die Gefährdung auswirkt. Beispielhaft
+sorgt die Gefährdung \textit{G0.1 Feuer} dafür, dass das Objekt nicht mehr verfügbar
+ist, jedoch findet dadurch keine Änderung oder Weiterleitung der Daten statt.
+
+In der Modellierung betrachtete ich die Forschungsanwendungen mit hohem Schutzbedarf
+und stellte fest, dass die angewandten Bausteine nicht ausreichen, um eine geeignete
+Aussage zur Gefährdung zu treffen. Daher werden die beteiligten Anwendungen und
+IT-Systeme in der Risikoanalyse miteinbezogen. Insbesondere die Anwendung
+\textit{FA1 Forschungsanwendung mit höherem Schutzbedarf} ist hier zu bemerken,
+da sie zusätzlich zu ihrem festgestellten höherem Schutzbedarf auch nicht ausreichend
+abgedeckt ist. Somit ist diese Art von Zielobjekt umso eher zu betrachten. Die
+Frage, ob eine Risikoanalyse durchzuführen ist, verbleibt allerdings bei der
+Institution. Je nach Verfügbarkeit der Ressourcen und dem Einsatzzweck kann
+sich grundsätzlich auch dagegen entschieden werden. Dies ist in einem Sicherheitskonzept
+stets zu begründen.
+
+Für diese Arbeit werde ich daher nur die Forschungsanwendung mit höherem Schutzbedarf
+betrachten. Damit sollte das Vorgehen und die Problematik ausreichend nachvollziehbar
+sein.
Nach dem Grundschutz~\cite{bsi-200-3} sind zunächst die Gefährdungen zu
ermitteln. Dabei werden die in der Methodik~\cite{bsi-200-2} vorgestellten
@@ -59,66 +41,23 @@ elementaren Gefährdungen zugrunde gelegt und bei Bedarf um zusätzliche
Gefährdungen erweitert. Diese Gefährdungen müssen zu einem nennenswerten Schaden
führen können und im vorliegenden Anwendungsfall und Einsatzumfeld realistisch
sein. Dabei muss der Schutzbedarf des jeweiligen Zielobjektes ebenfalls
-miteinbezogen und die Gefährdungen entsprechend dem Schutzbedarf ausgewählt
-werden. %TODO: Beispiel?
+miteinbezogen und die Gefährdungen entsprechend ausgewählt werden. Für die
+betrachtete Anwendung ist dieser Schritt im Anhang in der Tabelle~\ref{gefahren_FA1}
+einzusehen. Die aufgelisteten Gefährdungen entsprechen den elementaren Gefährdungen,
+die für das Zielobjekt möglich sind.
Als Nächstes wird das Risiko eingestuft. Dazu bedarf es angemessener
Einschätzungen der Eintrittswahrscheinlichkeit und den erwarteten Auswirkungen
bzw.\@ der Schadenshöhe. Dies setzt natürlich ein gutes Verständnis des Systems
-und der dazugehörigen Prozesse voraus. Im Rahmen dieser Arbeit werde ich eine
-%TODO es ist nicht ganz klar, warum diese sehr allgemeine Einschätzung notwendig ist
-möglichst einfache Einschätzung vornehmen, da die allgemeine Anwendbarkeit
-sowieso nicht gegeben sein wird. Diese Einstufung wird im Standard als Matrix
-dargestellt. Als Ergebnis dieses Schrittes sind in den Zellen der Matrix
-Risikokategorien zuzuordnen. Eine mögliche Kategorisierung ist ebenfalls
-gegeben, wobei sie im Konkreten natürlich auch auf die anwendende Institution
-anzupassen ist. Dabei sollen auch die bereits umgesetzten Maßnahmen aus der
-Modellierung miteinbezogen werden.
-%TODO Beispiel?
-
-Auf Basis dieser Risikoeinschätzung muss dann bewertet werden, wie mit den
-Risiken umgegangen wird. Der Grundschutz sieht neben dem Akzeptieren von Risiken
-die Reduktion durch Maßnahmen oder
-das Transferieren vor. Letzteres bezieht sich auf das Teilen oder Transferierens des Risikos
-mit einer anderen Institution. Transfer heißt in unserem Fall eigentlich immer, dass die
-Gefährdung ebenfalls relevant für die übergeordnete Institution FUB-IT bzw. FUB ist. Das
-heißt natürlich nicht, dass die Gefährdung ignoriert werden sollte, sondern dass die
-Kommunikation dahin aufgenommen werden soll und ggfs. gemeinsam Ressourcen investiert werden.
-Reduktion beschreibt die Notwendigkeit einer oder mehrerer Maßnahmen. Diese können auch
-für mehrere Szenarien eine Verbesserung bewirken. Diese Maßnahmen sollten zusätzlich(!)
-zu den während der Modellierung festgestellten Anforderungen umgesetzt werden.
