Naturaleza y alcance de las modificaciones (con indicación de posibles cambios anteriores del contrato):
Die Online-Angebote der BA sind täglich externen Angriffen ausgesetzt. Die Intensität von DDoS-Angriffen (Überlastung der BA-Infrastruktur) nimmt sehr stark zu. Die bestehende DDoS-Mitigation beim ISP (Auftragnehmer) bietet einen guten DDoS-Schutz, jedoch wird dieser Schutz über eine zentrale DDoS-Mitigation-Infrastruktur des ISP für alle seine Kunden betrieben. Hieraus ergeben sich folgende Risiken:
— Kein DDoS-Schutz der BA-Services, falls die bestehende DDoS-Mitigation des ISP ausfällt.
— Keine ausreichende Performance der DDoS-Mitigation des ISP, falls Angriffe erfolgen, deren Bandbreite die Leistungsfähigkeit des ISP überschreiten.
Um diese Risiken zu minimieren, ist eine zweite DDoS-Mitigation erforderlich. Diese muss bestimmte Anforderungen erfüllen, damit die Schutzfunktion verbessert werden kann:
— Die gleiche DDoS-Mitigation, wie sie beim ISP eingesetzt wird:
—— Synchronisation der Filter- und Prüfregeln durch eine Gleichheit der Regeldefinition, -schaltung und -steuerung.
—— Sicherstellung von Lerneffekten zwischen den beiden DDoS-Instanzen. Ein DDoS-Angriff wird in der ersten Instanz (beim ISP) identifiziert und beendet. Diese Kenntnisse und Resultate in der Regelkonfiguration müssen auf die zweite Instanz übertragen werden können.
—— Nur bei einem ISP ist eine Kopplung der beiden DDoS-Instanzen möglich.
— Vereinfachtes Problemmanagement, da beide DDoS-Instanzen von einem ISP betrieben werden.
— Die Kommunikation und Abstimmung wird durch einen Ansprechpartner vereinfacht und beschleunigt. Eine schnelle Reaktion im Falle eines Angriffes wird dadurch ermöglicht.
Durch einen zweiten ISP würden folgende Risiken bestehen:
— Synchronisation der Regeln nicht möglich, da vertrauliche Daten und Informationen (Regelwerk zum Schutz vor DDoS-Angriffen) unnötig geteilt werden müssten.
— Deutlich erschwerte Fehlerfindung bei Infrastrukturproblemen.
— Teilen von Konfigurationsinformationen im Fehlerfall nicht möglich, da der ISP für alle seine Kunden die bestehende Infrastruktur bereitstellt. Ein Lerneffekt ist deswegen nicht gegeben.