Bitte mein Projekt bewerten

[Lights@ver]

guten tag auch

also ich sitze grad in meiner firma und denke über mein projekt nach. ich mache die ausbildung zum FiSi.

Kurze Beschreibung:

Herr xy hat bei uns die Aufgabe, unser Netzwerk insbesondere der DMZ (Demilitarisierten Zone) auf Lücken zu überprüfen und uns evtl. Vorschläge zu unterbreiten.

Welche Vor- und Nachteile hätte eine Erhöhung der Netzwerksicherheit zur Folge?

Auftragsumfeld:

EDV - Abteilung eines Rechtsanwälte Rechenzentrums

Zeitplan:

Erstellen des Pflichtenheftes - 3 Stunden

Sammeln von fachlichen Informationen - 5 Stunden

Analyse der bestehenden Netzwerkinfrastruktur - 5 Stunden

Bestandteile der DMZ analysieren und testen - 8 Stunden

Verbesserungsvorschläge auf Realisierbarkeit prüfen - 4 Stunden

eventuelle Verbesserungsmöglichkeiten dem IT - Manager mitteilen - 1 Stunde

Erstellen der Dokumentation - 8 Stunden

ist das ganze vom umfang her genügend?

[BMAS]

Irgendwie klingelt es bei mir nicht, was willst du damit sagen?

Kurze Beschreibung:

Herr xy hat bei uns die Aufgabe, unser Netzwerk insbesondere der DMZ (Demilitarisierten Zone) auf Lücken zu überprüfen und uns evtl. Vorschläge zu unterbreiten.

Welche Vor- und Nachteile hätte eine Erhöhung der Netzwerksicherheit zur Folge?

Auftragsumfeld:

EDV - Abteilung eines Rechtsanwälte Rechenzentrums

Was genau ist der Projektauftrag, was ist deine Rolle dabei? :confused:

[Lights@ver]

ähm?

ich bin Herr xy und hab den auftrag das netzwerk auf sicherheitslücken zu überprüfen und verbesserungsvorschläge zu unterbreiten.

[timmi-bonn]

Originally posted by Lightsaver

ich [...] hab den auftrag das netzwerk auf sicherheitslücken zu überprüfen und verbesserungsvorschläge zu unterbreiten.

Also erstellst Du, mit anderen Worten, ein Testkonzept für Eure bestehende DMZ, ja? Das ist doch eine runde Sache!

Problem dürfte nur werden, daß etliche Schulen wenig Hilfestellung zum Erstellen von Testkonzepten bieten. Denke daran: [Gebetsmühle ON] Du testest auf Fehler - nicht auf "funktioniert"! [Gebetsmühle OFF]. Und dazu erstellst Du eine Testmatrix, gegen die Du dann testest. Am einfachsten ist es, diese Testmatrix anhand des Fachkonzeptes (Pflichtenheft) der DMZ zu erstellen.

gruß, timmi

[Lights@ver]

ohje...bahnhof

[Bako]

Hast Du im Vorwege mit Deiner Firma abgeklärt, ob das überhaupt als Projekt möglich ist, denn Du müsstest wohl einige sicherheitsrelevante Informationen in Deiner Projektdoku/-präsentation preisgeben und da dürfte Deine Firma etwas dagegen haben, wenn Du z.B. preisgibst, was für Sicherheitssysteme ihr habt oder wo ihr Schwachstellen habt etc... ?

Nicht, dass Dein Betrieb Dir die Hälfte der Doku "schwärzt", weil das niemand außerhalb der Firma (Prüfungssausschuss, wo ja u.U. auch die Konkurrenz sitzen kann) wissen soll/darf ...

[Lights@ver]

naja der betrieb hat mir das ja vorgeschlagen...werd einfach mal nachfragen!

[Lights@ver]

huhu

hab gestern nen brief von der IHK bekommen...mein projekt wurde so wie es da oben steht angenommen.

hatte eigentlich mit einer ablehnung oder so gerechnet.

und nun hab ich das problem das ich keinen blassen schimmer hab wo ich ansetzen soll.

[timmi-bonn]

Originally posted by Lightsaver

[...] und nun hab ich das problem das ich keinen blassen schimmer hab wo ich ansetzen soll.

Verstehe ich das jetzt richtig? Die Dich ausbildenede Firma hat Dir ein Projekt auf's Auge gedrückt ohne es mit Dir abzusprechen. Sie hat auch nicht geprüft, ob diese Aufgabe mit Deinen daselbst erlernten Fachwissen überhaupt zu lösen ist. - Und jetzt läßt sie Dich in der Luft hängen. Du weißt aber nicht einmal, wo Du ansetzen sollst?

Das kann ich SO kaum glauben!

gruß, timmi

[Lights@ver]

das stimmt auch SO nicht ganz

hab mir nun schon nen kleinen projektablaufplan erarbeitet wo ich die ganzen schritte mal mal aufgeschlüsselt hab.

nach diesem würde ich also damit anfangen mir alle möglichen infos zum thema DMZ einzuholen.

hab nur noch keinen plan wie ich das mit dem testen und analysieren der DMZ so richtig anstellen soll. bin kein hacker

[Lights@ver]

hallo?

hat nich jemand lust noch seine meinung dazu zu sagen? ...würde mir echt weiterhelfen.

[timmi-bonn]

Originally posted by Lights@ver

[...]

hab nur noch keinen plan wie ich das mit dem testen und analysieren der DMZ so richtig anstellen soll. bin kein hacker

Sorry, wenn ich das so direkt formuliere: Dann hast Du das falsche Projekt gewählt.

gruß, timmi

[sheep]

Originally posted by Lights@ver

nach diesem würde ich also damit anfangen mir alle möglichen infos zum thema DMZ einzuholen.