-Es ist dann auch möglich, das bestehende Restrisiko zu akzeptieren. Dazu sollte bedacht werden,
-welche Bausteine in der Modellierung Anwendung fanden und ob die dort beschriebenen
-Maßnahmen ausreichend für das Zielobjekt sind. Schließlich soll diese Auflistung nicht
-(nur) dazu dienen, in einem Audit zu bestehen, sondern aktiv die Sicherheit des
-Informationsverbundes erhöhen.
+und der dazugehörigen Prozesse voraus. An dieser Stelle muss ich einige Annahmen
+treffen, die eventuell im realen Clustersystem \textit{Curta} anders zu bewerten
+sind, wodurch das grundsätzliche Vorgehen aber nicht weiter betroffen sein sollte.
-Ich werde mich also in dieser Arbeit auf einige wenige Beispiele konzentrieren.
-Dazu wähle ich, wie oben beschrieben, die Anwendung
-\textit{FA1 (Forschungsanwendungen mit höherem Schutzbedarf)} und das IT-System
-\textit{S1 (Knoten)} als zu betrachtende Objekte aus. Einerseits decken sie
-verschiedene Kategorien von Zielobjekten ab und ich kann anhand dessen die
-Vorgehensweise für beide demonstrieren, andererseits erlauben sie eine erste
-Einschätzung, wie gut die Anwendung des Grundschutzes in diesem Fallbeispiel
-funktioniert.
-
-Dafür ist laut der Risikoanalyse des BSI zu prüfen, welche elementaren Gefährdungen
-direkt, indirekt oder gar nicht auf das Zielobjekt einwirken können. Die
-Überprüfung ist im Anhang~\ref{gefahren_FA1} einzusehen. Im ersten Schritt
-werden also alle relevanten Gefährdungen aufgelistet. Üblicherweise sollten
-(wie auch sonst in der Grundschutz-Methodik) alle Schritte nachvollziehbar
-dokumentiert sein, somit sollten auch jene Gefährdungen notiert werden, die
-keinen Einfluss auf das Zielobjekt haben. Für die Übersicht habe ich nur
-die relevanten Gefährdungen in der Tabelle notiert und die Auswahl im folgenden
-Absatz begründet.
-
-\subsection{FA1: Forschungsanwendungen mit höherem Schutzbedarf}
-
-Da es sich hierbei um Software handelt, können all jene Gefährdungen, die nur
+Da es sich bei FA1 um Software handelt, können all jene Gefährdungen, die nur
direkten Einfluss auf (Hardware-)Infrastruktur haben, bereits als irrelevant bzw.\@
indirekt relevant eingestuft werden. So ist die Gefährdung \textit{G0.1 (Feuer)}
natürlich in gewisser Weise relevant, da die Anwendung (vermutlich) nicht
-ordnungsgemäß funktioniert, wenn ein Feuer im Cluster ausbricht. Dennoch ergibt
+ordnungsgemäß funktioniert, wenn ein Feuer im Clustersystem ausbricht. Dennoch ergibt
sich aus der Betrachtung keine neue Erkenntnis für die Anwendung, wodurch
diese Gefährdung in der Risikoanalyse nicht weiter betrachtet werden muss. Eine
analoge Schlussfolgerung ergibt sich aus ähnlichen Gefährdungen (beispielsweise
@@ -144,53 +83,39 @@ Datenbank übernimmt. Diese Problematik ist bereits durch die Basisanforderung
Anforderung sollte eruiert werden, \enquote{wie die Software an weitere Anwendungen
und IT-Systeme über welche Schnittstellen angebunden wird}~\cite{bsi-kompendium}.
-%TODO inhaltlich korrigieren, Zugang geht gesteuert über Slurm
-An dieser Stelle ist nun eine Abschätzung zu treffen, inwieweit mit dem erkannten Risiko
-umzugehen ist. Insbesondere dadurch, dass einige Anforderungen der modellierten Bausteine
-nicht angewendet werden, da sie dem Primärziel des Clusters, dem performanten Rechnen,
-im Weg stehen, muss das Risiko ganz genau verstanden und abgeschätzt werden. So ist die
-Gefährdung \textit{G0.19 Offenlegung schützenswerter Informationen} zwar grundsätzlich
-durch den Baustein \textit{APP.6} abgedeckt, jedoch können Nutzende des Clusters
-üblicherweise beliebig auf die Knoten zugreifen. Es muss also zusätzlich gewährleistet
-werden, dass für Projekte mit höherem Schutzbedarf eine entsprechende Konfiguration
-möglich ist. Ferner könnte die strikte Umsetzung der Maßnahmen auch Auswirkungen auf die
-Arbeitsweise haben. Forschungsanwendungen sind selten zertifiziert, zum Teil wird
-Software selber modifiziert und kompiliert. Durch die beschriebenen Maßnahmen des Bausteins
-müssen großflächig bestehende Prozesse angepasst werden. Dies erfordert viel Arbeit und
-%TODO warum sorgt das nicht für eine Verbesserung der Sicherheit?
