NDS HF Gebäudeinformatik INT

• Dient der automatischen Konfiguration eines Hosts/Clients beim Starten in einem TCP/IP-Netzwerk
• Ermöglicht die Speicherung von Informationen über alle verfügbaren IP-Adressen, Teilnetzmasken, Standard-Routern, DNS-Servern usw. in einer zentralen Datenbank
• Ermöglicht die Wiederverwendung von Adressen

• Deckt immer nur einen Teil (Moment) ab. Fokus gerichtet. -> Umfangreich. 
• Externe Berater Firma (Denkt anders)
• Kommt unangemeldet (Probe Alarm)
• Internes Audit durchführen

Grundsätzlich Wichtig:

•  Erkenntnisse in Massnahmen umwandeln und diese wiederum überprüfen
• Gesunder Menschenverstand walten lassen
• Kosten / Nutzen im Fokus behalten
• 80/20er Regel (Pareto Prinzip) befolgen 

• Wer ist für den IT Grundschutz verantwortlich ?
• Wie erkenne ich die Gefahren?
• Wie werden geeignete Massnahmen definiert? (Kosten / Nutzen?)
• Wie werden Mitarbeiter eingebunden?
• Gibt es eine «anonyme» Meldungsstelle?
• Wie soll die Organisation aufgestellt werden? (CIO)
• Was bedeutet Best practice  
• In welchem Zyklus wird geprüft? Wann ist ein Security Prozess beendet? 
• Was kostet mich dass?

Der Mensch!

• Risikobewusstsein der Mitarbeiter 
• Hauptursachen für Schäden im IT-Bereich:
  • Nachlässigkeit 
  • unzureichende Akzeptanz von Sicherheitsmassnahmen 
  • mangelnde Kenntnisse 
• Mitarbeiter müssen Sinn in Massnahmen erkennen: 
  • Schulungen, Workshops 
  • Erinnerungsmassnahmen: Merkblätter usw.
  • klare, verständliche Regeln

• Datenschutz
• Sichere Infrastruktur
• Ausfallsicherheit
• Datensicherheit
• Spam- und Virenschutz
• Firewall
• VPN/Fernzugriff
• sicherer Netzwerke
• Prozessintegration
• Kommunikation

Insel Netzwerke sind erst recht anfällig für Schadsoftware, da sie nie auf dem aktuellen Stand sind. (Service Techniker Tablet, Modem, Software Updates, Neue Protokolle)

• Macht einen Virenscanner sinn? Wenn ja wie werden die Signaturen aktualisiert?
  • Virenscanner kann man offline updaten (Periodisch, SLA,) 
• Machen Windows Updates sinn? Wie werden Windows Updates installiert?
  • Windows Updates können offline installiert werden (OFFLINE WSUS)
• Wie schütze ich ein System auf welches ich !keinen! Schutz installieren darf? 
  • Verinselung von Systemen (Schützen durch vor geschaltete Firewall) 
• Wie geht man mit Fremden Geräten von Lieferanten um?
  • Bilden von kleineren IP Segmenten (Trennung durch Routing Firewall, ACL)
• Wie kommen die Daten auf die Anlage? USB Stick ?
  • Schulung, Abnahme von USB Sticks / HD’s mit Scanning
• Wie wird eine geeignete Sicherung /Backup möglich?Wie kann ich diese organisieren ?
  • Durch geeignete Backup Strategie

• Gezielte Schulung , Sensibilisierung der Mitarbeiter , Organisation 

Security-Prozess ist ein «never-ending» Prozess – er muss durch die GL getragen und gelebt werden

• Wer darf in welche Zone? (Berechtigung Stufe) Badge, Ausweis, Security Kontrolle
• Wie läufts das bei Besucher (Visitors) 
• Wie läuft das bei Lieferanten (Knowing People oder vermeintlich POST, DHL, UPS etc… )
• Wie läuft es im Notfall (Pikett)

• Site-to-Site VPN
• Remote-access VPN

• IPSec 
• SSL VPN
• Open VPN

• Bus:
  • Alle Geräte sind an ein zentrales, als Bus oder Backbone bezeichnetes Kabel angeschlossen.
• Stern:
  • Alle Geräte sind an einen gemeinsamen Mittelpunkt (Switch) angeschloss. Die Knoten kommunizieren durch Weitergabe von Daten über den Hub.  Eine Erweiterung des Sterns wird als Baum-Topologie bezeichnet und hat eine hierarchische Struktur.
• Ring Redundanz:
  • Mehrere Geräte/Switches sind nacheinander in Form eines „geschlossenen“ Ringes zusammengeschalteten. In Wirklichkeit ist eine Strecke auf Stand-by
• Daisy Chain/ Linie:
  • Alle Geräte sind hintereinander geschaltet (Meist Low Budget Installation)
  • Entspricht eigentlich der Bustopologie, ist jedoch für Ethernet geeignet
• Masche:
  • Alle Geräte/Switches sind über mehrere Strecken untereinander Verbunden
• Herstellerspezifische:
  • Es gibt weitere Topologien welche jedoch oft nur Hersteller bedingt anwendbar 

sind.

