Tools für mehr IT-Sicherheit

Wenn der eigene Onlineshop mit einem Denial-of-Service-Angriff (DoS) ausgeschaltet wurde, ist die Cyberattacke offensichtlich. Noch gefährlicher sind ins Firmennetz eingeschleuste Schädlinge, die unbemerkt Daten zum Angreifer senden oder schlafend auf einen Befehl zur Sabotage warten. Hier kann eine aktive Prävention, die in IT-Organisation und IT-Betriebsabläufen verankert ist, wirksamen Schutz gewährleisten. So beruhen Zertifizierungen des eigenen Rechenzentrums wie ‚Europrise‘ auf dem BSI-Grundschutzkatalog (Bundesamt für Sicherheit in der Informationstechnik). Sie sind nützlich, decken allerdings nur Teilaspekte der Cybersicherheit ab. Von Vorteil ist daher die Bildung eines Cyber-Security-Teams, bestehend aus Vertretern der Fachabteilungen, die die Schutzbedürfnisse kennen, sowie Spezialisten der IT-Abteilung, die den operativen Schutz durchführen.

Generell ist das Angebot an Sicherheitstools für einen Außenstehenden schwer zu beurteilen. Im Bereich der IT-Infrastruktur gehören Netzwerküberwachung, Firewall, Virenschutz, Zugangskontrolle, Data Leak­age Prevention sowie ein Mobile Device Management zur Grundausstattung eines IT-Sicherheitsteams. Der Applikationsschutz ist komplexer, aber durch Rechteverwendungskontrolle in Echtzeit, Application-Filter-Firewalls oder Application-Containment realisierbar. Wichtig ist, dass alle eingesetzten Tools in ein sogenanntes Security Incident Event Management, kurz SIEM, integriert werden. Denn Cyberattacken erfolgen häufig auf verschiedenen Wegen gleichzeitig und können unter der Alarmschwelle eines einzelnen Tools bleiben. Erst ein SIEM erlaubt die Korrelation zwischen Einzelereignissen und damit die Entdeckung eines Angriffes.

Der Toolauswahl geht immer eine Unternehmensanalyse voraus um die Bedrohungsfelder abzustecken. Wo sitzen potentielle Angreifer – Länder, Organisationen, Mitbewerber –, die die eigenen Geschäftsfelder und Geheimnisse angreifen können? Die Antwort wird je nach Branche und Firmengröße zu unterschiedlichen Anforderungen an die Sicherheitswerkzeuge führen. Je wahrscheinlicher ein Cyberangriff den Fortbestand eines Unternehmens gefährden könnte, umso notwendiger ist der Wechsel vom reaktiven Beobachtungsmodus in den proaktiven Abwehrmodus, d.h. persistente Cyberabwehr. Das Risiko steigt mit der Motivation und dem Know-how des Angreifers, dem Wert der Unternehmensgeheimnisse und den Schwachstellen in der IT-Sicherheit.

Für eine Erstanalyse empfiehlt sich der Rückgriff auf die Erfahrungen externer Berater, die folgende Punkte prüfen:
– Cyber-Security-Angriffsvektoren
– Basisanalyse und Ereignisbereinigung
– Datenkorrelation (Anomalien und Änderungen)
– Modellierung der unbekannten Faktoren
– Verhaltens- und Tiefenanalyse
– Dokumentation
– Manuelle Nachanalyse und Bereinigung
Zusammen mit Fach- und IT-Abteilung werden dabei potentielle Angriffsziele und deren Schutzniveau festgestellt und in Sicherheitshandbuch, -Leitlinie und -Notfallplan dokumentiert ebenso wie für die Anhebung des Schutzniveaus geeignete Security Werkzeuge. Dieses Vorgehen orientiert sich an den realen Schutzbedürfnissen und führt zu einer wirtschaftlichen Lösung, bei der die Kosten für die Cyber-Sicherheits-Maßnahmen mit der potentiellen Schadenshöhe in Einklang stehen.

Das einmal erreichte Schutzniveau aufrecht zu erhalten ist kein Selbstläufer. Jeden Monat werden neue Einfallstore entdeckt und als Zero-Day-Exploits gehandelt. Es vergehen oft Monate bis der Hersteller diese schließt. Ein Cyber-Security-Team muss sich damit kontinuierlich befassen und die eingesetzten Werkzeuge nachjustieren. Nicht jedes Unternehmen hat die Möglichkeit, Spezialisten und Know-how vorzuhalten, oftmals ist ein Zukauf als externe Dienstleistung vorteilhafter.

Bei der Auswahl passender Provider ist ein Kriterienkatalog hilfreich. Zertifizierungen, Haftungsregeln, Größe und Sitz des Providers und Abhängigkeit von internationalen Einflüssen, z.B. über die Konzernmutter oder durch ausländische Shared-Service-Center, spielen eine Rolle. Bei Zertifizierungen ist zwischen Schulungen wie u.a. Certified Information Systems Security Professional (CISSP), Certified Information Security Manager (CISM) oder Offensive Security Certified Professional (OSCP) und dem Nachweis erfolgreicher, praktischer Erfahrung wie Certified Ethical Hacker (CEH) zu unterscheiden. Diese Testate sind mitarbeiterbezogen, Spezialisten für Analyse und Konzept sollten vom Anbieter also benannt werden.

In Deutschland stehen eine Reihe qualifizierter Provider zur Verfügung, die für die Schutzbedürfnisse des Auftraggebers Verantwortung übernehmen können. Das Computer Emergency Response Team (CERT) eines Providers übernimmt dabei operativ die permanente Beobachtung neuer Angriffsmethoden und justiert die Überwachungswerkzeuge beim Kunden darauf. Einige relevante Anbieter in Deutschland sind Secunet AG und Ubique Technologies GmbH oder
international agierend Telekom Deutschland, NTT Com Security, BMC Software sowie die herstellernahen Services von IBM oder HP.


Der Weg zur ­Cybersicherheit
In wenigen Schritten zu einer wirksamen IT-Sicherheit:

•   Wake-Up – Erkenntnis der Notwendigkeit
•   Analyse und Konzept – Positionierung gegenüber den Gefahren
•   Umsetzung – Cybersicherheitsteam oder externe Dienstleistung
•   Aufrechterhaltung – permanente Beobachtung und Nachjustieren

Unter der Adresse www.it-scm.com/checklisten steht ein Fragenkatalog „IT-Security“ bereit, in dem 18 Sicherheitsrisiken bewertet werden. Jeder Teilnehmer erhält als Ergebnis einen Vergleich seines Profiles mit allen anderen Teilnehmern.

Quelle: IT-SCM.com


Bildquelle: Thinkstock/iStock