-sorgt nicht unbedingt für eine Verbesserung der Sicherheit. Gerade für diese Situation
+Auf Basis dieser Risikoeinschätzung muss dann bewertet werden, wie mit den
+Risiken umgegangen wird. Der Grundschutz sieht neben dem Akzeptieren von Risiken
+die Reduktion durch Maßnahmen oder das Transferieren vor. Letzteres bezieht sich auf
+das Teilen (oder Transferieren) des Risikos mit einer anderen Institution. Transfer
+heißt in unserem Fall eigentlich immer, dass die Gefährdung ebenfalls relevant für die
+übergeordnete Institution FUB-IT bzw. FUB ist. Das heißt natürlich nicht, dass die
+Gefährdung ignoriert werden sollte, sondern dass die Kommunikation dahin aufgenommen
+werden soll und ggfs.\@ gemeinsam Ressourcen investiert werden. Reduktion beschreibt die
+Notwendigkeit einer oder mehrerer Maßnahmen. Diese können auch für mehrere Szenarien
+eine Verbesserung bewirken. Diese Maßnahmen sollten zusätzlich(!) zu den während der
+Modellierung festgestellten Anforderungen umgesetzt werden. Es ist dann auch möglich,
+das bestehende Restrisiko zu akzeptieren. Dazu sollte bedacht werden, welche Bausteine
+in der Modellierung Anwendung fanden und ob die dort beschriebenen Maßnahmen ausreichend
+für das Zielobjekt sind. Schließlich soll diese Auflistung nicht (nur) dazu dienen, in
+einem Audit zu bestehen, sondern aktiv die Sicherheit des Informationsverbundes erhöhen.
+Insbesondere dadurch, dass einige Anforderungen der modellierten Bausteine nicht angewendet
+werden, da sie dem Primärziel des Clusters, dem performanten Rechnen, im Weg stehen, muss
+das Risiko ganz genau verstanden und abgeschätzt werden. So ist die Gefährdung
+\textit{G0.19 Offenlegung schützenswerter Informationen} zwar grundsätzlich durch den
+Baustein \textit{APP.6} abgedeckt, jedoch können Nutzende des Clusters üblicherweise
+beliebig auf die Login-Knoten zugreifen. Es muss also zusätzlich gewährleistet werden,
+dass für Projekte mit höherem Schutzbedarf eine entsprechende Konfiguration möglich ist.
+Ferner könnte die strikte Umsetzung der Maßnahmen auch Auswirkungen auf die Arbeitsweise
+haben. Forschungsanwendungen sind selten zertifiziert, zum Teil wird Software selber
+modifiziert und kompiliert. Durch die beschriebenen Maßnahmen des Bausteins müssen
+großflächig bestehende Prozesse angepasst werden. Dies erfordert viel Arbeit und sorgt
+nicht unbedingt für eine Verbesserung der Sicherheit, da eine Prozessänderung nicht
+gleichzeitig bedeutet, dass dieser Prozess auch sinnvoll angewandt wird. Gerade für diese Situation
bietet der Grundschutz aber eine Flexibilität an. Der Zugriff auf allgemeine Dateien, die
nicht relevant für das eigene Forschungsprojekt sind, kann durch die Konfiguration im
Betriebssystem eingestellt werden. Vor der Ausführung im Cluster wird Software auf die
Stabilität und Korrektheit geprüft. Da Programme üblicherweise mehrere Stunden oder sogar
Tage und Wochen laufen, ist es nicht möglich, sie zwischendurch zu unterbrechen und
-anzupassen~\footnote{Zu diesem Thema wird aber geforscht}. Im gleichen Schritt könnte
+anzupassen (zu diesem Thema wird aber geforscht). Im gleichen Schritt könnte
Software aber auch auf Sicherheit geprüft werden. Dies erfordert wiederum Aufwand und
Konzeption im Clustermanagement.
-
-%TODO: das ist der Kern der Arbeit, das sollte noch mehr herausstechen
-\subsection{Ergebnisse}
-Gefährdungen sind im Grundschutz sehr allgemein gehalten, es fällt manchmal schwer, die
-konkrete Gefahr für die eigene Institution zu sehen. Es hilft hierbei, sich konkrete
-Szenarien zu überlegen. Dies passiert optimalerweise in einem Brainstorming mit einer
-breit aufgestellten Gruppe an Beteiligten, um verschiedene Sichtweisen mit einzubeziehen.
-
-%TODO das ist inhaltlich falsch
-Interessanterweise überschneiden sich auch einige Gefährdungen in ihren Szenarien und Auswirkungen, es ist mir nicht ganz klar, wozu diese Menge nötig ist. Vermutlich sollte man sie eher als Orientierung nehmen und sich grundlegend gemeinsam überlegen, welche Gefährdungen für ein Zielobjekt infrage kommen.
