IT-Infrastruktur im Visier
Sicherheitslücken: Achillesferse im Verteidigungswall
'Never touch a running system' ist eine riskante Maxime: Auf Computer und Software im Auslieferungszustand oder auf Systeme, deren Wartungsstand Schwachpunkte enthält, können sich Cyberkriminelle besonders gut einstellen. Effektives Patch-Management ist deshalb auch für Industriebetriebe unumgänglich - es kann gefährliche Angriffslücken in der IT-Infrastruktur von Unternehmen schließen.
Bild: G DataGefahren, die durch Malware wie Trojaner und Würmer entstehen, sind hinlänglich bekannt und im Bewusstsein der IT-Verantwortlichen längst angekommen. Dagegen wird das Gefahrenpotenzial durch nicht geschlossene Sicherheitslücken bei den installierten Programmen oft unterschätzt. Nach Angaben des IT-Konzerns Microsoft werden am Tag durchschnittlich 22 Sicherheitslücken bekannt, pro Jahr kommen so über 8.000 Schwachstellen zusammen. Angreifer werten diese Lücken aus: Gut 70 Prozent aller Exploits werden für Cyber-Attacken ausgenutzt - obwohl zum Zeitpunkt des jeweiligen Angriffs für 90 Prozent der Schwachstellen bereits ein Patch durch den jeweiligen Hersteller verfügbar war. Für das Jahr 2013 wird erwartet, dass Schadprogramme, welche diese Sicherheitslücken nutzen, die Spitze des Gefahren-Rankings bilden. Das Installieren von Patches und Updates ist daher ein entscheidender Baustein im IT-Security-Gerüst. Ein mangelndes Bewusstsein für die Wichtigkeit der Programm-Aktualisierungen spielt Online-Kriminellen in die Hände und ermöglicht erfolgreiche Attacken. Die Folgen für das Unternehmen reichen von wirtschaftlichen Einbußen über datenschutzrechtliche Konsequenzen bis hin zu Reputationsproblemen.
Bild: G DataProgramme von Drittanbietern im Firmennetzwerk
Aufgrund der zunehmend heterogenen Netzwerkstrukturen fehlt Administratoren jedoch oft der Überblick über die installierte Software und deren Update-Möglichkeiten. Verstärkt wird diese Problematik durch den Einsatz unterschiedlicher Geräte wie PC und Mobilgeräte sowie der großen Bandbreite an verschiedenen Betriebssystemversionen und Gerätehersteller-Software. Die mangelnde Bereitschaft zu regelmäßigen Software-Updates wird durch den Umfang der eingesetzten Software noch verstärkt: Auf einem durchschnittlichen Computer im Netzwerk einer Organisation sind 74 verschiedene Anwendungen installiert. 69 Prozent davon sind dabei nicht integraler Bestandteil des Betriebssystems, sondern stammen von Drittanbietern. Das wiederum bedeutet, dass die IT-Abteilung mit 30 oder mehr verschiedenen Verfahren für Updates und Patches arbeiten muss, um die eingesetzten Anwendungen immer auf dem neuesten Stand zu halten. Auf eine Installation der verfügbaren Updates und Patches wird daher oftmals auch aus Angst vor einer möglichen System-Inkompatibilität verzichtet. Industriebetriebe müssen sich jedoch angesichts der zunehmenden Vernetzung der produktionsnahen Systeme mit Standard-IT der Herausforderung stellen, ihre Büro-Netzwerke als mögliche Einfallstore für Schadsoftware abzusichern. Der Grundsatz 'Never touch a running system' ist nachvollziehbar, birgt aber angesichts der potenziellen Angriffsvektoren unkalkulierbare Risiken für die IT-Infrastruktur.
