<style> .reveal .slides { background: url(https://hedgedoc.xinux.net/uploads/xinux-weiss.png) no-repeat; background-position: right 10px bottom 10px; background-size: 80px; } .reveal ul li { font-size: 28px !important; line-height: 1.3 !important; margin-bottom: 10px !important; } .reveal .slides section { text-align: left; padding: 20px 40px !important; } </style> ## Sicherheits- und Betriebsrichtlinien IPv6 erfordert angepasste organisatorische Sicherheits- und Betriebsprozesse. --- ## Ziel der Reihe - Aufbau einer **IPv6-Sicherheitsrichtlinie** - Definition klarer **Betriebs- und Freigabeprozesse** - Sicherstellung von **Auditfähigkeit und Nachvollziehbarkeit** --- ## Warum neue Richtlinien nötig sind - IPv6 bringt neue Mechanismen (RA, ND, DHCPv6) - Alte IPv4-Prozesse decken IPv6-Risiken oft nicht ab - Sicherheitsrichtlinien müssen **protokollspezifisch erweitert** werden - **"Security by Obscurity" fällt weg – der gesamte Adressraum ist scannbar.** <!-- ERGÄNZUNG --> --- ## Kritische IPv6-spezifische Risiken <!-- NEUE FOLIE --> - **Rogue Router Advertisements:** Nicht autorisierte Router vergiften den Neighbor Cache. - **Address Spoofing:** Missbrauch der automatischen Adressvergabe. - **Vergessene Tunnel:** Ungesicherte Tunnelverbindungen als Hintertür ins Netz. - **Dual-Stack Policy Gaps:** Unterschiedliche Filterregeln für IPv4 und IPv6. - **Privacy Extensions:** Erschwerte Forensik durch wechselnde Adressen. --- ## Inhalte einer IPv6-Sicherheitsrichtlinie - Umgang mit automatischer Adressvergabe (SLAAC, DHCPv6) - Kontrolle von Router Advertisements - ICMPv6-Freigaben für Netzfunktion - Verbot nicht genehmigter Tunnelmechanismen (z. B. Teredo) - Logging- und Auditvorgaben - **Richtlinie für Privacy Extensions (eingeschränkt/erlaubt/verboten).** <!-- ERGÄNZUNG --> --- ## Betriebsrichtlinien - Einheitliche Betriebsverfahren für IPv6-Systeme - Regelmäßige Kontrolle von ND-/RA-Quellen - Änderungsmanagement bei Netz- und Firewall-Regeln - Standardisierte Betriebshandbücher je Standort - **RA-Guard und DHCPv6-Shield auf Switch-Ebene als Standard.** <!-- ERGÄNZUNG --> --- ## Freigabe- und Prüfprozesse - Jedes neue IPv6-Netz oder Gerät benötigt Freigabe - Technische Prüfung durch Security-Team - Dokumentation der Freigabe mit Zeitstempel und Verantwortlichem - Regelmäßige Überprüfung der Wirksamkeit - **Checkliste für IPv6-Freigaben (z.B.: RA-Guard aktiv? Monitoring eingerichtet?)** <!-- ERGÄNZUNG --> --- ## Sicherheitsüberwachung - IPv6 muss im **Monitoring** und **Logmanagement** enthalten sein - Verantwortliche für Logreview und Alarmbewertung benennen - Review-Intervalle definieren (wöchentlich, monatlich, quartalsweise) - Abweichungen dokumentieren und bewerten - **Automatische Alerting-Regeln für verdächtige RA-/NDP-Aktivitäten.** <!-- ERGÄNZUNG --> --- ## Verbindung zu ISMS und BSI-Grundschutz - IPv6-Themen in bestehende Sicherheitskonzepte aufnehmen - Ergänzende Gefährdungsanalysen durchführen - Umsetzungskontrolle über Sicherheitsbeauftragte - Richtlinienpflege im ISMS-Tool oder Wiki - **Conformity Checks: Regelmäßige Abgleichung des Soll-Zustands (Richtlinie) mit dem Ist-Zustand (Konfiguration).** <!-- ERGÄNZUNG --> --- ## Notfall- und Patchmanagement - IPv6-relevante Systeme in Notfallpläne integrieren - Testfälle für IPv6-Kommunikation in Wiederanlaufplänen - Patchmanagement erweitert auf IPv6-Komponenten - Verantwortlichkeiten und Eskalationswege dokumentieren - **Notfall-Script: Gezieltes temporäres Abschalten von IPv6 im Krisenfall.** <!-- ERGÄNZUNG --> --- ## Fazit IPv6-Sicherheit ist **organisatorisch steuerbar**, nicht nur technisch. Klare Richtlinien, Freigabeprozesse und Überwachung sind entscheidend für Stabilität, Compliance und langfristige Betriebssicherheit. **Eine IPv6-Sicherheitsrichtlinie ist kein optionales Add-On, sondern die Grundvoraussetzung für einen sicheren Betrieb.** <!-- ERGÄNZUNG -->