Sicherheitsprobleme und -lösungen in Netzen

Kommentieren Drucken
Teil 49 von 71 aus der Serie "Professionelle Datenkommunikation"
Alle Artikel der Serie "Professionelle Datenkommunikation":

Hinsichtlich der vielfältigen Bedrohungen ist eine singuläre Sicht für Schutzmaßnahmen, die in Corporate Networks und anderen Netzen bis hin zum Internet eingeführt werden müssen, in keinster Weise hinreichend. Nur ein integraler Ansatz hat Aussicht auf Erfolg. Deshalb benötigen wir in dieser Reihe auch drei Blöcke für eine einigermaßen adäquate Darstellung: Im ersten Teil stellen wir auch an Beispielen die speziellen Bedrohungen, die sich z.B. durch das Internet für Corporate Intranets ergeben, vor, korrelieren sie zu den allgemeinen Bedrohungen und kommen zu einem allgemeinen Modell des Schutzes von Objekten. In den weiteren Teilen werden wir dies für Objekte in verteilten Umgebungen konkretisieren und differenzieren sowie Handlungsempfehlungen, besonders am Beispiel des Einsatz-Designs von Firewalls, erarbeiten.

Bevor es losgeht, sei bemerkt, dass sich die Ausführungen dieser Teile der Reihe natürlich nicht an Sicherheits-Spezialisten wenden, sondern vielmehr an alle, die wissen möchten, was eigentlich hinter Bedrohungen und Schutzmaßnahmen steckt. Wegen der außerordentlich umfänglichen Thematik können wir hier auch nur exemplarisch vorgehen. Dennoch soll in den nächsten Folgen der Versuch unternommen werden, einen gewissen Überblick zu schaffen, wobei der Schwerpunkt natürlich bei den Dingen liegt, die in einem normalen Unternehmen oder einer Organisation auch tatsächlich vorkommen.

Bei allen positiven und schönen Entwicklungen muss darauf hingewiesen werden, dass es schwerwiegende Sicherheitsprobleme und -mängel in Netzen gibt, die zu schwerwiegenden wirtschaftlichen Schäden führen können.

Die hohe Kunst eines netzgestützten Einbruchs besteht nämlich nicht darin, etwas zu zerstören, sondern sich Informationen und Zugriffe so zu beschaffen, dass der Angegriffene dies überhaupt nicht merkt. Die potentiellen Angreifer sind zu differenzieren in gelegentliche, plumpe Angreifer und professionelle Angreifer mit genauen Zielen. Während die erste Gruppe zwar ein gewisses Schadenpotential hat, kann man sich relativ leicht gegen sie schützen.

Ein Schutz gegen Profis ist allerdings wesentlich schwieriger, denn sie kennen die Angriffspunkte und Schutzverfahren nur allzu genau. Außerdem benutzen sie Hilfsmittel, die denen der Angegriffenen durchaus überlegen sein können, wie z. B. sehr schnelle Workstations. Die erste Gruppe der Angreifer könnte man auch als romantische Schädlinge bezeichnen: Der verstimmte Mitarbeiter, der einfach mal etwas lahmlegen möchte, der jugendliche Hacker, der etwas Selbstbestätigung braucht, sind relativ harmlos. Es gibt aber auch Angreifer aus dem Computer-Untergrund, die diffuse gesellschaftliche Ziele verfolgen, und Angreifer, die im Sinne organisierter Wirtschaftskriminalität Informationen besorgen.

Allgemeine Bedrohungen

Trotz aller bestehenden Schutzsysteme muss man weiterhin mit folgenden Risiken allgemein für vernetzte Informationsverarbeitung rechnen:

  • Interne Sicherheitsprobleme,
  • Social Engineering,
  • Hacker aller Art,
  • Programme mit Fehlern oder anderen Nebenwirkungen,
  • Denial of Service-Attacken (Ausschalten von Diensten)

Wir werden so vorgehen, dass wir zunächst die allgemeinen Bedrohungen in Internets und Intranets weiter ausführen, dann eine allgemeine Systematik für den Schutz in vernetzten und verteilten Systemen betrachten, hieraus Schlussfolgerungen ziehen und Angebote der Industrie für die Sicherheit bewerten.

