Rundum-Schutz

Umfassende IT-Sicherheitskonzepte und gezielte Mitarbeiter-Schulungen zur Aufklärung und Steigerung der Aufmerksamkeit gegenüber Risiken lohnen sich auch für kleine Unternehmen.

Die größte Gefahr für Unternehmensnetzwerke droht nach Meinung vieler IT-Verantwortlicher durch Schadprogramme aus dem Internet. Dabei unterschätzen sie, dass Nachlässigkeit und Anwendungsfehler vonMitarbeitern die Hauptursache dafür sind, dass Schädlinge in das Unternehmensnetzwerk gelangen. Dies ergab eine Sophos- Umfrage unter 410 IT-Administratoren von Unternehmen, die im September 2005 veröffentlicht wurde. Die Mitarbeiter verwenden meist aus Unwissenheit unsichere Passwörter, surfen auf zweifelhaften Internet-Seiten oder öffnen E-Mail-Anlagen, auch wenn sie den Absender nicht kennen. Und immer wieder geistern neue Schadprogramme durch die Netze, etwa Viren, Würmer, Trojaner oder Spyware.

Sicherheitsstrategien

Viele Unternehmen haben unausgereifte und wenig durchdacht Sicherheitskonzepte realisiert. Gerade viele Mittelständler versuchen, die IT-Sicherheit mit voneinander unabhängigen Maßnahmen zu erhöhen. Oft installieren Systemverwalter erst nach einem aktuellen Vorfall die bereits schon vorher vorhandenen Sicherheits-Updates auf Servern und Clients. So entstehen ständig neue Kosten und ein hoher Verwaltungsaufwand – die IT-Infrastrukturen sind nur ungenügend vor Angriffen geschützt. Vor allem für kleine und mittelständische Unternehmen ist es viel praktischer, von vornherein gegen alle neu auftretende Sicherheitsgefahren gewappnet zu sein. Ein umfassendes IT-Sicherheitskonzept leistet hier wertvolle Dienste. Neben der Integration von Sicherheitsfunktionen in alle Netzwerkkomponenten sowie der Einbindung der Endgeräte in die Sicherheitsbetrachtung lässt es auch die Mitarbeiter nicht außer Acht.

Sicherheitsrisiken

Eine hundertprozentige Absicherung aller Systeme im Unternehmen gibt es nicht. Um sich geeignet schützen zu können, ist die Kenntnis der Gefahren ein erster wichtiger Schritt: Schwachstellen: Schädliche Programme wie Trojaner, Viren und Würmer stellen ein großes Problem für Webanwendungen, Server, Computer sowie das Netzwerk dar. Angriffe auf alle Arten von Systemen sind möglich durch verschiedene Schwachstellen, wie unsichere Standardeinstellungen, fehlerhafte Konfigurationen, Softwarefehler oder Sicherheitslücken in Protokollen. Mitarbeiter:Unternehmen unterschätzen häufig die Hauptgefahr für die ITSicherheit – einen oft unbewusst nachlässigen Umgang der Mitarbeiter mit Geräten und Anwendungen. So werden beispielsweise aus Leichtsinn oder Unwissenheit durch die Öffnung unbekannter E-Mails oder durch das Anbinden ungesicherter oder infizierter Geräte ans Netzwerk Viren, Würmern oder Trojanern Tür und Tor geöffnet. Mobile Geräte: Laptops und mobile Geräte bringen enorme Produktivitätsvorteile, bieten aber auch zusätzliche Angriffspunkte, da sie an verschiedene Netzwerke angeschlossen werden. Speziell bei den so genannten Mobile Devices wie Mobiltelefonen oder PDAs (Personal Digital Assistant) existieren mit drahtlosen Schnittstellen wie Bluetooth neue Infektionswege. Mittels Bluetooth können sowohl mobile Kleingeräte als auch Computer über kurze Distanz miteinander kommunizieren. Dies stellt ein Sicherheitsrisiko dar, denn die Besitzer merken oft nicht, dass Fremde ohne Probleme auf ihr Gerät zugreifen und dieses kontrollieren, manipulieren und auslesen können. Deshalb kommt auch dem Schutz der Datenübertragung selbst eine immer größere Bedeutung zu.

