Die Segeberger Kliniken benutzen ein System der ISL GmbH zum Aufbau eines aktiven Schutzschildes gegen fremde Geräte

Der "ARP-Guard" überwacht selbsttätig das Netzwerk nach Geräten

(31.08.11) - In den modernen Häusern der Segeberger Kliniken findet die kabellose Visite bereits mittels Tablet-PC und WLAN-Anbindung statt. Insgesamt verrichten rund 920 PCs, mehr als 100 medizinische Geräte und über 330 Drucker ihren Dienst. Ebenso werkeln dort 52 Datenverteiler, die mehr als 3.200 mögliche Datenanschlüsse gewährleisten. Zudem ist in den einzelnen Gebäuden ein controllerbasiertes WLAN mit mehr als 400 Access Points für die Patientenvisite implementiert. "Angesichts der gesetzlichen Vorschriften und aus Gründen der Patientensicherheit müssen das medizinische und das allgemeine IT-Netz strikt voneinander getrennt arbeiten", erklärt Andreas Griese, IT-Leiter der Segeberger Kliniken GmbH. Das bedeutet: Es ist ausgeschlossen, dass ein medizinisches Gerät im allgemeinen Netz betrieben wird und umgekehrt - auch nicht versehentlich. "Die erfassten Patientendaten sind für uns das höchste Gut. Es muss von vornherein kategorisch ausgeschlossen sein, dass unberechtigte Personen Zugriff auf diese Daten haben", führt Griese weiter aus.

Deshalb hat sich das Klinikum für den "ARP-Guard" der ISL GmbH entschieden, ein System zum Aufbau eines aktiven Schutzschildes gegen fremde Geräte und interne Angriffe. Damit schließen Unternehmen eine Sicherheitslücke, die übliche Methoden wie Firewalls, Virenschutz oder Intrusion Detection-Systeme nicht in den Griff bekommen.

Der ARP-Guard überwacht selbsttätig das Netzwerk nach Geräten, indem er mit den darin enthaltenen Routern und Switches kommuniziert. Gegenüber den bisherigen Schutzsystemen bringt dies gleich drei Vorteile mit sich:

1. Der ARP-Guard kommuniziert mit sämtlicher gängiger Hardware und verschafft so dem Administrator einen schnellen Überblick über alle angeschlossenen Geräte - das ISL-System erkennt alle Geräte, dem Admin entgeht nichts.

2. Während die für den Netzwerkschutz genutzten herkömmlichen Bestandslisten meist veraltet sind, kann der Systemverwalter mit ARP-Guard stets auf die aktuellen Daten zugreifen.

3. Die übliche, sehr aufwendige Vorgehensweise, bei der das IT-Personal händisch einzelne Geräte an bestimmten Ports zulässt, entfällt; dies erledigt nun ARP-Guard automatisch für den Administrator.

Umfangreiche Funktionalität im VLAN

Eine weitere Besonderheit des Netzwerkwächters sind dessen Funktionalitäten im Virtual Local Area Network (VLAN). Dieses virtualisierte Netz ist ein logisches Teilnetz innerhalb eines Switches oder eines kompletten physischen Netzwerks. Das heißt: Ein physisches Netzwerk wird in mehrere kleine Netzwerke aufgeteilt; es kann sich über einen oder mehrere Switche hinweg ausdehnen. Mittels VLAN lässt sich nun ein "echter" Switch beispielsweise in fünf virtuelle Switches verwandeln. Das VLAN teilt also physische Netze in Teilnetze auf. Der ARP-Guard distribuiert selbsttätig die Ports der Switche in die entsprechenden VLANs, je nach MAC-Adresse des angeschlossenen Geräts. "Dies vereinfacht uns natürlich das Netzwerkmanagement und das vernetzte Arbeiten insgesamt, da der ARP-Guard die Clients aktiv in das VLAN verschiebt und parallel die Autorisierung übernimmt", sagt Andreas Griese. Sprich: Das ISL-System sorgt automatisiert dafür, dass die Geräte in das zugehörige VLAN geschoben werden. Ein händisches Eingreifen ist nicht mehr notwendig, mögliche Fehlerquellen sind ausgeschlossen, und administrative Eingriffe, beispielsweise bei Umzügen, sind nicht mehr erforderlich. Gleiches gilt für die Genehmigung länger nicht mehr genutzter Geräte: Auch hier ist der ARP-Guard fähig, eine aktive Rolle zu übernehmen und bei Bedarf den Zugang zum Netz zu versperren. (ISL: ma)