-Zum Teil muss man Gefährdungen auch gemeinsam betrachten. Nehmen wir uns G0.20
-und G0.21, dann sehen wir, dass diese Gefährdungen auch deutliche
-Überschneidungen haben. Die Software wird selten bis nie vorher auf Sicherheit
-%TODO: doch, man kann das prüfen ... man tut es halt nur nicht ^^
-überprüft. Auch fehlen die Kapazitäten, jede eingesetzte Software auf ihre
-Herkunft zu prüfen. Dies kann nicht nur Auswirkungen auf die Forschungsarbeit
-haben, sondern auch auf die Sicherheit und Verfügbarkeit des gesamten Informationsverbundes. Beide Szenarien legen nahe, eine zumindest grundlegende Überprüfung der eingesetzen Forschungsanwendungen zu implementieren. Gerade in Institutionen mit begrenzten Kapazitäten können so eventuell viele Gefährdungen mit einigen wenigen Schritten mitigiert werden.
-
-Die Risikoanalyse erlaubt uns jedoch für jene Zielobjekte, die nicht passend mit Bausteinen abgedeckt
-werden können eine Abschätzung zu treffen, ob die weitere Nutzung gerechtfertigt ist oder nicht.
-Es bringt wenig, wenn eine geforderte Maßnahme zwar umgesetzt ist, der sicherheitstechnische Nutzen
-%TODO wie misst man den Nutzen?
-aber kaum zu bemerken ist. Ebenfalls relevant sind die Auswirkungen auf die Performanz und
-Effizienz des Systems, insbesondere in einem Bereich des Computings mit diesen Dimensionen.
-Zusätzlich zur Abschätzung der reinen Sicherheit kommen also auch Fragen dieser Art auf
-Verantwortliche zu.
-
diff --git a/6_fazit.tex b/6_fazit.tex
index 455698fb984c64994a26aee1ef33d7f467a09763..8445ac49645569b4f453635fbca6c7d0b3ee7f38 100644
--- a/6_fazit.tex
+++ b/6_fazit.tex
@@ -1,8 +1,6 @@
-\section{Outro}
+\section{Ergebnisse}
-%TODO: eventuell subsections rausnehmen
-%TODO: die todos abarbeiten
-Nach dieser kurzen Reise ins \textit{High-Performance-Computing} und dem \textit{Grundschutz}
+Nach dieser kurzen Reise ins \textit{High-Performance-Computing} und dem \textit{IT-Grundschutz}
haben wir uns einmal dessen Anwendungen angesehen und einige Erkenntnisse gewonnen.
% Zusammenfassung des Experiments (Grundschutzdurchführung), Erkenntnisse, Ergebnisse etc.
@@ -25,46 +23,52 @@ zu rechnen, wohingegen die Maßnahmen des Grundschutzes zum Teil dafür sorgen,
sinkt. Am Ende ist es eigentlich nicht möglich, alle Anforderungen passend umzusetzen.
Aufgrund der eher üblichen Heterogenität in und zwischen den Clustern ist ein
-einheitliches Framework grundsätzlich auch eher schwierig einzusetzen. Damit ist
-der Grundschutz eigentlich eher ungeeignet, jedoch beinhaltet er
-neben den inhaltlichen Umsetzungen, wie den Anforderungen in den Bausteinen, auch
-eine grundlegende übergeordnete Struktur, wie Informationssicherheit in einem
-Verbund gedacht werden soll. Da der Grundschutz an vielen Stellen auch explizit
-individuelle Änderungen erwartet, kann er an die gegebenen Umstände angepasst
-werden. Gerade dadurch sorgt der Grundschutz auch ohne die Umsetzung von technischen
-Maßnahmen bereits für ein höheres Bewusstsein für Sicherheit und eine Unterstützung
-in Form des Informationssicherheitsmanagementsystems.
+einheitliches technisches Framework grundsätzlich auch schwierig einzusetzen. Damit ist
+der Grundschutz eigentlich ungeeignet, jedoch beinhaltet er neben den inhaltlichen
+Umsetzungen, wie den Anforderungen in den Bausteinen, auch eine grundlegende
+übergeordnete Struktur, wie Informationssicherheit in einem Verbund gedacht werden
+soll. Da der Grundschutz an vielen Stellen auch explizit individuelle Änderungen
+erwartet, kann er an die gegebenen Umstände angepasst werden. Gerade dadurch sorgt
+er auch ohne die Umsetzung von technischen Maßnahmen bereits für ein höheres Bewusstsein
+für Sicherheit und eine Unterstützung in Form des Informationssicherheitsmanagementsystems.
Den größten Einfluss hat aber die Risikoanalyse auf das Cluster. Es wäre wünschenswert,
wenn Institutionen selbstständig eine Abschätzung durchführten, welche Gefahren relevant
sind und welche Systeme davon betroffen sind und dementsprechend zusätzlich geschützt
werden müssen. Durch den Grundschutz passiert das zugesichert. Die Lücken, die nach
der Modellierung geblieben sind können so sinnvoll erkannt und analysiert werden.
-Dieser Schritt ist nötig und wird es in nächster Zeit für ein HPC-System wohl auch bleiben.
-%TODO was meine ich damit => ich erwarte nicht, dass der Grundschutz sich in der Modellierung so anpasst, dass eine umfassende Risikoanalyse nicht mehr benötigt wird. Hier kann man vllt noch einarbeiten, welche Änderungen denn nötig wären dafür (Bausteine für die Objekte im Cluster? Grundschutzprofil für Cluster mit spezialisierten Bausteinen?)
