Schwerpunkte und gemeinsame Ziele

Heutige IT Infrastrukturen setzen sich aus einer Vielzahl von Software- und Hardwarekomponenten zusammen, die in ihrem Zusammenspiel die eigentliche Wirkfunktionalität bilden. Die überprüfbare und durchgehende Sicherheit solcher heterogener IT-Infrastrukturen ist ein wichtiges Ziel in der Konzeption und Weiterentwicklung dieser Strukturen. Auch
KMUs betreiben bereits heute komplexe IT-Infrastrukturen bzw. sind auf diese angewiesen. Diese Komplexität erfordert eine genaue Betrachtung der Sicherheitsfunktionalitäten und die Überprüfung der Konformität zu den gewünschten Eigenschaften.

Das Rahmenwerk des VISA-Projektes (Virtual IT Security Architectures) soll einen ganzheitlichen Ansatz für die Planung und Erprobung von IT-Infrastrukturen implementieren. Durch die Kombination der Modellierung und formalen Beschreibung von Infrastrukturen auf der einen Seite sowie der Evaluation der Infrastrukturen in virtuellen Umgebungen anhand verschiedener, definierter Kriterien auf der anderen Seite wird es KMUs ermöglicht, Kosten und Eigenschaften der IT-Investition abzuschätzen.

Das VISA-Rahmenwerk wird einen teilautomatisierten Evaluationszyklus realisieren, in dem auf abstraktem Niveau zunächst Modelle von Infrastrukturen erstellt werden. Hierzu werden typische Szenarien für KMU-basierte IT-Infrastrukturen identifiziert, woraus typische Infrastrukturkomponenten erkannt werden. Ein wichtiger Schritt im Evaluationszyklus ist die Überführung der Modelle in praktisch ausführbare Systeme, an denen direkt und nachvollziehbar experimentiert werden kann. In VISA sind diese Systeme voll virtualisiert und die Infrastruktur wird unter Verwendung einer "Bibliothek" von virtualisierten Komponenten nachgebildet. Experimente in dieser virtualisierten Infrastruktur werden aus dem Modell abgeleitet und mit standardisierten Eingabevektoren beschrieben.

Die erstellten Modelle sollen mit verschiedenen Verfahren analysiert werden. Dazu werden zuerst die Sicherheitsanforderungen an den Modellen identifiziert und exakt beschrieben. Solche Anforderungen ergeben sich aus Schutzkatalogen und detaillierten Bedrohungsanalysen. An Modellen kann dann analysiert werden, ob die Sicherheitsanforderungen  und die funktionalen Anforderungen an die Infrastruktur in einer entsprechenden Umsetzung prinzipiell erfüllt werden können.

Die Projektergebnisse von VISA sollen KMUs einen wesentlich einfacheren und flexiblen Umgang mit ihren IT-Infrastrukturen ermöglichen, wie er bisher nur Großunternehmen vorbehalten ist. Insbesondere verbessert die Modellierung und Evaluation auf Basis virtueller Umgebungen und formaler Analysen die Bereiche Sicherheitsmanagement für IT-Infrastrukturen, Übereinstimmungsanalysen für  Regulierungsanforderungen wie z.B. Basel II und Evaluation von Implementierung von Infrastrukturen und deren Komponenten.

Durch das in VISA zu entwickelnde Modellierungs-Framework lässt sich die Sicherheit von IT-Systemen modular und im Verbund einfacher und effizienter prüfen. Dies wäre ein wichtiger Schritt in Richtung Ende-zu-Ende-Sicherheit, was ein essentieller Sachverhalt in IT-Landschaften ist. Gerade KMU-Betriebe sind immer mehr Wirtschaftsspionage des Auslands in Deutschland ausgesetzt, wogegen VISA durch Kompensation aktueller Sicherheitslücken Abhilfe schaffen könnte.

Ein weiterer Vorteil einer ganzheitlichen IT-Infrastrukturplanung durch das VISA-Rahmenwerk ist der passgenaue und vereinfachte Einsatz von Sicherheitsanwendungen auf Basis von Virtual Security Appliances (VSA). Durch die umfassende Emulation von IT-Infrastrukturen können betriebsrelevante Parameter und die Integrationspunkte der VSAs bereits in der virtuellen Umgebung transparent identifiziert und der Einsatz erprobt werden. So erprobte VSAs können dann direkt ohne Änderung der existierenden Infrastruktur in Einsatz gebracht werden.

Eine wesentliche Hürde für KMU im Umgang mit IT-Infrastruktur im Allgemeinen – und für sicherheitsrelevante Infrastruktur ganz besonders – ist der Mangel an eigenem Know-how und der Verfügbarkeit von eigenem Fachpersonal. Um die erfolgreiche Realisierung solcher Infrastrukturen zu gewährleisten, ist eine Zielgruppen gerechte Bedienung und Darstellung durch grafische Benutzeroberflächen essentiell. Dadurch werden einerseits Fehlbedienungen minimiert, andererseits schafft eine geeignete Darstellung Transparenz und damit Vertrauen in die sicherheitsrelevanten Funktionalitäten. Die Realisierung grafischer Oberflächen für die VISA-Simulationswerkzeuge, die VSAs sowie der Management-Werkzeuge ist daher ein wesentliches Projektziel.