Mobile Datenträger: Die Nutzung von USB-Sticks, MP3-Playern oder Speicherkarten in Digitalkameras stellt ein zunehmendes Sicherheitsrisiko für Unternehmen dar. Denn über diese mobilen Datenträger können zum einen Schädlinge in das Unternehmensnetz eingeschleust und zum anderen unbemerkt große Datenmengen aus dem Unternehmen getragen werden. Nach einer Studie von meetBiz Research unter über 400 Unternehmen, bestehen bei lediglich 24 Prozent dieser Firmen technische oder organisatorische Vorkehrungen, um die Unternehmensdaten vor dem Missbrauch durch solche Geräte zu schützen.

Das Konzept eines Self Defending Network sieht vor, dass Netzwerke umfassend vor jeglichen Angriffen geschützt sind.

Wireless-LAN: Immer mehr Unternehmen nutzen die Vorteile des mobilen Arbeitens, achten dabei aber noch immer zu wenig auf die Sicherheit der drahtlosen Netze (WLANs). Denn vorhandene Sicherheitsfeatures werden oft nicht genutzt, bzw. vorhandene Standardkonfigurationen arglos übernommen. Der Zugang von drahtlosen Geräten ins Unternehmensnetzwerk ist über die hiermit fest verbundenen Basisstationen, denWireless AccessPoints, möglich. Bei der Nutzung von WLANs ist es sehr wichtig zu wissen, wo sich welche Geräte auf dem Unternehmensgelände befinden, um neu auftauchende, nicht von der IT-Abteilung installierte und kontrollierte, falsch konfigurierte WLAN-AccessPoints schnell zu entdecken. Sie stellen ein Einfallstor für Angreifer dar. Sicherheits-Updates: Endgeräte, deren Sicherheitsprogrammeoder Betriebssystem- und Anwendungssoftware nicht auf dem aktuellen Stand sind, stellen ein Risiko für das Unternehmensnetzwerk dar. Denn nicht konforme oder gar infizierte Geräte lassen sich bisher nur sehr schwer identifizieren. Meist erfolgt die Prüfung von Endgeräten während des Logins. Zu diesem Zeitpunkt hat das Gerät jedoch vollen Netzwerkzugang und Schädlinge können sich verbreiten.
IP-Telefonie: Die inhärente Offenheit der IP-Technik bringt nicht nur hohe Flexibilität und Produktivitätssteigerung, sondern auch neue Sicherheitsbedrohungen für die Sprachübertragung mit sich. Beispielsweise können sich auch Denial-of-Service-Angriffe gegen Telefonanlagen richten oder über den Sprachkanal Viren undWürmer verbreitet werden – das so genannte Spit (Spam over Internet Telephony). Hierbei ist es unerheblich, ob ein Telefonie- System teilweise mit IP-Technik nachgerüstet wird oder es sich um eine rein IP-basierte Lösung handelt. Dennoch ist die vielfach verbreitete Vorstellung falsch, dass IP-Telefonie unsicher ist, weil sie über das Internet läuft, welches als unsicher gilt. Klassische analoge oder ISDN-Telefonie ist ebenso vielen Bedrohungen ausgesetzt wie Telefonie im IP-Netz. Grundsätzlich ist der Schutz der Sprache in IP-Netzen sogar wesentlich einfacher als in klassischen Sprachsystemen, in denen Schwachstellen anlagenspezifisch sind und Gegenmaßnahmen nur schwierig entwickelt werden können.

Physische Beschädigung oder Verlust: In Unternehmen sind zunehmend portable Speichermedien wie USB-Sticks, CDs oder DVDs sowie mobile Geräte wie Notebooks, PDAs und Smartphones im Einsatz. Sie bergen die Gefahr, dass sie verloren gehen oder dass Unbefugte vertraulichen Firmendaten einsehen, da diese Speichermedien und Geräte nicht ausreichend durch Verschlüsselung oder Autorisierung geschützt sind. Darüber hinaus können sie beschädigt werden. Und natürlich sollte berücksichtigte werden, dass auch das Unternehmens-Netzwerk nicht vor technischem Ausfall, Stromausfall oder sogar Feuer gefeit ist.