-
Die Risikoanalyse hat gezeigt, dass auch wenn nicht viele Bausteine anwendbar waren,
-viele der erkannten Risiken keine hohe Gefahr darstellen. Oft ist die Eintrittshäufigkeit
-gering und auch die Auswirkungen auf den Informationsverbund sind überschaubar. Durch die
-Teilung des Risikos mit der übergeordneten Instanz sind die relevanten Bedrohungen weiter
-reduziert. Und schließlich konnten einige Gefahren dennoch herausgearbeitet und mögliche
-Maßnahmen dazu entwickelt werden. %TODO eher umformulieren, dass die Struktur der RIsikoanalyse klar gezeigt hat, wo noch Probleme sind und im Abgleich mit möglicherweise umgesetzten Maßnahmen dafür sorgen kann, dass die Sicherheit adäquat gewährleistet ist
-
-% Prozesserkenntnisse, "das habe ich mir anders vorgestellt", "das hat nicht so funktioniert" etc.
+die Systeme umfassend analysiert werden können und eine Abschätzung der noch durchzuführenden
+Maßnahmen möglich ist.
-Das Feld \textit{HPC} zeigt deutlich auf, wie unterschiedlich manchmal die Sichtweisen
-zum Thema Sicherheit sein können. Bereits vor der Arbeit war mir bereits klar, dass
-viele Experten in dem Bereich die Sicherheit eines Cluster-Systems nicht so betrachten,
-wie es vielleicht in der IT-Sicherheitsbranche getan wird. Auch wenn die Frage der Performanz
-durchaus seine Berechtigung hat, fehlt es an strukturierten Vorgehensweisen und oftmals
-wird die Sicherheit zugunsten der Performanz entweder vernachlässigt oder gar vergessen.
+Schließlich erreicht die Kern-Absicherung einen guten ersten Überblick über den Stand
+der Informationssicherheit für die relevantesten Prozesse und Systeme. Auf der Basis
+dieser durchgeführten Analyse kann dann mit der Standard-Absicherung fortgefahren werden
+um auch alle Komponenten zu betrachten und schließlich durch eine ISO 27001 Zertifizierung
+den Stand der Sicherheit nachzuweisen.
-Diese Arbeit stellte meine erste Berührung mit dem Grundschutz dar. Es war aber auch das erste
-Mal, dass ich ein nicht-triviales System sicherheitstechnisch untersucht habe. Daraus ergaben
-sich einige zeitliche Probleme, da der Grundschutzstandard mit seinen knapp 300 Seiten
-(\textit{BSI-Standard 200-1 bis 3}) bzw.\@ dem Kompendium mit über 800 Seiten viel Lesematerial
-zur Verfügung stellt. Auch erzeugt der zeitliche Rahmen der Abschlussarbeit eine obere Schranke.
+% Prozesserkenntnisse, "das habe ich mir anders vorgestellt", "das hat nicht so funktioniert" etc.
+\subsection{Fazit}
+
+Das Feld \textit{HPC} zeigt deutlich auf, wie unterschiedlich die Sichtweisen zum Thema Sicherheit
+manchmal sein können. Bereits vor der Arbeit war mir klar, dass viele Experten in dem Bereich
+die Sicherheit eines Cluster-Systems nicht so betrachten, wie es vielleicht in der
+IT-Sicherheitsbranche getan wird. Auch wenn die Frage der Performanz durchaus seine
+Berechtigung hat, fehlt es an strukturierten Vorgehensweisen und oftmals wird die Sicherheit
+zugunsten der Performanz entweder vernachlässigt oder gar vergessen. Der Grundschutz bietet hierbei
+eine sinnvolle Struktur, die allerdings auch nicht starr festgelegt ist und vielerlei Flexibilität
+für die anwendende Institution erlaubt.
+
+Auch ist der zeitliche und personelle Aufwand zu bedenken. Dies sollte natürlich kein Grund für mangelnde
+Sicherheit sein, aber oftmals muss eine Institution die eigenen Ressourcen sehr streng planen.
+Dabei ist nicht nur der initiale Aufwand des Einarbeitens und der Durchführung zu bedenken sondern
+auch die regelmäßig durchzuführenden Revisionen, die der Grundschutz vorsieht. Kann eine Institution
+die notwendigen Maßnahmen und Abschätzungen eigenständig treffen und durchführen, so erzeugt die
+Anwendung des Grundschutzes an der Stelle wohl nur einen administrativen Mehraufwand. Andererseits
+sind solche Institutionen auch eher nicht die Zielgruppe einer \enquote{Grund}-Absicherung.
+
+%Schutzbedarf
Während der Schutzbedarfsanalyse ist man als Person aus dem technischen Umfeld gerne versucht
allen Zielobjekten, insbesondere den IT-Systemen einen hohen Schutzbedarf zuzuschreiben. Auch
wenn da natürlich etwas dran ist, sollte man doch nie vergessen, aus welchem Kontext die
@@ -73,13 +77,17 @@ die Leitungsebene, am Prozess beteiligt ist. Meiner Analyse fehlt diese wichtige
womit die konkreten Ergebnisse vorsichtig betrachtet werden sollten. Viel interessanter sind aber
sowieso die Erkenntnisse aus den Prozessen und deren Anwendbarkeit.
