Ministerie van Verkeer en Waterstaat opq Rijkswaterstaat DMZ Policy 16 Februari 2005 Eindverantwoordelijkheid Goedgekeurd Naam Datum Paraaf Security Manager SPITS E.A. van Buuren Geaccepteerd Manager SPITS
Ministerie van Verkeer en Waterstaat opq Rijkswaterstaat DMZ Policy 16 Februari 2005
........................................................................................ Colofon Uitgegeven door: SPITS Informatie: servicedesk SPITS Telefoon: 0800-0230339 Fax: Uitgevoerd door: Security manager SPITS Opmaak: Datum: 16-02-05 Status: definitief Versienummer: 1.1 3 DMZ Policy
Inhoudsopgave........................................................................................ 1. Inleiding 5 2. Doel 5 3. Scope 5 4. Policy 6 4.1 Verplicht 6 4.1.1. Verantwoordelijkheid 6 4.1.2. Afhankelijkheid 6 4.1.3. (Fysieke) beveiliging 6 4.1.4. Toegang 6 4.1.5. Verbindingen 6 4.1.6. Systeemconfiguratie 7 4.1.7. Overige applicaties 7 4.1.8. Vertrouwelijke informatie 7 4.1.9. Documentatie 7 4.1.10. Controle 7 4.2 Gewenst 7 4.3 Optie 7 5. Revisie historie 8 4 DMZ Policy
1. Inleiding Een DMZ staat voor demilitarized zone. Deze term wordt gebruikt voor een netwerk dat zich bevindt tussen een (semi) publiek netwerk en een intern netwerk. In de context van deze policy vormt de DMZ een veiligheidszone tussen VICnet en een aangesloten netwerk op het VICnet. Typische services en servers die in een DMZ staan, zijn servers die voor buiten toegankelijk moeten zijn, zoals mail, web en ftp-servers. Systemen die als doel hebben systemen of personen binnen VICnet te benaderen, komen in aanmerking om in de DMZ geplaatst te worden met als doel deze zowel voor het (semi) publieke netwerk als het interne netwerk te beschermen. De servers die zich in deze zone bevinden, zijn bedrijfskritisch en derhalve is een strikt securitybeleid voor de DMZ noodzakelijk. 2. Doel Deze policy beschrijft de verplichte, gewenste en optionele maatregelen die genomen moeten worden bij het inrichten en beheren van alle actieve netwerkcomponenten en servers/applicaties binnen de DMZ van het VICnet/SPITS netwerk. Onder actieve netwerkcomponenten wordt hier verstaan alle componenten die voor hun functioneren afhankelijk zijn van een door de beheerder gespecificeerde configuratie. 3. Scope De scope van deze policy is het VICnet/SPITS netwerk en alle componenten en personen die daarvan deel uit maken. Specifiek behelst deze netwerkcomponenten, systemen en personen die onderdeel zijn, beheerder van VICnet zijn, of aan VICnet gekoppeld zijn. Deze policy is onderdeel van de Security policies VICnet/SPITS en is altijd verbonden met het gelijknamige policyoverzicht document en daarin opgenomen algemene beginselen. 5 DMZ Policy
4. Policy 4.1 Verplicht 4.1.1. Verantwoordelijkheid Er dient een verantwoordelijke persoon binnen VICnet/SPITS aangewezen te worden voor de DMZ. Deze is verantwoordelijk voor het naleven van de richtlijnen van deze policy. Deze persoon dient er op toe te zien dat alle personen, systemen en netwerkcomponenten binnen het DMZ worden geconfigureerd en beheerd volgens de richtlijnen van de volgende policies: Policy voor netwerkcomponenten Wachtwoordpolicy Patchmanagement policy Firewall policy 4.1.2. Afhankelijkheid Een juiste werking van productie servers buiten de DMZ mogen niet afhankelijk zijn van bronnen binnen de DMZ (bijvoorbeeld resources, databases die binnen de DMZ zouden staan). 4.1.3. (Fysieke) beveiliging Systemen en componenten dienen, indien mogelijk, fysiek gescheiden te zijn van componenten van het interne netwerk. Dit dient minimaal een onderscheid te zijn tussen aparte systemen, maar indien mogelijk dienen de systemen gescheiden te zijn door ze in aparte netwerksegmenten te plaatsen. De verantwoordelijke voor de DMZ dient een lijst bij te houden met personen die toegang hebben tot het materiaal. Gezien de mogelijke kwetsbaarheid van systemen in de DMZ is het noodzakelijk systemen die zich hierin bevinden prioriteit te geven op het gebied van Patchmanagement boven systemen buiten de DMZ. 4.1.4. Toegang Een firewall moet de enige toegangsweg zijn van het interne netwerk naar het DMZ en het internet naar de DMZ. Elke mogelijkheid om dit te omzeilen is niet toegestaan. 4.1.5. Verbindingen Alle verbindingen (inclusief VPN) van de DMZ naar het interne netwerk dienen zich te conformeren aan de richtlijnen zoals beschreven in de Remote Toegang Policy. 6 DMZ Policy
De DMZ mag op geen enkele wijze direct gekoppeld zijn aan het interne netwerk, bijvoorbeeld via modems of een draadloze verbinding. 4.1.6. Systeemconfiguratie Besturingssystemen binnen het DMZ dienen geconfigureerd te zijn zoals beschreven in de Systeemconfiguratie Policy. 4.1.7. Overige applicaties Applicaties en/of services die geen functioneel doel hebben binnen de organisatie dienen uitgezet of gestopt te worden. Deze maatregel is noodzakelijk omdat de risico s en bedreigingen binnen een DMZ groter zijn dan erbuiten. 4.1.8. Vertrouwelijke informatie Er mag geen vertrouwelijke informatie bestaan op systemen waar nietgeautoriseerde personen toegang hebben (bijvoorbeeld een trainingsruimte). De DMZ verantwoordelijke dient hiervoor zorg te dragen. 4.1.9. Documentatie Alle systemen binnen het DMZ dienen vastgelegd te worden met minimaal de volgende informatie: Hardware en besturingssysteem informatie Locatie en eigenaar Hoofddoel van het systeem/component (Systeem)wachtwoorden (beheerd volgens de Wachtwoordpolicy) 4.1.10. Controle Er dient periodieke controle plaats te vinden op de naleving van deze policy. Deze controle staat los van een eventuele audit. a. Bevatten systemen vertrouwelijke informatie b. Zijn de systemen gepatched c. Fysieke controle van de systemen 4.2 Gewenst Er dient gebruik te worden gemaakt van een IDS of gelijksoortige software om de veiligheid van systemen binnen de DMZ te monitoren. 4.3 Optie Als er sprake is van database servers binnen de DMZ dan dient de productie database buiten de DMZ gehouden te worden. 7 DMZ Policy
5. Revisie historie Versie Datum Auteur Toelichting 1.0 10-12-2004 1.1 16-02-2005 E van Buuren 8 DMZ Policy