Wahlstory A10 CPKompetenzstufe IIIBrückenstufe 4

Der Hersteller der Röntgenanlage will von außen auf seine Anlage. Die IT-Leitung HLG will das erlauben, aber nur so, dass sie jede Minute erklären kann.

Wahlphase · Wahlstory ABrückenstufe 4

Eure Story: Ihr öffnet dem Hersteller der Röntgenanlage einen Fernzugang, den die IT-Leitung jede Minute erklären kann.

Eure Storycard für die Wahlphase. Haltet AB 1 bis 7 auf eurem Board fest und lasst sie im Planning von der IT-Leitung bestätigen.

Hier liest du den Folgeauftrag, planst mit deinem Team und setzt ihn um. Es gibt keine Lernangebote und keine Musterlösung.

0 von 7 AB abgehakt AB-Liste öffnen

Der wichtigste Satz auf dieser Seite: Richtet für den Hersteller der Röntgenanlage einen Fernzugang ein, der nur im vereinbarten Zeitfenster offen ist, jede Sitzung protokolliert und keinen Weg ins übrige Netz von HLG öffnet.

Die Lage

In der Halle des Hubs durchleuchtet eine Röntgenanlage die Frachtstücke. Der Hersteller wartet sie per Fernzugriff: Software einspielen, Fehlerspeicher lesen, Kalibrierung prüfen. Bisher kam ein Techniker vor Ort, das dauert Tage. In Teil 4 hat der Hersteller schon einmal einen dauerhaften Zugang verlangt, die IT-Leitung hat abgelehnt.

Jetzt gibt es einen Kompromiss: Zugang ja, aber nur in festen Wartungsfenstern in der Nacht, wenn keine Fracht durchläuft, nur zur Anlage selbst und so, dass HLG später nachweisen kann, wer wann was getan hat. Luftfracht unterliegt Sicherheitsvorgaben, ein ungeklärter Zugang würde den Betrieb gefährden.

Anforderungen der IT-Leitung HLG

Nr. Anforderung Wert
A1 Wartungsfenster dienstags und donnerstags 1:00 bis 3:00 Uhr: 2 Fenster zu 2 h ergeben 4 h je Woche, 4 h · 52 = 208 h im Jahr, rund 2,4 % des Jahres (208 / 8.760); in den übrigen 97,6 % ist der Zugang zu
A2 Erreichbares Ziel genau eine Adresse, die Röntgenanlage, und nur die Dienste, die der Hersteller nennt
A3 Anmeldung persönlich je Techniker, zweiter Faktor, kein geteiltes Konto
A4 Protokoll Beginn, Ende, Person, Ziel und übertragene Datenmenge je Sitzung; 90 Tage aufbewahrt
A5 Freischaltung die Schichtleitung Halle bestätigt jede Sitzung vor Beginn
A6 Datenmenge ein Softwarestand rund 4 GB; bei 20 Mbit/s für die Fernwartung sind das 4 · 8.000 Mbit / 20 Mbit/s = 1.600 s, rund 27 min, passt in ein Fenster
A7 Grundlage baut auf eurem VPN aus Teil 6 und eurem Zonenmodell aus Teil 4 auf

Alle Zahlen sind Unterrichtswerte. Wo gerechnet wurde, steht der Rechenweg dabei; prüft ihn trotzdem nach.

Hersteller erreicht über die Firewall nur die Röntgenanlage, das übrige Netz bleibt fragend abgesetzt, jede Sitzung wird protokolliertHerstellerServicetechnikerFirewall203.0.113.2Röntgenanlagenur sienur im Fensterübriges Netz?Protokollwer, wann, wasZugang von außen: nur ein Ziel, nur ein Zeitfenster, jede Sitzung protokolliert
Der Hersteller erreicht über die Firewall des Hubs nur die Röntgenanlage, das übrige Netz ist abgesetzt und mit einem Fragezeichen markiert, daneben das Protokoll mit wer, wann, was. Keine Lösung, nur die Anforderung. Eigene Darstellung für den Unterricht.
Fertig seid ihr, wenn … (AB 1 bis 7)
  • Der Zugang ist außerhalb des Fensters nachweislich zu: ein Verbindungsversuch um 3:05 Uhr scheitert und steht im Protokoll.
  • Im Fenster erreicht der Hersteller die Röntgenanlage, ein Versuch auf eine andere Adresse im Hub scheitert und steht im Protokoll.
  • Jeder Techniker meldet sich persönlich mit zweitem Faktor an; ein entzogener Zugang wirkt sofort.
  • Die Filtertabelle aus Teil 4 ist um die Regeln für die Fernwartung ergänzt, jede neue Regel hat einen Grund.
  • Das Protokoll einer Testsitzung liegt vor und beantwortet: wer, wann, wie lange, wohin, wie viel.
  • Die Betriebsdokumentation sagt, wie die Schichtleitung eine Sitzung freigibt und wie Querwind den Zugang im Notfall sperrt.
  • Die IT-Leitung HLG hat die Lösung nach Rückfragen abgenommen.

Die Haken gelten für den ganzen Teil: Ihr seht den Stand in der Leiste oben auf jeder Seite. Gespeichert wird im Browser dieses Geräts.

Euer Board · AB 1 bis 7

Jede Akzeptanzbedingung eurer Storycard ist hier eine Karte. Schiebt sie mit den Pfeilen weiter: offen, in Arbeit, Review, fertig. Höchstens drei Karten gleichzeitig in „In Arbeit“: lieber eine Karte fertig machen als viele anfangen. „Fertig“ setzt den Haken in der AB-Liste, so seht ihr den Stand auch oben in der Leiste jeder Seite. Gespeichert wird im Browser dieses Geräts, am besten öffnet ihr das Board am Teamrechner.

Das Board lädt. Ohne JavaScript nutzt ihr die Rückseite der Storycard.

Stolperfallen

Keine Lösungen, nur Fragen. Wer sie vor der Abnahme beantworten kann, wird bei den Rückfragen nicht überrascht.

  • Steht die Röntgenanlage heute im selben Netz wie die Server? Was kann ein Techniker, der die Anlage erreicht, von dort aus noch erreichen?
  • Was passiert mit einer Sitzung, die um 2:55 Uhr beginnt und um 3:20 Uhr noch läuft?
  • Wer im Hub merkt, wenn der Zugang des Herstellers selbst kompromittiert ist?
  • Ist das Protokoll vor dem geschützt, der protokolliert wird?
  • Fernzugang für eine Person oder Standortkopplung zum Hersteller: Welche Variante aus Teil 6 passt, und was hieße die andere?
  • Wem gehört die Uhr, nach der das Fenster öffnet, und was ist, wenn sie falsch geht?
Laborvorschlag

OPNsense in einer VM als Firewall mit zeitgesteuerten Regeln, WireGuard oder OpenVPN für den Fernzugang, eine zweite VM oder ein Raspberry Pi als Röntgenanlage, ein dritter Host als „übriges Netz“. Protokoll über das Systemprotokoll der Firewall.

Ein Weg zur Abnahme steht im Kompetenzmodell der Wahlphase: Wissensspeicher-Blatt und Kompetenzmodell. Am Stand der Technikmesse zeigt ihr das Ergebnis.

ZurückWeiter