Schwachstellen im IT-Netzwerk schließen

Bis heute unterschätzen die meisten Organisationen die Bedrohungslandschaft und sind sich ihrer Verwundbarkeit nicht bewusst. Netzwerke wachsen genauso sowie die Anzahl der verbundenen Geräte. Trends wie Bring your own Device (BYOD) und das Internet der Dinge (IoT) eröffnen Angestellten zwar neue Möglichkeiten und mehr Flexibilität, bringen aber auch neue Angriffsvektoren mit sich. Gartner berichtet, dass im Jahr 2017 fast die Hälfte aller Unternehmen von ihren Mitarbeitern verlangen werden, ihre eigenen Geräte für berufliche Zwecke zu verwenden. Und Citrix stellt fest, dass schon jetzt 54 Prozent aller IT-Abteilungen private Tablets von Mitarbeitern im Netzwerk wiederfinden.

Die Verwaltung von firmeneignen und privaten Geräten ist schwierig. Um optimalen Schutz vor Angriffen gewährleisten zu können, muss sichergestellt sein, dass alle Geräte mit Zugriff auf Unternehmensnetzwerke die nötigen Sicherheits-Tools installiert haben. Alle Applikationen sollten den nötigen Patch-Level erfüllen, um bekannte Schwachpunkte zu schließen. Weil jedoch eine Vielzahl von Unternehmen (60 Prozent) eine unzureichende Übersicht über die Geräte in ihren Netzwerken hat, wird es immer schwieriger, alle Enfallstore zu schließen. Somit können die Aktivitäten dieser nicht verwaltet werden und IT-Abteilungen wissen nicht, was im System vor sich geht.

Schutz auf Netzwerkebene

Dabei gibt es Möglichkeiten, Netzwerke sicher zu machen und Angriffsvektoren zu schließen. In einer Umfrage interviewte Frost & Sullivan 13.390 IT-Sicherheitsfachkräfte und fragte unter anderem nach ihrer Meinung zur besten Technologie, um Netzwerke sicherer zu machen. Das Ergebnis zeigt, dass 75 Prozent der Teilnehmer Sicherheitslösung auf Netzwerkebene wie Network Access Control (NAC) favorisieren. NAC erlaubt die automatische Klassifizierung und Sichtbarmachung von allen Geräten, welche mit dem Netzwerk verbunden sind und erleichtert die Arbeit von Sicherheitsadministratoren.

Die Fähigkeiten von NAC geht noch weiter: Die Integration von Sicherheits-Tools von anderen Sicherheitsanbietern hilft, automatische Compliance-Prüfungen von beispielsweise Antiviren-Programmen oder des Patch-Levels durchzuführen. Im Falle eines Verstoßes gegen Richtlinien kann ein automatisierter Healing-Prozess gestartet werden. Die Installation eines fehlenden AV-Clients oder Patches kann vom User selbst eingeleitet werden. Dies erlaubt die Umsetzung von Unternehmensrichtlinien und einen sicheren Umgang mit Schwachstellen. Gleichzeitig werden IT-Verantwortliche entlastet. Dabei stehen alle Funktionen ohne den Einsatz eines Agenten zur Verfügung, NAC arbeitet daher unabhängig von Betriebssystemen auf jedem Endgerät.

Der Einsatz von Netzwerküberwachung wird vom Bundesamt für Sicherheit in der Informationstechnik (BSI) empfohlen. Im aktuellen Bericht zur „Lage der IT-Sicherheit in Deutschland“ kommt das BSI zu dem Schluss, dass es „einen Mangel an Einsatz von Netzwerkzugangskontrolle“ gibt. Häufig greifen Organisationen zur falschen Technologie und lassen deshalb Lücken für Angreifer offen. Die „Allianz für Cybersicherheit“, die zum BSI gehört, sieht ebenfalls eine wachsende Gefahr durch Cyber-Attacken, da bekannte Schwachstellen in Software nicht rechtzeitig geschlossen werden. Unternehmen müssen sich ihrer Situation bewusst werden und ihre Sicherheitslösungen anpassen. Schutz ist möglich, aber Firmen müssen sich entsprechend aufstellen und ihre Sicherheitskonzepte überarbeiten.

