Schwachstellenscandienst
HITS IS betreibt einen dem Stand der Technik entsprechenden Schwachstellenscandienst, der am LRZ von Beschäftigten des HITS IS betrieben wird. Mit dem Dienst können Systeme in den öffentlich zugänglichen Netzen teilnehmender Hochschulen auf Schwachstellen überprüft werden. HITS IS hilft bei der Planung der Schwachstellenscans, führt diese durch und versendet Berichte über die festgestellten Schwachstellen an die Hochschulen. Mit regelmäßigen Scanergebnissen können die Hochschulen die erfolgreiche Behebung vorhandener Sicherheitsdefizite sicherstellen und auf neu auftretende Gefahren prüfen.
Für die Scans wird derzeit folgende Software eingesetzt (Änderungen vorbehalten):
- Nessus Expert (Tenable)
- Greenbone Enterprise und Community Edition
- Nmap
- shodan.io
Leistungsumfang
- Durchführen von Schwachstellenscans
- Erstellen von Berichten (Bewertung der Kritikalität und Scan-Ergebnisse mit Handlungsanweisungen) innerhalb von 2 Wochen
Leistungsspezifika / Service Parameter
Die Scans werden nach Absprache in definierten Zeitfenstern durchgeführt. Wartungen finden in geplanten Wartungsfenstern statt, diese sind derzeit Di., 7:30 – 9:00 Uhr und Do., 7:30 – 9:00 Uhr.
Das HITS IS verwendet für die Scans eine eigene technische Infrastruktur am LRZ und berät bzgl. der zu scannenden Systeme, Schwachstellen, Scanfrequenz und Scanzeitpunkt.
Scan Option 1:
- Regelmäßige Durchführung von Scans der öffentlich erreichbaren Systeme
- max. 1x pro Monat
Ab Bestellung des Service dauert es 3 Wochen, bis der Service vom Kunden genutzt werden kann.
Scan Option 2:
- Durchführung von ad-hoc Scans der öffentlich erreichbaren Systeme
- max. 2x im Jahr pro Hochschule
Voraussetzungen
- Pflege und Bekanntgabe der zu überprüfenden IP-Adressbereiche (Definition von Ausnahmen, Zeitfenster für Scans, etc.)
- Meldung an das HITS IS bei Änderungen an der Hochschulnetzinfrastruktur
- Interne Kommunikation geplanter Scans und festgestellter Schwachstellen innerhalb der Hochschule
- Angabe eines Berichtsempfängers (bevorzugt Funktionsmailadresse) für den erstellten Bericht
- Möglichkeit des Empfangs verschlüsselter E-Mails (S/MIME, OpenPGP) durch den Berichtsempfänger und/oder Abruf aus einem gesicherten Onlinespeicher
- Bewertung der Schwachstellen gemäß internen Richtlinien
- Behebung der Schwachstellen, bzw. aktive Bearbeitung des eingegangenen Berichts
Nutzer / Kunden
Dieser Dienst wird den folgenden Nutzerklassen zur Verfügung gestellt.
| Nutzerklasse | Bemerkung |
|---|---|
| (1), (2) | nur für Mitglieder im Digitalverbund Bayern |
| (3), (4), (5), (6) | nicht verfügbar für diese Kunden |
Der Dienst kann von CIO, CISO, ISB oder RZ-Leitung der Hochschulen im Digitalverbund via E-Mail an informationssicherheit@remove-this.digitalverbund.bayern angefordert werden.