Dein Projekt ist eine DMZ zu analysieren. Warum holst du dir erst jetzt Informationen zu der Thematik ein ? Ich meine, wie willst du etwas analysieren, von dem du bisher noch keine Fachkentnisse hast ?

hab nur noch keinen plan wie ich das mit dem testen und analysieren der DMZ so richtig anstellen soll. bin kein hacker

Ich will mich hier nicht wiederholen. Da muss ich timmi-bonn zustimmen.

[M.A.Knapp]

Du mußt mal die potentiellen Problemquellen in der DMZ finden und analysieren, dann kannst du dir mal überlegen wie man diese Probleme isolieren und gegebenfalls auch lösen oder umgehen kann.

[tilolevante]

Hallo xy,

ich würde sage, da hast du dir ein Problem eingehandelt!

Es ist aber lösbar. Ein paar Gedanken dazu:

Zielgruppe der Prüfer:

Oft werden die Arbeiten von den Prüfern ausgesucht. Also rechne damit,

dass du Prüfer hast, die das Thema kennen!

Mir als Prüfer würde das Thema gut passen! Also sag ich dir mal meine Erwartungen.

TCP/IP sollte die gut bekannt sein (d.h. Fragen zu IP-Adressen, Netzwerkmaske,

Routing, Port, UDP, TCP, ARP, MAC, DHCP, DNS usw sollten klar sein.)

Dann solltest du den Aufbau eurer DMZ kennen:

Vermutlich etwa so

Internet -- Firewall ---+---- Firewall -- Internes Netz

DMZ------------------+

(ggf. Tunnel, RAS, Modem, ISDN, IPv6, IPsec klären)

Wenn du das hast, dann solltest du dich mit 'Hacker' Lektüre befassen

z.B.: hat mir sehr gut das buch 'Hacking Linux Exposed' ISBN: 0072127732

gefallen. Bei Amazon findest du ausreichend Auswahl.

Bevor du Irgendwas praktisch tust musst du unbedingt die schriftliche Einwilligung des Betriebes haben. Es besteht immer das Risiko, dass durch einen Hackversuch das Netzwerk lahm gelegt wird! (Erinnere dich an den Ping of Death.).

Nach der Lektüre eines 'Hacker' Buchs hast du mehr Grundlagen.

Ab hier gibt es zwei excellente Stellen im Internet:

www.cert.org und das BSI (www.bsi.de)

Beide haben Anleitungen, was man bei Sicherheit alles beachten sollte.

Wenn du diese Regeln (zumindest teilweise) prüfst bist du in einer Prüfung (nach meiner Meinung) weit im Grünen und ein 1-er Kandidat.

Grüsse

tilo

[Crush]

Gabs für Intranet-Security nicht irgendwo eine spezielle Expertenausbildung? Ich habe das Gefühl, die Thematik weicht etwas vom FISI-Lehrstoff ab. Ein Projekt zu wählen, vor dem man mit seinem eigenen Wissenstand dasteht wie vorm Teilchenbeschleuniger scheint mir nicht das ideale Abschlußprojekt zu sein.

[Lights@ver]

Originally posted by tilolevante

Hallo xy,

ich würde sage, da hast du dir ein Problem eingehandelt!

Es ist aber lösbar. Ein paar Gedanken dazu:

Zielgruppe der Prüfer:

Oft werden die Arbeiten von den Prüfern ausgesucht. Also rechne damit,

dass du Prüfer hast, die das Thema kennen!

Mir als Prüfer würde das Thema gut passen! Also sag ich dir mal meine Erwartungen.

TCP/IP sollte die gut bekannt sein (d.h. Fragen zu IP-Adressen, Netzwerkmaske,

Routing, Port, UDP, TCP, ARP, MAC, DHCP, DNS usw sollten klar sein.)

Dann solltest du den Aufbau eurer DMZ kennen:

Vermutlich etwa so

Internet -- Firewall ---+---- Firewall -- Internes Netz

DMZ------------------+

(ggf. Tunnel, RAS, Modem, ISDN, IPv6, IPsec klären)

Wenn du das hast, dann solltest du dich mit 'Hacker' Lektüre befassen

z.B.: hat mir sehr gut das buch 'Hacking Linux Exposed' ISBN: 0072127732

gefallen. Bei Amazon findest du ausreichend Auswahl.

Bevor du Irgendwas praktisch tust musst du unbedingt die schriftliche Einwilligung des Betriebes haben. Es besteht immer das Risiko, dass durch einen Hackversuch das Netzwerk lahm gelegt wird! (Erinnere dich an den Ping of Death.).

Nach der Lektüre eines 'Hacker' Buchs hast du mehr Grundlagen.

Ab hier gibt es zwei excellente Stellen im Internet:

www.cert.org und das BSI (www.bsi.de)

Beide haben Anleitungen, was man bei Sicherheit alles beachten sollte.

Wenn du diese Regeln (zumindest teilweise) prüfst bist du in einer Prüfung (nach meiner Meinung) weit im Grünen und ein 1-er Kandidat.

Grüsse

tilo

vielen dank, genau sowas hab ich an hilfe gebraucht.

das thema umfasst ja auch andere aspekte von sicherheit...z.b. werde ich auch prüfen wie es mit USV, Ausfallsicherheit usw. aussieht.

[timmi-bonn]

Originally posted by Lights@ver

vielen dank, genau sowas hab ich an hilfe gebraucht.

das thema umfasst ja auch andere aspekte von sicherheit...z.b. werde ich auch prüfen wie es mit USV, Ausfallsicherheit usw. aussieht.

Leider wird nix darüber ausgesagt, wieso überhaupt eine DMZ nötig ist - und eine "einfache" Firewall nicht ausreicht. Diese Frage solltest Du unbedingt beantworten!

gruß, timmi