Gefahrenpotential

Aufgrund der zahlreichen Gefahren ist die Sicherheit der Informationstechnologie für IT-Verantwortliche in der Wirtschaft eines der wichtigsten Themen. Bei der KES Sicherheitsstudie 2004, an der 163 Unternehmen teilnahmen, setzen 83 Prozent der Befragten das Thema auf Platz eins oder zwei der Prioritätenliste. In Deutschland sehen 89 Prozent der IT-Verantwortlichen dieWirtschaft durch mangelnde IT-Sicherheit gefährdet. Die Verbreitung von Schadprogrammen stellt für die Mehrheit die eindeutig größte Gefahr für das eigene Unternehmen dar. Allerdings nimmt hier der Faktor Mensch – also Irrtum und Nachlässigkeit eigener Mitarbeiter - in der Wahrnehmung von IT-Sicherheit ebenfalls einen hohen Stellenwert ein. Weiterhin werden unzureichende Finanzmittel als Hindernis genannt. Dass die Bedrohung durch Viren, Datenklau und Ähnliches zunimmt, ergabt eine Befragung der Unternehmensberatung Pricewaterhouse-Coopers (PwC) unter 8200 IT-Verantwortlichen aus 63 Ländern. Laut Umfrage stieg die Zahl der sicherheitsbezogenen Vorfälle bei den untersuchten Unternehmen von rund 700 im vergangenen Jahr auf 860 im bisherigen Verlauf des Jahres 2005. Insbesondere Hacker wurden als Hauptgrund für IT-Ausfälle genannt. Außerdem hat die Gefahr finanzieller Verluste zugenommen. Mussten 2004 nur sieben Prozent aller befragten Unternehmen finanzielle Einbußen durch IT-Probleme hinnehmen, so waren es in diesem Jahr bereits 23 Prozent. Laut PwC besteht das Hauptproblem vieler Unternehmen im Kampf gegen IT-Schädlinge darin, dass die Sicherheitsstrategien nicht durchdacht sind und sich somit immer wieder Lükken und Schlupflöcher für Hacker, Viren und Würmer ergeben.

Falscher Umgang mit IT-Gefahren

Bisher betrachten viele Mittelständler die Sicherheit von Geräten und Netzen isoliert. Sie versuchen, die IT-Sicherheit mit einzelnen, voneinander unabhängigen Maßnahmen zu erhöhen. In unregelmäßigen Abständen und oft erst nach einem aktuellen Vorfall installieren sie Sicherheits-Updates sowie notwendige Zusatzsoftware. Damit verfügen die unterschiedlichen Geräte zwar über individuelle Schutzfunktionen, diese sind jedoch nicht aufeinander abgestimmt. Unter Umständen werden dabei die Netzwerkverfügbarkeit und die Aufrechterhaltung von Geschäftsprozessen vernachlässigt. Zudem entstehen so ständig neue Kosten und enormer Verwaltungsaufwand. Dass Schädlinge ohne aktuelle Sicherheitsvorkehrungen ein leichtes Spiel haben, zeigt das folgende Szenario: Ein Wurm wie beispielsweise SQL-Slammer befällt einen Server und versendet von dort aus mit maximaler Geschwindigkeit IP-Pakete an alle verbundenen Computer. Dadurch werden die vorhandenen Netzwerk-Ressourcen überbeansprucht, sodass deren Verfügbarkeit sinkt. Beim Einsatz aktueller kombinierter Sicherheitsmaßnahmen, die alle Ebenen absichern, würde dies anders aussehen. Entweder fängt die Firewall - die den eingehenden Datenstromfiltert - den Wurmab, bevor er in das Netzwerk gelangen kann. Gelingt dies nicht, verhindern verschiedene nachgeschaltete Sicherheitsmaßnahmen wie Intrusion-Detection-Systeme (IDS) sowie Intrusion-Prevention- Systeme (IPS) in den Netzwerkkomponenten und Cisco Security Agent (CSA) auf Endgeräten, dass der Wurm wirksam wird.
Die technische Umsetzung von Sicherheitsmaßnahmen ist jedoch nur eine Seite der Medaille. Wichtig ist, dass auch dieMitarbeiter Bestandteil des Sicherheitskonzeptes sind und durch Schulungen sowie interne Kommunikation zur IT-Sicherheit beitragen. So gewährleistet das Unternehmen, dass Mitarbeiter keine Mails öffnen, die Schädlinge enthalten.