Letztlich ergänzen die Gefahren durch Internet/Intranet die grundsätzlichen von innen kommenden Risiken für die DV-Infrastruktur, wie fehlerhafte oder ganz fehlende Datensicherung, die hohen Schäden durch Fehlbedienung, und das Einschleppen von Viren über private Datenträger durch von außen kommende Bedrohungen. In über 25 Jahren Beratungstätigkeit ist es dem Autor nicht gelungen, wirklich alle Kunden davon zu überzeugen, dass es keine private Datenhaltung am Arbeitsplatz geben darf, dass Anwendungsprogramme und Daten nur auf Servern liegen sollen und von dort gezielt verteilt werden müssen oder dass man ein abgestuftes Backup-Konzept benötigt. Ein störrischer Rest durchaus zweistelliger Prozentzahl verschließt sich nach wie vor diesen schon älteren Erkenntnissen.

Die grundsätzlichen Gefahren durch ein Internet/Intranet ergeben sich durch die Öffnung möglicher Wege für Angriffe von außen: Manipulationen an Daten durch Dritte, Verlust von vertraulichen Informationen, Angriffe auf die Netzwerk-Verfügbarkeit oder die Verfügbarkeit einzelner Komponenten, Einschleusen von Trojanischen Pferden und Viren. Hierbei ist oft die Vortäuschung einer falschen Identität durch IP-Adress-Spoofing ggf. in Tateinheit mit anderen Maßnahmen notwendig. Nach einer Studie des DoD können derartige Angriffe auch über konventionelle Medien und Fernnetze erfolgen, die Wahrscheinlichkeit ist aber viel geringer (80% zu 20% »für« das Internet).

Ein Intranet wendet die Internet-Techniken auf interne Netze an. Es ist also nicht damit getan, die Angriffe einfach in »von innen« und »von außen« zu differenzieren. Vielmehr lassen sich nämlich die durch das Internet bekannten Angriffstechniken für Angriffe von außen nach innen mit durchschlagendem Erfolg auch für innere Angriffe anwenden. Sie können so auf einfache Weise noch viel größeren Schaden anrichten.

Im Rahmen einer Risiko-Analyse müssen die Schäden bewertet werden, damit man für Schutz nicht mehr Geld ausgibt, als die Sache überhaupt wert ist.

Ein Angriff via Internet auf ein Intranet kann durchaus auch weitergehende Folgen haben. Z. B. kann ein Angriff auf eine Zentrale gerichtet sein. In der Zentrale wird etwas geschädigt, und von dieser Zentrale wiederum abhängige Teilnetze haben Störungen oder Ausfälle zu verzeichnen.

Schwachstellen im Internet/ in Intranets

Folgende Schwachstellen erleichtern dem Angreifer im Internet das Leben:

  • ganz fehlende Sicherheitsmaßnahmen,
  • mangelhaft konfigurierte und administrierte Systeme,
  • prinzipielle Sicherheitsprobleme der Kommunikationsprotokolle,
  • fehlerhafte Dienstprogramme,
  • prinzipielle Sicherheitsprobleme der Dienstprogramme