Fehler bei der Netzwerk­sicherheit

• Fehlender Überblick: Häufig ist die Anzahl der angeschlossenen Geräte und deren Aktivität nicht hinreichend bekannt.
• Keine ausreichende Adaption von Sicherheitsvorfällen: Viele Applikationen haben bekannte und unbekannte Schwachstellen, daher ist jedes Netzwerk angreifbar.
• Unzureichende Reaktionsfähigkeit auf Ereignisse: Sicherheitsverantwortliche können nicht effektiv auf Sicherheitsalarme reagieren.
• Keine zentrale Plattform zur Integration von bestehenden Sicherheitslösungen: Bestehende Technologien können oft nicht effizient eingesetzt werden.
• Fehlende Mechanismen zur automatischen Umsetzung von Compliance-Richtlinien: Normen werden nicht oder nur unzureichend umgesetzt.
• Integration der Anwender nicht ausreichend: Sicherheitslösungen dürfen die User nicht überfordern und sollten auf deren Anforderungen zugeschnitten sein.

Quelle: Forescout Technologies

Hardware-basierte ­Verschlüsselung

Die Vertraulichkeit von Daten zu sichern gehört im Zeitalter des Internet of Things zu den wichtigsten Aufgaben der IT-Verantwortlichen. Genutzt werden kann dafür beispielsweise eine hardware-basierte Verschlüsselung.

Zu den Grundpfeilern der digitalen Gesellschaft gehören die Vertraulichkeit, Integrität und Authentizität von Daten. Werden wichtige Informationen entwendet oder verfälscht, kann dies zu Schäden, Störungen und finanziellen Verlusten führen. Datensicherheit ist also ein Muss. Eine Grundlage dafür kann eine hardware-basierte Verschlüsselung in Form von Hardware-Security-Modulen (HSM) liefern. Dabei handelt es sich um Geräte innerhalb der IT-Infrastruktur, die Daten und Transaktionen mithilfe kryptographischer Verfahren absichern. Sie übernehmen alle Prozesse von der Erzeugung der Schlüssel bis hin zu deren Anwendung und Speicherung. Das Modul selbst ist gegen unberechtigte Zugriffe geschützt, etwa durch eine spezielle Versiegelung. Eine solche Verschlüsselung kommt vielfach zum Einsatz, z.B. bei Industrie 4.0, Smart Metering oder auch bei Zahlungslösungen.

Der Markt bietet viele unterschiedliche Sicherheitsmodule. Wichtige Kriterien bei der Auswahl sind laut Malte Pollmann vom Sicherheitsanbieter Utimaco:

Performance und Skalierbarkeit: Vor der Wahl des Moduls empfiehlt es sich, die erforderliche Performance anhand des konkreten Anwendungsfalls zu ermitteln: Der Rechenaufwand hängt teils stark vom gewählten Schlüsseltyp ab. Ebenfalls wichtig ist die Skalierbarkeit. Das gilt für die Zahl der Schlüssel, die das System speichern kann, sowie für die Option, die Lösung um weitere oder leistungsstärkere Module zu erweitern.

Redundanz und Backup-Optionen: Ein HSM-System sollte sich bei einem Ausfall nahtlos und ohne längere Unterbrechung der darauf aufsetzenden Services ersetzen lassen.

Schnittstellen: Sie stellen die Verbindung zur Anwendungs-Host-Umgebung her. Jedoch stellen nur wenige HSM-Lösungen Programmierschnittstellen für alle Arten von Anwendungen zur Verfügung.

Management: Das Modul sollte sich aus der Ferne verwalten lassen. Allerdings sind nicht alle Hardware-Verschlüsselungslösungen gleichermaßen dafür ausgelegt. Einige bieten keine oder nur rudimentäre Remote-Management-Funktionen an.

Unterschiedliche Optionen für die Authentifizierung: Die Lösung sollte zumindest mehrere Technologien unterstützen, etwa Smartcards, Passwörter und eine anpassbare Quorum-Größe.

Physische Sicherheit: Dieser Faktor besitzt hohe Priorität. So sollte sichergestellt sein, dass ein Verschlüsselungsmodul aktiv auch auf physische Einbruchsversuche reagiert, indem es beispielsweise den Systemverwalter informiert und gegebenenfalls die gespeicherten Schlüssel vernichtet, damit diese nicht in falsche Hände fallen.

Verschlüsselung: Entscheidend bei der Auswahl eines Moduls ist, ob es alle Verschlüsselungsalgorithmen unterstützt, die der Anwender einsetzen möchte.


Bildquelle: Thinkstock/iStock