Selbstverteidigung

Kerngedanke eines umfassenden Sicherheitskonzeptes wie des Self Defending Network von Cisco Systems ist die Integration von Schutzfunktionen in alle Netzwerkkomponenten und die Einbindung der Endgeräte in die Sicherheitsbetrachtung. Ein Netzwerk, das sich selbst gegen Gefahren verteidigen kann, benötigt die drei Säulen Sichere Konnektivität, Bedrohungsabwehr sowie Identitätsmanagement:

• Sichere Konnektivität:
  Sichere Konnektivität garantiert Integrität und Vertraulichkeit des Datenaustauschs über unsichere Netzwerke wie das Internet mittels Verschlüsselungs- und Authentisierungsmechanismen. UmDaten-, Sprach- und Videoanwendungen über drahtlose oder kabelgebundene Medien zu schützen, stehen diverse VPN-Technologien wie IP-SEC oder SSL bereit.
  
  
• Bedrohungsabwehr:
  Bedrohungsabwehr zielt auf die Reduzierung der Auswirkungen von Angriffen. Dafür werden meist die klassischen Abwehrmaßnahmen wie Firewalls, Intrusion-Detection- Systeme (IDS) sowie Intrusion- Prevention-Systeme (IPS) eingesetzt. Zwischen Internet und Unternehmensnetzwerk bestehen zahlreiche Verbindungsmöglichkeiten.
  Eine Firewall verhindert, dass ungewünschter Datenverkehr ins Unternehmensnetz gelangen kann und erlaubt nur den regulären Datenverkehr. Versteckt sich in diesem Datenstromein Schädling, so kann ihn die Firewall nicht erkennen. Aus diesem Grund ist ein mehrstufiger Schutz notwendig, der aus Maßnahmen im Netzwerk wie IDS und IPS besteht, zuzüglich Schutzmaßnahmen auf dem Endgerät beispielsweise dem Cisco Security Agent (CSA). IDS und IPS sind Lösungen, die Datenpakete imUnternehmensnetzwerk inspizieren und anhand von Regeln die gesamte Kommunikation im Netzwerk auf Spuren von Schädlingen überprüfen. Somit können verdächtige Aktivitäten erkannt werden - seien es Eindringversuche, Angriffe oder andere Anomalien. Weichen Vorgänge von der Normab, ergreifen IPS selbstständig Abwehrmaßnahmen und informieren den Administrator, damit dieser weitere Schritte einleiten kann.
  Bisher wurde zum Schutz der Endgeräte der unvollständige Ansatz angewendet, »Alles was nicht explizit verboten ist, ist erlaubt.« Das führt jedoch dazu, dass die eingesetzten Anti-Virus-, Intrusion Detection- oder Firewall-Lösungen nur bereits bekannte Bedrohungen erkennen und abwehren können.
  Aktuelle Ansätze wie der Cisco Security Agent, orientieren sich dagegen an dem Grundprinzip der Sicherheitstechnik: »Alles was nicht explizit erlaubt ist, ist verboten.« Sie überprüfen mit Hilfe einer Positivliste, welche Aktionen einer Anwendung erlaubt sind, beispielsweise Zugriffe auf Systemressourcen. So spielt es keine Rolle mehr, auf welchemWeg eine Bedrohung auf das Gerät gelangt - sei es über das Netzwerk, einen USB-Stick oder eine CD-ROM. Schädliche Aktionen werden erkannt, die Anwendung aus dem Speicher entfernt und so sichergestellt, dass sich der Schädling nicht festsetzen und weiter verbreiten kann.
  