Am wenigsten begreifen mag man eigentlich den ersten Punkt. Aber in der Tat gibt es viele Unternehmen, die völlig unbedarft in das Internet getapst sind, z. B. durch die Installation eines Web-Servers mit dem Dienstleistungs- oder Produktangebot. Dieser wird zunächst isoliert betrieben, aber zu einem späteren Zeitpunkt ins Intranet (oder ein anders betriebenes LAN) integriert. Das kann z. B. dadurch passieren, dass der Web-Server nur ein Prozess auf einer größeren Maschine ist, die ins Netz eingebunden wird. Und vor einer Anbindung schaut man sich doch nicht alle lächerlichen Anwendungen auf dem Rechner an, oder? In der Tat begünstigen generell organisatorische Mängel elektronische Einbrüche am meisten. Dazu gehören dann auch die schlecht administrierten oder konfigurierten Systeme. Wer noch nicht einmal grob weiß, welche (eigenen) Benutzer wann was auf welchem Rechner wie machen dürfen, darf sich nicht wundern, wenn Fremde auf einmal mitspielen wollen. Aus der Perspektive des System-Managements sind sie ja noch nicht einmal von den eigenen, autorisierten Benutzern zu unterscheiden. Hersteller wie Novell oder Banyan, die seit langem Standard-Hilfsmittel für Sicherheit in ihren Netzwerk-Betriebssystemen anbieten, klagen schon seit Jahren darüber, dass diese aus Bequemlichkeit weder eingerichtet noch benutzt werden. Ein anderes, seit Ewigkeiten bestehendes Problem sind die nicht-vertrauenswürdigen Server. Woher weiß ein Benutzer, dass der Server der ist, der er vorgibt zu sein? Woher weiß ich, dass der Server, an den ich mich wende, nicht für meinen ärgsten Feind arbeitet? Im Gegensatz zum Problem der nicht-autorisierten Benutzer gibt es für die nicht-autorisierten Server nur sehr wenige Lösungen, meist im Umfeld von UNIX-Systemen.

Eine Studie von KES-Ultimaco ist zu dem Ergebnis gekommen, dass die Hauptursachen von Sicherheitsmängeln im mangelnden Problembewusstsein auf allen Ebenen im Unternehmen von den Beschäftigten bis hin zum Top-Management zu suchen sind. Wenn Vorgaben fehlen, welche Sicherheitsstufen an den unterschiedlichen Stellen der Informationsverarbeitung erlangt werden sollen, ist es für Netz-Betreiber und Administratoren des Unternehmens ungemein schwierig, für Sicherheit zu sorgen. Alles in allem sind Sicherheitsmaßnahmen nämlich fast immer unbequem für die berechtigten Benutzer und nutzen überhaupt nichts, wenn sie mit mangelnder Disziplin durchgeführt werden.

Heute wird viel zu wenig für die Sicherheit getan. Wirklich sicherheitsbewusst sind eigentlich nur Anwender, bei denen das Bekanntwerden einer Sicherheitslücke zu einem erheblichen Imageverlust führen würde, wie z. B. Banken, die ja jetzt vermehrt Produkte auch über das Internet anbieten. Aber es ist tatsächlich das Image, was Sorgen bereitet, ein paar verlorengegangene Millionen fallen nicht ins Gewicht.

Diese Haltung öffnet natürlich professionellen Angreifern Tür und Tor. Laut eines Umfrageergebnisses sind die Irrtümer der Beschäftigten zwar nach wie vor ein sehr großes Gefahrenpotential, für die Zukunft rechnet man aber vor allem mit dem Anwachsen der Bedrohung durch Computerviren.

In den USA hat sich eine merkwürdige Kultur hinsichtlich Sicherheitsmaßnahmen entwickelt. Es gibt freiverkäufliche Hacker-Magazine, die natürlich auch über das Internet abgerufen werden können, in denen kleinere Programme abgedruckt werden, mit denen man jeweils aktuell bekannte Sicherheitsprogramme aushebeln oder sonstigen Unfug anstellen kann. Die Hersteller beobachten dies genau und liefern zu ihren Produkten permanent Patches, die wieder gegen das im Hacker-Magazin bekanntgewordene Programm wirken, solange, bis sich das Interesse an der speziellen Lücke gelegt hat oder die Lücke endgültig geschlossen wurde.

« Teil 48: Spezielle Probleme der Internet/Intranet-TechnologieTeil 50: Schutz von Objekten in verteilten Umgebungen »


zugeordnete Kategorien: LAN
zugeordnete Tags:

Sie fanden diesen Beitrag interessant? Sie können



Anmerkungen, Fragen, Kommentare, Lob und Kritik:

Ihre E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert.

*

.