M 2.144 Geeignete Auswahl eines Netzmanagement-Protokolls

Verantwortlich für Initiierung: Leiter IT, IT-Sicherheitsmanagement

Verantwortlich für Umsetzung: Administrator

Als Standardprotokolle für Netzmanagement gelten derzeit:

Im folgenden werden die wesentlichen Vor- und Nachteile der beiden Protokolle als Entscheidungshilfe bei der Auswahl eines Netzmanagement-Protokolls aufgezeigt.

SNMP

Für SNMP sind zwei Komponenten definiert, Manager und Agent. In einem lokalen Netz werden ein oder eventuell mehrere Manager und je ein Agent pro IT-System, das mit SNMP überwacht bzw. konfiguriert werden soll, installiert. Die Agenten sammeln über diese Systeme Informationen und legen sie in einer MIB (Management Information Base) ab. Sie tauschen mit dem Manager über ein verbindungsloses Protokoll Nachrichten aus, so daß SNMP an kein bestimmtes Transportprotokoll gebunden ist. Es wird jedoch heute üblicherweise auf UDP/IP implementiert. Andere Implementationen sind jedoch ebenfalls möglich und vorhanden (z. B. über OSI, AppleTalk, SPX/IPX). SNMP gibt es in verschiedenen Versionen. Neben der Urversion SNMPv1 sind derzeit auch in geringen Umfang verschiedene Ausprägungen der Version 2 (SNMPv2) im Einsatz (RFC 1901-1908).

SNMP ist ein sehr einfaches Protokoll, das fünf Nachrichtentypen kennt. Damit tauschen Manager und Agenten die sogenannten Managementinformationen aus, die hier im wesentlichen aus Werten von Statusvariablen bestehen, die im Managementagenten vorgehalten werden und den jeweiligen Zustand des zugehörigen verwalteten Objektes beschreiben. Welche Statusvariablen (Name und Typ) in den einzelnen Agenten existieren, ist in der Managementdatenbank (MIB) beschrieben. Dabei ist die Information hierarchisch organisiert, und jedem Wert ist eine eindeutige Identifikationsnummer zugeordnet, die auf den Variablen damit eine eindeutige Reihenfolge definiert. Die Nachrichtentypen sind im Einzelnen:

Die wesentlichen Vor- und Nachteile sind:

+ SNMP zeichnet sich durch ein einfaches Design und damit auch durch eine einfache Implementation aus. Dies reduziert die Fehleranfälligkeit und verbessert die Stabilität des Protokolls.
+ SNMP ist sehr weit verbreitet und gilt als ein De-Facto-Standard. Dadurch wird es durch fast jedes Produkt im Netz- und Systemtechnikumfeld unterstützt.
+ Das Protokoll kann sehr einfach an zukünftige Bedürfnisse angepaßt werden. Aus diesem Grund und der oben genannten weiten Verbreitung von SNMP kann es als sehr zukunftssicheres Protokoll (Investitionsschutz) bezeichnet werden.
+ Es handelt sich um ein verbindungsloses, einfaches Protokoll auf Transportebene. Damit ist die Performance der Übertragung der SNMP-Pakete im Netz besser als beim verbindungsorientierten CMIP.
- Der Einsatz von SNMP birgt Sicherheitsrisiken, die es u. U. einem Angreifer ermöglichen, weitgehende Informationen über die System- und Netzumgebung zu erhalten. Insbesondere existiert, abgesehen von den Community-Namen (die bei SNMP die Möglichkeit zur Bildung von Gruppen und einen rudimentären Paßwortschutz bieten), kein echter Paßwortschutz beim Zugriff auf die Netzkomponenten.
- - Aufgrund der Einfachheit des Protokolls und der verfügbaren Möglichkeiten weist SNMP Schwächen im Umgang mit sehr großen oder stark expandierenden Netzen auf.
- Die Performance der Version 1 bei aufwendigeren MIB-Abfragen ist ungenügend, da immer der gesamte MIB-Baum angegeben werden muß.

Einer der großen Nachteile der Version 1 des SNMP liegt in der fehlenden Unterstützung einer Authentisierung beim Zugriff auf die überwachten Komponenten. Diese Nachteile gleicht die Version 2 von SNMP zum Teil aus, zusätzlich wurde die Performance bei der Abfrage der MIBs erhöht.

Allerdings gibt es auch in SNMPv2 bezüglich der unterstützten Sicherheit unterschiedliche Varianten. Erst die Versionen SNMPv2* und SNMPv2u bieten die Möglichkeit einer symmetrischen benutzerbasierten Authentisierung, während SNMPv2c weiterhin auf Communities aufbaut. Communities werden in SNMP zum einen genutzt, um die einzelnen Netzkomponenten zu Bereichen zusammenzufassen, und zum anderen als Paßwortersatz beim Zugriff auf diese. Hinzu kommt in SNMPv2* die Möglichkeit der Datenverschlüsselung nach dem Data Encryption Standard im Cipher Block Chaining Modus (DES-CBC). Aufgrund der unterschiedlichen Varianten innerhalb von SNMPv2 ist derzeit die Unsicherheit bei den Herstellern von Netzkomponenten und Netzmanagementsystemen groß, so daß Implementierungen nach SNMPv2 noch nicht flächendeckend anzutreffen und nur eingeschränkt interoperabel sind.

Die unterschiedlichen Ausprägungen von SNMPv2 sollen in der nächsten SNMP-Version (SNMPv3) konsolidiert werden. Die Verabschiedung von SNMPv3 ist zur Zeit in Arbeit, aber noch nicht abgeschlossen.

