Zusammenfassung

  • Ein Teilnehmer von APNIC 62 sagte, viele Tochtergesellschaften könnten kommerzielle Sicherheitslösungen nicht finanzieren und schätzten die offenen Werkzeuge des Workshops.
  • APNIC bietet außerdem Kurse, kostenlose technische Hilfe für Mitglieder und DASH-Monitoring für Mitglieder.

Ein Sicherheitstool kann seinen ersten Wettkampf verlieren, bevor es ein einziges Paket gesehen hat: die Budgetrunde. Im Bericht von APNIC über den Network Security Workshop bei APNIC 62 sagte ein Teilnehmer, viele Tochtergesellschaften seiner Organisation könnten kommerzielle Sicherheitslösungen nicht bezahlen. Die offenen Werkzeuge des Workshops seien deshalb wertvoll, weil sich damit trotz dieser Grenze Sicherheitskompetenz aufbauen lasse.

Das verschiebt die Frage. Statt „Welches Produkt kaufen wir?“ geht es zunächst darum, was mit den vorhandenen Mitteln tatsächlich betrieben werden kann. Ein Lizenzangebot kann die Diskussion beenden, bevor jemand den ersten Test startet. Ein Labor lässt Techniker Verkehr untersuchen, eine Schutzmaßnahme ausprobieren und herausfinden, was nach einem Alarm zu tun ist.

APNICs Bericht vom Oktober nennt ein breites Programm: Kryptografie, Infrastruktursicherheit, DDoS-Abwehr, Paketanalysen, Angriffserkennung, BGP-Betriebssicherheit, DNS, RPKI und IPsec. Sheryl Hermoso und der lokal zertifizierte Trainer Sourav Satpathy leiteten den Workshop. In der Vorankündigung nannte APNIC Suricata für die Angriffserkennung. Der Rückblick spricht von Open-Source-Werkzeugen, zählt sie aber nicht auf. Wer das Labor wiederholen will, kann mit einer Werkzeugliste mehr anfangen als mit einem weiteren Foto aus dem Raum.

Open Source verändert eine Zeile des Budgets, nicht das ganze Kassenbuch. Auch ein lizenzfreies Werkzeug muss installiert, abgestimmt, gewartet und im Alarmfall bedient werden. Dafür braucht es Menschen, die seine Ausgaben lesen und Folgen ziehen können. Die Software ist nur ein Teil der Rechnung. Fachkundige Zeit fällt immer wieder an – genau die Fähigkeit, die ein guter Workshop aufbauen kann.

APNICs öffentliche Sicherheitsangebote reichen über den Unterricht hinaus. APNIC Academy führt Kurse und Workshops durch und bietet Online-Lernen sowie virtuelle Labore. APNIC unterstützt Mitglieder außerdem kostenlos mit individueller technischer Beratung, unter anderem zu Infrastruktur- und Routing-Sicherheit, RPKI und DNSSEC. DASH zeigt Mitgliedern den Routingstatus, verdächtigen Verkehr, mögliche Schwachstellen, Bogons und den MANRS-Bereitschaftsstand.

Das sind drei verschiedene Hebel: eine Methode lernen, einen Fachmann fragen, ein Netz beobachten. Sie haben unterschiedliche Zugangsvoraussetzungen. APNIC weist technische Hilfe und DASH ausdrücklich als Mitgliederangebote aus. Wer einen Sicherheitsplan erstellt, muss prüfen, welche Angebote die eigene Organisation tatsächlich nutzen kann. Der Standort im APNIC-Gebiet ersetzt keine Mitgliedschaft.

APNIC zufolge nahmen insgesamt 55 Personen an den beiden Academy-Workshops teil. Der Bericht enthält eine Stimme zur Erschwinglichkeit offener Werkzeuge und eine weitere zu Plänen, Sicherheitspraktiken bei staatlichen Netzbetreibern zu verbreiten und nationale Schulungen anzustoßen. Das zeigt, was Teilnehmer an der Schulung schätzen und wohin sie das Gelernte tragen möchten. Die 55 sind die Gesamtzahl beider Workshops, nicht die Teilnehmerzahl des Sicherheitskurses. Eine Werkzeugliste oder Zahl späterer Installationen veröffentlicht APNIC in diesem Rückblick nicht.

Für Betreiber ist die Werkstatt ein Zugang zu einem nutzbaren Unterstützungsnetz, kein fertiges Netz. Sie sollten klären, welche Werkzeuge tatsächlich eingesetzt wurden, wer sie pflegt und ob die Organisation technische Hilfe oder DASH nutzen kann. Open Source senkt die Lizenzhürde. Durch die Tür muss trotzdem jemand gehen.

APNIC könnte den Weg leichter prüfbar machen: mit einer Werkzeugliste, den Laborunterlagen und einer klaren Kontaktstelle für die nächsten Schritte. Ein regionales Sicherheitsprogramm wird greifbar, wenn Techniker wissen, was sie installieren, wo sie Hilfe bekommen und welcher Dienst das Netz anschließend beobachtet. Die Einkaufsabteilung darf weiter Nein sagen. Der nächste Schritt muss nicht gleich mit verschwinden.

Quellen: APNICs Bericht zu APNIC 62, die offizielle Academy-Trainingsseite, die im Juli veröffentlichte Kursbeschreibung, Sicherheit bei APNIC, Über APNIC Academy und die Open-Source-Seite von Suricata der Open Information Security Foundation.