Vorteile:

• tiefe Kosten, da nur geringe Kabelmengen erforderlich sind 
• Einfache Verkabelung und Netzerweiterung 
• Es werden keine aktiven Netzwerkkomponenten benötigt 

Nachteile:

• Datenübertragungen können leicht abgehört (Stichwort: Sniffer) werden 
• Eine Störung des Übertragungsmediums an einer einzigen Stelle im Bus (defektes Kabel) blockiert den gesamten Netzstrang 
• Es kann zu jedem Zeitpunkt immer nur eine Station Daten senden. Währenddessen sind alle anderen Sender blockiert (Datenstau) 
• Bei Bussen, die Kollisionen zulassen und auf eine nachträgliche Behebung setzen, kann das Medium nur zu einem kleinen Teil ausgelastet werden, da bei höherem Datenverkehr überproportional viele Kollisionen auftreten 

Vorteile:

• Ohne Störung des restlichen Netzwerks leicht zu ändern und zu erweitern –einfach eine neue Leitung vom neuen Computer zum zentralen Switch ziehen
• Das Zentrum eines Sternnetzes ist ein guter Ort für die Fehlerdiagnose
• Der Ausfall einzelner Computer führt nicht unbedingt zum Ausfall des ganzen Sternnetzes. Ein intelligenter Switch kann Netzwerkfehler erkennen und ein fehlerhaftes Kabel oder Gerät isolieren, damit das restliche Netzwerk weiterarbeiten kann.
• Sofern der zentrale Switch mehrere Kabeltypen unterstützt, können unterschiedliche Kabeltypen zur Anwendung kommen. (LWL oder Kupfer)

Nachteil:

• Beim Ausfall des zentralen Switch fällt das ganze Netzwerk aus
• Sternnetze benötigen vielfach ein Gerät im Mittelpunkt des Netzwerks, um den Netzverkehr zu übertragen oder zu vermitteln
• Höherer Verkabelungsaufwand als bei anderen Netzwerktechnologien, da alle Kabel 

zum Mittelpunkt hin gezogen werden müssen

Vorteile:

• Eine Strecke kann ausfallen, das Netzwerk funktioniert weiterhin
• Ein Ausfall wird erkannt es kann Alarmiert werden
• Einfache Fehlersuche
• Beim Hinzufügen bzw. Entfernen von Computern/Switches wird das Netzwerk nicht unterbrochen.

Nachteil:

• Höhere Installations-Kosten
• Höher Switch Kosten (Managed Switches mit Redundanz Features)
• Die Planung ist hier von Anfang an wichtig!

Vorteile:

• Fehlertoleranz
• Garantierte Kanalkapazität
• Einfache Fehlersuche

Nachteile:

• Mit zunehmender Anzahl Geräte wird die Installation anspruchsvoller
• Schwierige Installation und Konfiguration
• Teure Beschaffung und Unterhalt der redundanten Verbindungen

• Jeder Netzwerkkomponente sollte fix in ein Schaltschrank montiert werden ( 19 “ oder DIN Montage)Beim Primär- und Sekundärbereich müssen die verlegten Kabel auf Patchpanel enden
• Im Tertiärbereich auf einer Seite auf dem Patchpanel und am anderen Ende auf der Steckdose
• Alle eingesetzten Ethernet Kabel, Patchpanel und Anschlussdosen müssen mindestens der Kat. 5E Spezifikation entsprechen 
• In der Regel wird heute Kat. 6e installiert 
• Für eine Systemkonforme Kat. 7 installation wird der GG45 Stecker benötigt

• Erleichterte Fehlersuche
• Eingrenzung durch Auftrennen von Patchverbindungen möglich
• Saubere Messungen der Verkabelung möglich
• Geräte sind besser geschützt vor mechanischen Zerstörungen (runterfallen)
• Zugänglichkeit ist gewährleistet
• Einfache Auswechslung bei Störungsfall
• Geschützt vor Verschmutzung
• Saubere Erdung möglich