+%Modellierung
Daneben stellte sich zum Ende der Arbeit ein etwas falscher Fokus meinerseits auf die Modellierung dar.
Es zeigt sich, dass die Ergebnisse der Struktur- und Schutzbedarfsanalyse wesentlich
schneller hätten erreicht werden können um einen größeren Fokus auf die Risikoanalyse zu
ermöglichen. Dieser Schritt erzeugt in meinen Augen für den Informationsverbund Cluster
-schließlich auch den größten Mehrwert, neben dem Aufbauen eines ISMS. Letzterer ist aber
-die Voraussetzung für eine sinnvolle Betrachtung, zumindest laut Grundschutzvorgehen.
+schließlich auch den größten Mehrwert, neben dem Aufbauen eines ISMS. Letzteres ist aber
+die Voraussetzung für eine sinnvolle Betrachtung, zumindest laut Grundschutzvorgehen. Ob nun
+ein ISMS wirklich für mehr Sicherheit sorgt, kann ich in dieser Arbeit nicht beantworten, aber
+zumindest sorgt die Planung und Konzeption mindestens für ein Bewusstsein zu dem Thema.
+%Risikoanalyse
Insgesamt war der Schritt der Risikoanalyse schwierig umzusetzen, da ich weder aktiv mit dem
Cluster arbeite oder administrativ dort tätig bin, noch habe ich uneingeschränkten Zugriff auf
die notwendigen Ressourcen, um eine, für die Risikoanalyse eigentlich angemessene, Einschätzung
@@ -88,16 +96,31 @@ legt die Leitungsebene ebenso wie die beteiligten Stakeholder miteinzubeziehen.
gesamtheitliche Sicht ist es überhaupt möglich, eine verlässliche Aussage zu einem Risiko abgeben
zu können.
+%Erwartung an das Vorgehen
Meine Erwartung an das Grundschutzvorgehen glich einer Checklistenabfrage. Auch das Beispiel des BSI,
die \textit{RECPLAST GmbH}\cite{recplast}, sowie das tabellenweise Vorgehen während der Modellierung
-stützten diese These. Das größte Arbeitspaket steckt aber nicht in diesen Tabellen,
+stützten diese These. Das größte Arbeitspaket steckte aber nicht in diesen Tabellen,
sondern im Weg dahin. Man kann zwar den Grundschutz erfüllen, indem diese Tabellen ausgefüllt
und \enquote{abgearbeitet} werden, jedoch ergibt sich dann auch ein eher geringerer Mehrwert. Nur
weil eine Institution eine Grundschutzzertifizierung hat, ist dadurch noch nicht die Sicherheit
festgestellt.
+
Stellt der Grundschutz also eine hinreichend vollständige Methode dar? Nun, es kommt darauf an.
-%TODO worauf kommt es an
+Nach der Durchführung, insbesondere der Risikoanalyse, sollte man eine geeignete Übersicht über die
+Infrastruktur und die Risiken haben. Wird dies als explizites Ziel definiert und arbeitet man
+aktiv daran, so kommt am Ende eine Übersicht heraus, mit der aktiv an den Komponenten entwickelt
+werden kann. Mit der Risikoanalyse hat man schließlich ein mächtiges Werkzeug in den Händen,
+welches jedoch in diesem Fall noch sehr viel manuelle Arbeit benötigt, die Risiken zu identifizieren
+und entsprechende Lösungen zu implementieren. Dies nimmt einem der IT-Grundschutz in der aktuellen
+Fassung nicht ab.
+
+Diese Arbeit stellte meine erste Berührung mit dem Grundschutz dar. Es war aber auch das erste
+Mal, dass ich ein nicht-triviales System sicherheitstechnisch untersucht habe. Daraus ergaben
+sich einige zeitliche Probleme, da der Grundschutzstandard mit seinen knapp 300 Seiten
+(\textit{BSI-Standard 200-1 bis 3}) bzw.\@ dem Kompendium mit über 800 Seiten viel Lesematerial
+zur Verfügung stellt. Auch erzeugt der zeitliche Rahmen der Abschlussarbeit eine obere Schranke.
+Somit verbleiben nach dieser Arbeit noch einige spannende Fragen, die es zu lösen gilt.
\subsection{Ausblick}
% welche weiteren Schritte sollten noch zu dem Thema gemacht werden
@@ -105,18 +128,24 @@ Stellt der Grundschutz also eine hinreichend vollständige Methode dar? Nun, es
In meiner Betrachtung sind einige Schritte zu kurz gekommen, die in einer vollständigen Analyse
eines Clusters noch einmal betrachtet werden sollten. Unbedingt sollte dazu die Einbettung in die
Umgebung (z.B.\@ der übergeordneten Universität) mit einbezogen werden. Der Fokus sollte auf der
-Risikoanalyse liegen, wobei die vorherigen Schritte unterstützend sind.