Aus den oben genannten Gründen kann im Sinne des IT-Grundschutzes bislang nur der Einsatz von SNMPv1 empfohlen werden. Werden weitergehende Anforderungen an die Sicherheit des Netzmanagement-Protokolls bzw. an die Sicherheitsmechanismen des Netzes gestellt, muß entweder SNMPv2u oder SNMPv2* mit benutzerbasierter Authentisierung oder CMIP eingesetzt werden. Prinzipiell läßt sich festhalten, daß Vertraulichkeits- bzw. Authentizitätsaspekte bei den neueren Versionen von SNMP stärker berücksichtigt werden, Bandbreitenverluste dabei jedoch in Kauf zu nehmen sind.

CMIP

CMIP setzt im Gegensatz zu SNMP auf einem implementierten OSI-Protokollstapel (die OSI-Schichten1 bis 3 sind als Protokollstapel implementiert) auf und arbeitet damit auch verbindungsorientiert. Hierdurch wird die Verwendung des CMIP auf Komponenten eingeschränkt, die die notwendigen Hard- und Softwarevoraussetzungen für die Implementation eines vollständigen OSI-Stapels bieten. Aufgrund der hohen Anforderungen, die diese Implementation stellt, wurde auch ein "CMIP Over TCP/IP" (CMOT) definiert (RFC 1189). Hierdurch wird es möglich, CMIP auch in reinen TCP/IP-Netzen zu betreiben.

Eines der Ziele bei der Entwicklung des CMIP war es, ein objektorientiertes Management zu entwickeln. CMIP ist dementsprechend konsequent objektorientiert aufgebaut. Im CMIP übernimmt eine CMIP-Maschine (CMIPM) die Aufgaben, die unter SNMP der Manager durchführt. An diese CMIPM, die wie der SNMP-Manager als Software realisiert ist, werden von den Agenten der zu verwaltenden Objekte Service-Requests zur Einleitung verschiedener Aktionen geschickt und umgekehrt versendet die CMIPM CMIP-Nachrichten an die Agenten der zu verwaltenden Objekte. Die zu verwaltenden Objekte werden nach den Grundsätzen des objektorientierten Ansatzes in mehreren Bäumen verwaltet, die zueinander verschiedene Relationen und Zugriffsarten aufweisen.

Das CMIP ist aufgrund der beschriebenen Objektstruktur sehr leistungsfähiges und komplexe.. Das Protokoll selbst besteht dagegen aus relativ wenigen Operationen, mit denen das gesamte Management auf der Basis der o. g. Objektstruktur ermöglicht wird.

Die wesentlichen Vor- und Nachteile sind:

+ CMIP bietet durch den objektorientierten Ansatz wesentlich mehr Möglichkeiten als SNMP, da z. B. auch Aktionen ausgeführt und Instanzen von Management-Objekten verwaltet werden können.

+ CMIP bietet größere Sicherheit als SNMP, insbesondere durch die Bereitstellung von Mechanismen zum Zugriffsschutz, zur Authentisierung der Benutzer und zum Auditing.

+ CMIP ist ein durch OSI genormtes Protokoll und damit ein offizieller internationaler Standard, während SNMP nur einen De-Facto-Standard auf RFC-Basis darstellt.

+ Die genannten Schwächen von SNMP werden vermieden.

- CMIP ist ein sehr komplexes Protokoll, dessen gesamte Leistungsfähigkeit jedoch nur selten benötigt und genutzt werden kann. Eine entsprechende Konfiguration des Protokolls ist aufgrund der vielen möglichen Einstellungen nur schwer möglich und erfordert ein erhebliches Know-how des Administrators.

- CMIP benötigt ungefähr zehnmal soviel Systemressourcen wie SNMP. Deshalb muß eine leistungsfähige Hardware verwendet werden, die nur in wenigen aktiven Netzkomponenten vorhanden ist. Außerdem ist im allgemeinen eine Implementation des OSI-Protokollstapels notwendig, der zusätzliche Ressourcen verbraucht. Eine Ausnahme bildet hier CMOT.

- Aufgrund der Komplexität des Protokolls und der dementsprechenden Implementationen ist CMIP potentiell fehleranfälliger als SNMP-Implementationen.

- Von CMIP existieren derzeit nur wenig verfügbare Implementationen und es wird in der Praxis, abgesehen vom Telekommunikationsbereich, kaum eingesetzt.

Im konkreten Fall muß detailliert geprüft werden, welches Netzmanagement-Protokoll das für den jeweiligen Verwendungszweck geeignete darstellt. Dazu müssen die Sicherheitsanforderungen an das Netzmanagement formuliert und abgestimmt sein. Wird der TCP/IP-Protokollstapel bereits im lokalen Netz verwendet und sind die Sicherheitsanforderungen gering, bietet sich SNMPv1 als Lösung an. Dennoch können höhere Sicherheitsanforderungen auch hier für den Einsatz von SNMPv2 oder CMIP sprechen. Beim Einsatz von CMIP muß dann erwogen werden, auf welchem Protokollstapel CMIP implementiert werden soll. Entweder auf dem OSI-Stapel (CMIP) oder auf dem TCP/IP-Stapel (CMOT).

Zu Bedenken ist auch, daß CMIP bzw. CMOT derzeit nicht von allen aktiven Netzkomponenten und Netzmanagementsystemen unterstützt wird. Vor dem Einsatz von CMIP ist also sorgfältig zu untersuchen, ob die eingesetzten Komponenten und Clients CMIP-fähig sind.

Ergänzende Kontrollfragen:

© Copyright by Bundesamt für Sicherheit in der Informationstechnik 2000