• Zu lange Kabel oder falsche Anschlussdosen/-einsätze;
• Aufteilung der 8 Drähte auf zwei Steckdosen
• Falsches Erdungskonzept (Antennenbildung oder ein Potentialausgleich über die Abschirmung)
• Verwechseln von Installations- und Patchkabeln
• Nichteinhaltung der Montageanleitungen/Vorschriften
• Nicht erfolgte Kabelüberprüfung (Messprotokolle)
• Keine saubere Trennung der Schwach- und Starkstromkabel
• Sparen am falschen Ort

• Übertragung von Lichtimpulsen
• Vollkommen resistent über elektromagnetische Interferenzen
• Viel grössere Entfernungen möglich
• Höherer Datendurchsatz als bei Kupferleitungen
• Größere Stör- und Abhörsicherheit
• Verwendung bei Backbones oder strukturierter Verkabelung neuerdings auch bis zum Endgerät
• Qualität bei Spleisungen und den verwendeten Kabel ist höchste Priorität

Das ARP-Protokoll legt Mapping-Tabellen an, die die MAC-Adressen den IP-Adressen zuordnen.
Ist die MAC-Adresse nicht bekannt, wird via Broadcast die Adresse erfragt.

• Autosensing
  • bezeichnet die Fähigkeit, die Geschwindigkeit (10/100/1000Mbit) zu erkennen und mit dieser zu senden/empfangen
• Autonegotiation
  • wie Autosensing, jedoch wird zusätzlich Half- (HD) und Fullduplex (FD) erkannt und eingestellt 
• Wake on LAN
  • ermöglicht die Einschaltung eines Rechner`s via Netzwerk von einem anderen Rechner aus

• MAC-Adresse 
• IP Adresse 
• Subnet-Maske
• Default-Gateway 

• Einfache Installation/Einfach austauschbar
• Kostengünstig
• Keine Features (Fehler Log, Routing, Redundanz, V-LAN usw.)

• Erweiterte Installation und Konfiguration
• Diverse Features, Einfache Fehlersuche, Redundanz, Alarmierung,
• Port Trunking, Spiegelung, V-LAN, Broadcast Begrenzung, Port Management 

Netzwerk Geräte können via Ethernet-Kabel gespiesen werden

Voraussetzung:

• PoE fähiger Switch (max. Leistung Beachten) z.B. 200 Watt Total
• Pro Port Max. = 25,5 Watt (Neuere Versionen werden bis zu 95 Watt unterstützen)

• Unter Layer-3-Switching wird hardwarebasierendes Routing verstanden. Der Weg durch den Switch wird mit Hilfe der Schicht-3-Informationen ermittelt (IP)
• Die IP und die Mac-Adresse wird in Routingtabelle gespeichert. Aufgrund dieses Eintrages wird bei Paketen mit demselben Ziel in Zukunft kein Routing, also die Auswertung der IP-Adresse, sondern nur ein Switching, Bearbeitung der MAC-Adresse, durchgeführt
• Dies führt dazu, dass ein Layer 3 Switch wesentlich schneller arbeitet als z.B. SOHO Router

• Der Router ist ein System, welches min. zwei IP-Adressen hat und somit in verschiedenen Netzwerken gleichzeitig ist
• Router versenden IP-Pakete anhand ihrer Ziel-Adressen in die entsprechenden Netzwerke
• ein Router funktioniert dadurch wie ein Switch mit dem Unterschied, dass ein Router die IP-Adresse (Layer 3) benutzt, keine MAC-Adressen

• Eine Firewall stellt eine kontrollierte Verbindung zwischen zwei Netzen her.
• Eine Firewall arbeitet ab Layer 1 bis Layer 7
• Sie hat min. 2 Anschlüsse (WAN/LAN)
• Eine Firewall muss konfiguriert werden
• Welcher Traffic darf von A nach B und umgekehrt?
• Man spricht von Rules (Regeln)

DMZ = demilitarisierte Zone

Vorteile:
• Sehr günstig, einfach zu konfigurieren

Nachteile:
• Nicht geeignet für grosse Anlagen und für hohe Verfügbarkeit / Ständig neue 
Firmware-Updates nötig / Ständiger Modellwechsel. 

Virtual LAN (Layer 2)

Orts- und Topologie-unabhängige Zusammenfassung von Rechnern, die miteinander kommunizieren, wie wenn sie sich auf einem gemeinsamen physischen LAN befänden.

Vorteile:

• Broadcast bleiben innerhalb des VLAN
• Saubere Trennung möglich
• Spart Kosten in der Infrastruktur
• Etabliert und Kompatibel (Standard IEEE 802.1Q)
• Einfach Erweiterbar

Achtung nicht jeder managed Switch ist VLAN fähig!