  
• Identitätsmanagement:
  Beim Identitätsmanagement kommt es darauf an, nur berechtigten Benutzern den Zugang zu Informationen zu ermöglichen. Darüber hinaus ist es auf der Netzwerkebene möglich, das Sicherheitsniveau der Endgeräte zu überprüfen, um Geräte die nicht über das erforderliche Sicherheitsniveau verfügen von der Teilnahme am Netzwerk auszuschließen. Denn oft werden infizierte Systeme erst bei der Anmeldung an eine Domäne auf Aktualität der Antivirus- Software überprüft. Dies ist jedoch zu spät, da die Geräte bereits Kontakt zum Netzwerk haben und Viren und Würmer einschleppen können.
  Grundregel muss sein, dass ein Endgerät nur dann am Netzwerk teilnehmen kann, wenn es zweifelsfrei identifiziert wurde und die aktuellen Sicherheitsrichtlinien wirklich einhält.

Sicherheitskatalog

Nur ein umfassender Sicherheitsansatz verhindert alle aktuellen IT-Gefahren und schützt Netzwerke zuverlässig um eine Schwachstellen-Nutzung zu verhindern: Integrierte Sicherheitslösungen mit umfassender Firewall-Funktionalität und Intrusion-Prevention schützen vor Angriffen auf das Firmen-LAN. Durch den All-in-one-Ansatz sowie ein Webbasiertes Management werden niedrige Total Cost of Ownership erreicht.
Mitarbeiter ausreichend schulen: Im eigenen Interesse sollten Unternehmen ihreMitarbeiter in punkto IT-Sicherheit schulen und fortlaufend über neue Entwicklungen informieren. Das kann in Form von internen Sicherheitshinweisen, Trainings, Videos, Broschüren oder über das Intranet erfolgen. Der Ausgangspunkt aller Aktivitäten sollte dabei eine klare Festlegung der Richtlinien für die Nutzung von IT amArbeitsplatz sein. Zudem ist es wichtig, dass die Geschäftsführung in jedem Fall die Vorbildrolle übernimmt.

Sicher mit mobilen Geräten

Bei der Verwendung vonMobilitätslösungen müssen Unternehmen für die Sicherheit der Endgeräte sorgen, da diese unterwegs nicht über die Mechanismen des Unternehmensnetzwerks kontrolliert werden. Je nachdem in welchem Netzwerk-Kontext sich das Gerät befindet, ist die Umsetzung unterschiedlicher Sicherheitsregeln erforderlich.
Dies übernimmt beispielsweise ein Tool wie der Cisco Security Agent. Über jeden öffentlichen Zugangspunkt zum Internet können Mitarbeiter über ein VPN eine sichere, verschlüsselte Verbindung zum Unternehmensnetzwerk aufbauen. Auch ein Heimarbeitsplatz kann mit dieser Technologie, zum Beispiel mit günstigen DSL-Anschlüssen, realisiert werden.

Mobile Datenträger sicher einsetzen:
Um zu verhindern, dass über USB-Stikks oder CD-ROMs Schädlinge in das Unternehmensnetzwerk eingeschleust oder unbemerkt Daten aus dem Unternehmen getragen werden, dient der Cisco Security Agent (CSA). Dieser überwacht das Verhalten von Anwendungen mit Hilfe einer Positivliste. Dabei überprüft der CSA, welche Aktionen einer Anwendung erlaubt sind, beispielsweise Zugriffe auf Systemressourcen wie das Dateisystem. So spielt es keine Rolle mehr, auf welchemWeg eine Bedrohung auf das Gerät gelangt - sei es über einen USB-Stick, eine Speicherkarte der Digitalkamera oder eine CDROM. Schädliche Aktionen werden erkannt, die Anwendung aus dem Speicher entfernt und sichergestellt, dass sich der Schädling nicht festsetzen und weiter verbreiten kann. Ebenso lässt sich der CSA so konfigurieren, dass das Speichern kritischer Daten auf mobile Datenträger unterbunden wird.
Absicherung drahtloser Netze: Standards wie IEEE 802.11i sorgen für die eindeutige Identifikation und Autorisierung von Benutzern in drahtlosen Netzen und die Verschlüsselung der Übertragung. Die Authentifizierung erfolgt am Netzwerkzugang. Dabei werden die Authentifizierungsinformationen überprüft und gegebenenfalls der Zugriff auf das Netzwerk zugelassen oder abgewiesen.