Wissenschaftliche und technische Ziele

Durch die starke Heterogenität von IT-Infrastrukturen in KMU und der relativ begrenzten Ressourcen und des geringeren Know-hows muss in Zukunft die Zielgruppe KMU bessere und geeignete Methoden zur Konfektionierung ihrer IT-Sicherheit bekommen. Der IT-Sicherheitsmarkt adressiert bislang zu wenig diese Zielgruppe, so dass keine bedarfsgerechten
und dem Budget angepassten Lösungen vorhanden sind. Um eine höhere Autonomie in der Konfiguration sowie im Betrieb ihrer IT-Infrastruktur zu erhalten, sind modulare und erprobte Lösungen und Systeme essentiell. Die höhere Flexibilität kann und wird mittlerweile durch Virtualisierung von Rechnern und Diensten erreicht. Jedoch existieren keine Lösungen, die auch Netze und Infrastrukturen für Unternehmen virtualisiert abbilden. Auch existieren nur Virtual Appliances, die nur punktuell bestimmte Anwendungen oder Dienste bereitstellen wie z.B. Mail-Security-Dienste, Firewall-Dienste etc. Eine Kombination von verschiedenen Sicherheitsfunktionen und Diensten wird nicht angeboten.

Nicht nur vor dem Hintergrund der Flexibilität, sondern auch aus Kostengründen (Investition in Hard- und Software) sind Virtual Security Appliances (VSA) auf Basis von Open-Source (sowohl die Anwendungen als auch die Betriebssysteme) von Bedeutung. Außerdem würde der Einsatz in Unternehmen kein Know-how erfordern, da erprobte State-of-the-Art-Technologien als integrierbare Lösung in die IT von KMUs eingebunden werden können. Ein weiterer essentieller Aspekt ist die bessere Überprüfbarkeit im Sinne von Compliance. Der Aufwand zur Überprüfung von Sicherheitskomponenten bzw. der gesamten IT-Sicherheitsinfrastruktur wird erheblich reduziert, da Security Assessment und Compliance-Tests für Virtual Security Appliances (VSA) bereits vorliegen können. Durch die steigende Komplexität wird die Überprüfung der Konformität vereinfacht.

Vor diesem Hintergrund wird das Projekt VISA Möglichkeiten zur Modellierung von IT-Infrastrukturen von KMUs für Virtualisierung erarbeiten und auf Basis dessen bedarfsgerechte Virtual Security Appliances (VSA) konzeptionieren, die als integraler Bestandteil von KMUs eingesetzt werden sollen. Dies soll durch Simulation und Emulation von komplexen Netzwerk- und Dienste-Topologien erreicht werden. Um einen bedarfsgerechten Einsatz für KMUs zu ermöglichen, soll eine grafische Oberfläche zur Unterstützung der Modellierung sowie zur Visualisierung und Bedienung der Virtuellen Security Appliances (VSA) entwickelt werden.

Die wissenschaftliche Herausforderung hierbei liegt in der geeigneten Modellierung von Netztopologien und der Abstraktion mittels Virtualisierungstechnologien. Eine wesentliche Fragestellung ist, ob IT-Infrastrukturen modular in derselben Art und Weise zusammenspielen und hierdurch die Komplexität ohne Sicherheitseinbußen erheblich reduziert werden kann. Hieraus ergibt sich ein weiteres Ziel: Die Validierung der Methoden und erarbeiten Lösungsvorschlage für Virtual Security Appliances mittels standardisierter Methoden wie ISO 27001 und BSI-Grundschutz. Ein weiteres wissenschaftliches Ziel ist, zu erforschen, in wie weit virtualisierte IT-Security-Bausteinen und Services aus Konzepten wie IaaS, PaaS und SaaS abgeleitet werden können.

VISA erstellt ein Framework, das das Erproben von VSAs in nachgebildeten, praxisorientierten Szenarien erlaubt. Hierfür sieht das Konsortium folgende technischen Herausforderungen bzw. Ziele:

1. Entwicklung und Packetierung verschiedener VSA-Module, die unterschiedliche Bereiche der IT-Sicherheit abdecken.
2. Eine automatisierte und dynamische Umgebung, die eine experimentelle Erprobung verschiedener Netztopologien und den Einsatz von VSAs erlaubt.
3. Modelle, die die Simulation der Netztopologien steuern.
4. Jede VSA muss am Ende als virtuelles Image vorliegen und durch das Deployment-System entsprechend dem zugrunde liegenden Modell konfiguriert werden können.
5. Es wird ein Modell bzw. Ausdruckssystem benötigt, um das Deployment zu steuern.
6. Eine Bibliothek von virtuellen Images wird benötigt, um die möglichen Wirkszenarien zu bauen.