-
-%TODO Sind Cluster auf der Ebene wirklich so unterschiedlich?
-Die Angemessenheit des Grundschutzes ist selbst dann noch nicht klar. Eine breitere Betrachtung
-mehrerer Cluster könnte hierbei helfen. Cluster sind potentiell sehr unterschiedlich, wodurch
-eine allgemeine Aussage über alle generell schwierig ist. Ist eine Kategorisierung von Clusters
-möglich und gäbe es wiedererkennbare Strukturen, so kann auch ein, eventuell angepasster Grundschutz,
-dort angewandt werden.
-
-Zuletzt können beispielhaft die Grundschutz-Profile betrachtet werden. Diese dienen als Vorlage
-für Anwender mit ähnlichen Sicherheitsanforderungen. Ein IT-Grundschutz Profil für Cluster oder
+Risikoanalyse liegen, wobei die vorherigen Schritte unterstützend sind. Es empfiehlt sich an der
+Stelle, ein konkretes Cluster zu wählen und aktiv mit den Verantwortlichen, sowohl aus technischer
+als auch aus (Verwaltungs-)leitender Sicht zu arbeiten.
+
+Die Angemessenheit des IT-Grundschutzes bleibt dann weiterhin offen. Eine breitere Betrachtung
+mehrerer Cluster könnte hierbei helfen, den Nutzen für allgemeine Cluster zu quantifizeren.
+Clustersysteme sind potentiell sehr unterschiedlich, wodurch eine allgemeine Aussage über alle
+generell schwierig ist. Schaut man natürlich nicht ganz so tief in das System hinein, bestehen
+Cluster aus den gleichen Komponenten und Netzwerkinterfaces, somit gibt es vielleicht doch eine
+sinnvolle allgemeine Art, den Grundschutz auf diese Systeme anzuwenden. Dabei könnten dann
+Grundschutz-Profile hilfreich sein. Diese dienen als Vorlage für Anwender*innen mit ähnlichen
+Sicherheitsanforderungen. Ein IT-Grundschutz Profil für Cluster oder
\textit{High-Performance-Computing}-Systeme könnte hierbei helfen, den Grundschutz angemessen
-mit wesentlich weniger Aufwand umzusetzen.
+mit wesentlich weniger Aufwand umzusetzen. Dazu kann sich an dem derzeit bestehenden Grundschutz-Profil
+für Hochschulen\cite{uni-profil} orientiert werden.
+
+Es können auch, neben dem deutschen IT-Grundschutz, weitere Standards zum Vergleich herangezogen werden.
+Das \textit{National Institute of Standards and Technology (NIST)} arbeitet derzeit an einer Publikation
+zum Thema HPC-Sicherheit\cite{SP800223}, welches komplementär zum IT-Grundschutz an diesen Institutionen
+eingesetzt werden könnte.
-%TODO: NIST Standard ebenfalls betrachten
diff --git a/appendix/tables.tex b/appendix/tables.tex
index a133c82c84a79f0b8910f0d603b7376a4fa9858b..e6ad14822e4708f526847513a5db8c07aa90b09a 100644
--- a/appendix/tables.tex
+++ b/appendix/tables.tex
@@ -4,4 +4,3 @@
\input{appendix/tables/modellierung}
\input{appendix/tables/gefahren}
\input{appendix/tables/gefahren_FA1}
-\input{appendix/tables/gefahren_A1}
diff --git a/appendix/tables/gefahren_A1.tex b/appendix/tables/gefahren_A1.tex
deleted file mode 100644
index d12e6f322d28dbcdb47e1f1d57ae039b540137d7..0000000000000000000000000000000000000000
--- a/appendix/tables/gefahren_A1.tex
+++ /dev/null
@@ -1,38 +0,0 @@
-\begin{longtable}{ p{.10\textwidth} p{.30\textwidth} p{.30\textwidth} p{.30\textwidth} }
- \caption{Elementare Gefährdungen für den Job-Scheduler (A1)} \\
- \label{gefahren_A1} \\
- \hline
- \textbf{Gefährdung} & \textbf{Eintrittshäufigkeit} & \textbf{Auswirkung} & \textbf{Risikobehandlung} \\
- \hline
- G0.15 & & & \\
- G0.18 & & & \\
- G0.19 & & & \\
- G0.20 & & & \\
- G0.21 & & & \\
- G0.22 & & & \\
- G0.23 & & & \\
- G0.24 & & & \\
- G0.25 & & & \\
- G0.26 & & & \\
- G0.27 & & & \\
- G0.28 & & & \\
- G0.29 & & & \\
- G0.30 & & & \\
- G0.31 & & & \\
- G0.32 & & & \\
- G0.33 & & & \\
- G0.34 & & & \\