Geräte auf Updates kontrollieren

Es sollte stets das Sicherheitsniveau der Endgeräte überprüft werden, bevor diese Zugang zum Netzwerk erhalten. Oft werden infizierte Systeme erst bei der Anmeldung an die Domäne auf Sicherheit überprüft. Dies ist jedoch zu spät, da die Geräte bereits Kontakt zum Netzwerk haben und Viren und Würmer einschleppen können.
Lösungen wie Network Admission Control von Cisco ermöglichen eine solche Überprüfung über spezielle Schnittstellen, die den Status der diversen Sicherheitssoftwares abfragen. Nichtkonforme Endgeräte werden durch einen automatisiertenWiederherstellungsprozess auf den aktuellen Stand gebracht, sodass dieWartungskosten niedrig und der Sicherheitslevel hoch gehalten werden.

Sichere IP-Telefonie

Werden Daten und Sprache imgleichen IP-Netz übertragen, sollte zur Absicherung eine Unterteilung in drei logische IP-Netze erfolgen. Ein Segment umfasst Server für Management- und Service- Software, Kontrollprogramme zur Anrufsignalisierung wie den CiscoCallManager oder Unified Messaging sowie Sprach- Schnittstellen zum öffentlichen Telefon-Netz. Das zweite Segment enthält IP-Telefonie- Geräte und das dritte Segment bildet das klassische Unternehmensnetz, in dem auch Software-basierte Sprachanwendungen( Softphones) betrieben werden. Durch diese Segmentierunglassen sichArbeitsbereichebesser überwachen und das Überspringen von Segmentgrenzen verhindern. So wird etwa unterbunden, dass ein Virus oder Wurm vom Datennetz aus das Sprachnetz beeinträchtigt. Um Missbrauch der IP-Telefonie-Anlage, beispielsweise durch nicht registrierte Endgeräte oder Vortäuschen einer Zugangsberechtigung, zu verhindern, sind weitere Sicherheitsmaßnahmen notwendig. Dieses Problem löst die zweifelsfreie Identifizierung der Endgeräte – eine Funktion, die es in der klassischen Telefonie nur in Spezialumgebungen gibt. Auch der Schutz der Sprachverbindung zwischen zwei Telefonen sollte beachtet werden. Es gibt mittlerweile Telefone, die auf KnopfdruckGespräche verschlüsseln. Damit sind sensitive Unternehmensinformationen zuverlässig geschützt.
Um Datenverlust bei Beschädigungen vonDatenträgern wie CDs, DVDs oder USB-Sticks sowie mobilen Geräten wie Laptops,PDAs und Smartphones vorzubeugen, sollten deren Daten regelmäßig im Netzwerk gesichert werden. Nur so können im Fall eines Verlustes oder Beschädigung die Arbeitsgeräte und der aktuelle Stand der Daten schnellstens wieder hergestellt werden. Im Netzwerk empfiehlt sich eine redundante Auslegung kritischer Komponenten, so dass sofort Ersatzgeräte einspringen, falls einzelne Geräte wie Router oder Server ausfallen. Um das gesamte Netzwerk vor Feuer zu schützen, sollte der Serverraum in einer abgesicherten Umgebung platziert sein. Zudem ist die Bereitstellung einer Notstromversorgung empfehlenswert.

Auch eine Migration auf IP-Telefonie birgt zusätzliches Gefahrenpotenziel. Gespräche können abgehört werden.

Fazit und Ausblick

Vermutlich lässt es sich niemals vollständig verhindern, dass Viren in die Unternehmens-IT eindringen. Eine umfassende Sicherheitsstrategie minimiert jedoch den Schaden für das Unternehmen und schützt die Daten vor Missbrauch. Ein integrierter Sicherheitsansatz leistet gute Dienste damit umfassen Unternehmens-Sicherheit zu vernünftigen Kosten erreicht wird. Auch wenn es die absolute Sicherheit nicht gibt, so ist die Verwirklichung eines IT-Sicherheitskonzeptes aus einer Hand einfacher und effizienter als die isolierte Betrachtung der Sicherheit von Geräten und Netzen. So können sich Mittelständler auf ihre IT-Systeme verlassen und Angreifer von außen haben fast keine Chance.

Quelle: CIM - Computer im Mittelstand, Ausgabe 11/06, Autor HILMAR BALD