Datensicherheit beim Bilden von Front-End-Poolpaaren in Lync Server 2013

 

Letzte Änderung: 07.10.2014

Der Sicherungsdienst ist ein in Lync Server 2013 eingeführter Datenreplikationsmechanismus, der Benutzerdaten und Konferenzinhalte kontinuierlich für Notfallwiederherstellungszwecke zwischen zwei gekoppelten Front-End-Pools über zwei Rechenzentren hinweg überträgt. Die Benutzerdaten enthalten BENUTZER-SIP-URIs sowie Kontaktlisten und Einstellungen. Konferenzinhalte umfassen Microsoft PowerPoint 2010 Uploads sowie Whiteboards, die in Konferenzen verwendet werden. Aus dem Quellpool werden Benutzerdaten und Konferenzinhalte aus dem lokalen Speicher exportiert, gezippt, in den Zielpool übertragen, wo sie entzippt und in den lokalen Speicher importiert werden. Der Sicherungsdienst geht davon aus, dass die Kommunikationsverbindung zwischen den beiden Rechenzentren innerhalb des Unternehmensnetzwerks besteht, das vor dem Internet geschützt ist. Die übertragenen Daten zwischen den beiden Rechenzentren werden weder verschlüsselt noch nativ in einem sicheren Protokoll wie HTTPS gekapselt. Daher ist ein Man-in-the-Middle-Angriff von internem Personal innerhalb des Unternehmensnetzwerks möglich.

Bewerten von Sicherheitsrisiken

Jedes Unternehmen, das Lync Server 2013 in mehreren Rechenzentren bereitstellt und das Feature für die Notfallwiederherstellung verwendet, muss sicherstellen, dass der datenverkehrsübergreifende Datenverkehr im Rechenzentrum durch das Unternehmensintranet geschützt ist. Unternehmen, die sich um internen Angriffsschutz kümmern, müssen die Kommunikationsverbindungen zwischen den Rechenzentren sichern.

Die Annahme, dass Rechenzentren eines Unternehmens hinter dem Unternehmensintranet geschützt sind, ist Standard. Es gibt viele andere Typen vertraulicher Unternehmensdaten, die zwischen diesen Rechenzentren übertragen werden. Die IT-Infrastruktur des Unternehmens ist mit einem schwerwiegenden Risiko verbunden, wenn diese rechenzentrumsübergreifenden Links nicht geschützt sind.

Das Risiko von Man-in-the-Middle-Angriffen innerhalb des Unternehmensnetzwerks besteht zwar, doch ist es im Vergleich zur Gefährdung des Datenverkehrs im Internet relativ begrenzt. Insbesondere sind die vom Sicherungsdienst verfügbar gemachten Benutzerdaten (z. B. SIP-URIs) allgemein für alle Mitarbeiter im Unternehmen über andere Mittel wie das globale Adressbuch von Exchange oder andere Verzeichnissoftware verfügbar. Daher sollte der Fokus auf der Sicherung des WAN zwischen den beiden Rechenzentren liegen, wenn der Sicherungsdienst zum Kopieren von Daten zwischen den beiden gekoppelten Pools verwendet wird.

Minderung von Sicherheitsrisiken

Es gibt viele Möglichkeiten, den Sicherheitsschutz für den Backup Service-Datenverkehr zu verbessern, von der Einschränkung des Zugriffs auf die Rechenzentren bis hin zur Sicherung des WAN-Transports zwischen den beiden Rechenzentren. In den meisten Fällen verfügen Unternehmen, die Lync Server 2013 bereitstellen, möglicherweise bereits über die erforderliche Sicherheitsinfrastruktur. Für Unternehmen, die nach Anleitungen suchen, stellt Microsoft eine Lösung als Beispiel für den Aufbau einer sicheren IT-Infrastruktur bereit. Dies bedeutet jedoch nicht, dass es die einzige Lösung ist, noch impliziert es, dass es sich um die bevorzugte Lösung für Lync Server handelt. Es wird empfohlen, dass Unternehmenskunden die Lösung basierend auf ihrer IT-Sicherheitsinfrastruktur und ihren Anforderungen für ihre spezifischen Anforderungen auswählen. In der Beispiellösung von Microsoft werden IPSec und Gruppenrichtlinie für die Server- und Domänenisolation verwendet. Ausführliche Informationen finden Sie unter https://go.microsoft.com/fwlink/p/?LinkId=268544. Für Fragen und Kommentare wenden Sie sich an secwish@microsoft.com.

Eine weitere mögliche Lösung besteht in der Verwendung von IPSec ausschließlich zur Sicherung der vom Sicherungsdienst selbst gesendeten Daten. Wenn Sie sich für diese Methode entscheiden, konfigurieren Sie die IPSec-Regeln für das SMB-Protokoll auf den folgenden Servern, wenn Pool A und Pool B zwei verbundene Front-End-Pools sind.

  • Der SMB-Dienst (TCP/445) von jedem Front-End-Server in Pool A an den von Pool B verwendeten Dateispeicher.

  • Der SMB-Dienst (TCP/445) von jedem Front-End-Server in Pool B an den von Pool A verwendeten Dateispeicher.

Warnung

IPsec ist nicht als Ersatz für Sicherheit auf Anwendungsebene wie etwa SSL/TLS gedacht. Ein Vorteil der Verwendung von IPsec liegt darin, dass es Sicherheit für Netzwerkdatenverkehr für vorhandene Apps bereitstellen kann, ohne dass diese geändert werden müssen. Unternehmen, die einfach nur den Transport zwischen den beiden Rechenzentren schützen möchten, sollten sich bei den Herstellern der jeweiligen Netzwerkhardware erkundigen, wie sie mit den betreffenden Geräten sichere WAN-Verbindungen einrichten können.