Web, E-Mail und Wechseldatenträger als Einfallstore

IT-DIRECTOR: Herr Hock, durch welche Angriffe von Viren, Trojanern oder Würmern wurde die Sicherheit der Unternehmens-IT zuletzt besonders stark gefährdet?
M. Hock: Einen echten Breakout gab es schon mehrere Jahre nicht mehr. Die Infektionen sind, wenn überhaupt, nur lokal und dementsprechend unterschiedlich in ihrer Art.

IT-DIRECTOR: Welcher Methoden und Technologien bedienen sich die Angreifer dabei? Mit welchen Raffinessen gehen sie vor?
M. Hock: Die raffiniertesten gängigen Bedrohungen sind gezielte Spearphishing-Angriffe sowie die Drive-by-Infektion durch unwissentlich infektiöse – d.h. eigentlich seriöse – Webseiten.

IT-DIRECTOR: Welche sind die häufigsten Einfallstore in die Unternehmen?
M. Hock: Web, E-Mail und Wechseldatenträger – in dieser Reihenfolge. In der jüngsten Vergangenheit mit einem Trend zu Drive-by-Attacken auf Sicherheitslücken im Browser.

IT-DIRECTOR: Wie können solche undichten Stellen am besten und schnellsten geschlossen werden?
M. Hock: Permanentes Patchen der Endpunkte ist Grundvoraussetzung. Dazu kommen ein Webproxy mit aktuellem Virenscanner und ein IDS/IPS, welches mittels Virtualpatching schnelle Reaktion vor dem Einspielen der Endpunkt-Patches bietet.

IT-DIRECTOR: Mit welchen Abwehrmechanismen können die Sicherheitsverantwortlichen ihre Unternehmens-IT – kurz- und langfristig – am besten vor Attacken schützen?
M. Hock: Eine wohldefinierte Sicherheits-Policy muss insbesondere Punkte wie organisatorische Maßnahmen (Nutzungsrichtlinien) sowie Security Awareness der Anwender beinhalten. Bei den technischen Maßnahmen kommen zu den klassischen (Web-/Mail-Proxy, Patchmanagement, Endpoint-Virenscanner) noch ein IDS/IPS am Gateway sowie Endpoint Security Management für Verschlüsselung und Schnittstellenkontrolle hinzu.

IT-DIRECTOR: Wie sollten Sicherheitsverantwortliche reagieren, wenn ein Angriff erfolgreich war und Unbefugten der Zugriff auf Netzwerke und Daten ermöglicht wurde? Wie kann man schnell für Schadensbegrenzung sorgen?
M. Hock: Zunächst müssen alle infizierten Systeme isoliert werden, soweit möglich. Wenn eine gezielte Attacke vermutet wird, dürfen keine Bereinigungen stattfinden, bevor forensisches Material nicht sichergestellt wurde. Dabei müssen dann auch Strafverfolgungsbehörden eingeschaltet werden. Ansonsten gilt es, zunächst den initialen Einfallspunkt zu schließen und sukzessive die infizierten Systeme zu bereinigen. Dabei muss auf allen Systemen – soweit möglich – festgestellt werden, in welchem Umfang auf Daten zugegriffen wurde, nur so lässt sich ein Schadensbild erstellen. Des Weiteren sollte im Nachgang der WAN-Verkehr genau beobachtet werden, um nicht entdeckte Kommunikationskanäle eventuell ausfindig zu machen.

IT-DIRECTOR: Inwieweit haben hiesige Großunternehmen und Konzerne bereits die Position eines Chief Security Officer (CSO) etabliert?
M. Hock: In Großunternehmen und Konzernen sollte diese Position schon lange etabliert sein und ist das meist auch. Der Umfang der Handlungsbefugnisse variiert aber stark.

IT-DIRECTOR: Welche Aufgaben übernimmt ein CSO hauptsächlich?
M. Hock: Die Federführung bei der Entwicklung, Umsetzung, Überprüfung und Pflege eines Information Security Management Systems (ISMS); die permanente Unterrichtung des Vorstandes über die Sicherheitslage des Unternehmens.

IT-DIRECTOR: Auf welcher Entscheidungsebene im Unternehmen ist diese Position angesiedelt?
M. Hock: Um Unabhängigkeit zu gewährleisten, sollte ein CSO immer direkt an die Geschäftsleitung berichten und keiner anderen Abteilung untergeordnet sein.