- G0.35 & & & \\
- G0.36 & & & \\
- G0.37 & & & \\
- G0.38 & & & \\
- G0.39 & & & \\
- G0.40 & & & \\
- G0.41 & & & \\
- G0.42 & & & \\
- G0.43 & & & \\
- G0.44 & & & \\
- G0.45 & & & \\
- G0.46 & & & \\
- G0.47 & & & \\
-\end{longtable}
diff --git a/appendix/tables/gefahren_FA1.tex b/appendix/tables/gefahren_FA1.tex
index 1da823620786e0376d96ee463f563af21fe36651..3ce6d36a5372472b91bbf0acbd900875df9641f7 100644
--- a/appendix/tables/gefahren_FA1.tex
+++ b/appendix/tables/gefahren_FA1.tex
@@ -1,4 +1,4 @@
-\begin{longtable}{ p{.10\textwidth} p{.30\textwidth} p{.30\textwidth} p{.30\textwidth} }
+\begin{longtable}{ p{.15\textwidth} p{.30\textwidth} p{.30\textwidth} p{.30\textwidth} }
\caption{Elementare Gefährdungen für FA1} \\
\label{gefahren_FA1} \\
\hline
diff --git "a/appendix/tables/kritikalit\303\244t.tex" "b/appendix/tables/kritikalit\303\244t.tex"
index bf026d9a1b37fc20de45dfd8b1b1a73a1e04d04d..921c19f05adda54ada1c29112afc2ab9b9b81133 100644
--- "a/appendix/tables/kritikalit\303\244t.tex"
+++ "b/appendix/tables/kritikalit\303\244t.tex"
@@ -13,18 +13,12 @@
\end{longtable}
-\begin{longtable}{ p{.17\textwidth} p{.31\textwidth} p{.31\textwidth} p{.31\textwidth} }
+\begin{longtable}{ p{.26\textwidth} p{.24\textwidth} p{.25\textwidth} p{.25\textwidth} }
\caption{Beispielhafte Schutzbedarfsanalyse Curta} \\
\label{schutzbedarf_analyse} \\
\hline
\textbf{Objekt} & \textbf{Verfügbarkeit} & \textbf{Integrität} & \textbf{Vertraulichkeit} \\
\hline
- \textit{GP0 - Verwaltung} &
- normal
- &
- normal
- &
- normal \\
\textit{GP1 - Forschung} &
hoch
&
@@ -32,6 +26,12 @@
&
normal
\\
+ \textit{GP2 - Verwaltung} &
+ normal
+ &
+ normal
+ &
+ normal \\
\textit{BA0 - Betriebssoftware} &
hoch
&
@@ -39,7 +39,7 @@
&
normal
\\
- \textit{BA1 - Job-Scheduler} &
+ \textit{BA1 - Job-Scheduler Slurm} &
hoch
&
normal
diff --git a/appendix/tables/modellierung.tex b/appendix/tables/modellierung.tex
index 563973d0f5f4f7fdf6b86f61721fafdd644b60ff..1eb2829c792d233b9bb196546866777b9bb27e9d 100644
--- a/appendix/tables/modellierung.tex
+++ b/appendix/tables/modellierung.tex
@@ -120,11 +120,14 @@
\textbf{Zielobjekt} & \textbf{Baustein aus Grundschutz} \\
\hline
FA1 Forschungsanwendungen & APP.6 Allgemeine Software \\
- A0 Slurm & APP.6 Allgemeine Software \\
+ BA1 Slurm & APP.6 Allgemeine Software \\
\hline
S0 Knoten & SYS.1.1 Allgemeiner Server \\
S0 Knoten & SYS.1.3 Server unter Linux und Unix \\
\hline
+ S0\_a Knoten & SYS.1.1 Allgemeiner Server \\
+ S0\_a Knoten & SYS.1.3 Server unter Linux und Unix \\
+ \hline
S1 Netzwerk & NET.1.1 Netzarchitektur und -design \\
S1 Netzwerk & NET.3.1 Router und Switches \\
\end{longtable}
diff --git a/bibliography.bib b/bibliography.bib
index 07916ead989c640bcf7ea99554a43e4594710db8..f40121d12f7b4727e31fa0fab13cab20d3a2a8fb 100644
--- a/bibliography.bib
+++ b/bibliography.bib
@@ -110,6 +110,12 @@
url = {https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/Standards-und-Zertifizierung/IT-Grundschutz/BSI-Standards/BSI-Standard-200-3-Risikomanagement/bsi-standard-200-3-risikomanagement_node.html},
}
+@online{uni-profil,
+ title = {IT-Grundschutz-Profil für Hochschulen},
+ author = {ZKI e.V.},
+ url = {https://www.bsi.bund.de/SharedDocs/Downloads/DE/BSI/Grundschutz/Hilfsmittel/Profile/Profil_Hochschulen.pdf?__blob=publicationFile&v=2},
+}
+
@phdthesis{hommel_2012,
author = "Hommel, Wolfgang",
title = "Integriertes Management von Security-Frameworks",
diff --git a/thesis.pdf b/thesis.pdf
index ed12abb76ddaa02c848ef91ec253a8b93b563926..44f71c9383aaac63384b26ed17e390b493d97f8a 100644
Binary files a/thesis.pdf and b/thesis.pdf differ