Policy-Management gegen ungewollten USB-Zugriff
Die Angriffe auf Unternehmen erfolgen nicht ausschließlich über das Internet. Nicht selten gelangt Spionagesoftware mit Hilfe infizierter USB-Sticks in das firmeninterne Netzwerk. Ermittlungsbehörden konnten in einzelnen Fällen von Betriebsspionage nachweisen, dass die Angreifer präparierte USB-Sticks auf Parkplätzen oder in Fahrstühlen von Unternehmen als 'Fundsache' innerhalb des Zielobjektes platzierten. Bei diesem Konzept setzen die Täter auf die Neugier des Finders, der diesen ohne weitere Gedanken zu verschwenden in seinen Arbeitsplatz-PC steckt, um zu überprüfen, ob sich vielleicht interessante Daten darauf befinden. Der installierte Schädling könnte, wie auch bei Angriffen über das Internet, nicht geschlossene Lücken in der installierten Software ausnutzen, um sich im Netzwerk zu verbreiten. Letztlich könnten so auch Industrierechner (IPC) erreicht werden, die nicht direkt mit dem Internet verbunden sind. Als Gegenmaßnahme sollten Unternehmen generell den Gebrauch privater Speichermedien in einer IT-Policy fixieren und Mitarbeiter für das Thema Datensicherheit und Cyber-Spionage sensibilisieren. Zusätzlichen Schutz schaffen Sicherheitslösungen mit integriertem Policy-Management, die den Gebrauch von USB-Speichermedien oder externen Festplatten technisch verhindern.
Patch-Management in den Grundschutz- Katalogen
Die zentrale Rolle des Patch-Management betont auch das Bundesamt für Sicherheit in der Informationstechnik (BSI), das Patch- und Änderungsmanagement unter der Überschrift 'Übergreifende Aspekte' den Baustein B 1.14 in den Grundschutzkatalogen widmet. Die Autoren legen den Wert der systematischen Aktualisierung für die Sicherheit ausführlich dar und beschreiben unter M. 2.421 detailliert den zugehörigen Planungs- und Durchführungsprozess. Doch das Verfahren zieht hohen Zeit- und Ressourcenaufwand nach sich, wenn es nicht durch benutzerfreundliche Tools unterstützt wird. Vor allem das Durchführen von Patch-Tests kann einen zeitraubenden Faktor darstellen. Die BSI-Autoren merken an, dass Patch-Management eine Aufgabe darstellt, die vor allem kleine Organisationen stark fordert, und legen nahe, dass sich diese gegebenenfalls auf Änderungsmanagement beschränken sollten. Für größere Einheiten allerdings erklären sie Patch-Management quasi zur Pflicht. Mit den richtigen Werkzeugen können Unternehmen jeglicher Größe die schnelle Einbindung von Patches als einen integrativen Bestandteil ihres IT-Sicherheits-Konzeptes kostengünstig betreiben. Administratoren können so in die Lage versetzt werden, Update- und Patch-Installation unabhängig von Netzwerkgröße und Software-Installationsbreite sicher zu bewältigen. Cyber-Kriminelle haben dann keine Chance mehr, die IT-Infrastruktur über nicht geschlossene Schwachstellen zu infiltrieren.
'Never touch a running system' ist eine riskante Maxime: Auf Computer und Software im Auslieferungszustand oder auf Systeme, deren Wartungsstand Schwachpunkte enthält, können sich Cyberkriminelle besonders gut einstellen. Effektives Patch-Management ist deshalb auch für Industriebetriebe unumgänglich - es kann gefährliche Angriffslücken in der IT-Infrastruktur von Unternehmen schließen.
Bild: G DataGefahren, die durch Malware wie Trojaner und Würmer entstehen, sind hinlänglich bekannt und im Bewusstsein der IT-Verantwortlichen längst angekommen. Dagegen wird das Gefahrenpotenzial durch nicht geschlossene Sicherheitslücken bei den installierten Programmen oft unterschätzt. Nach Angaben des IT-Konzerns Microsoft werden am Tag durchschnittlich 22 Sicherheitslücken bekannt, pro Jahr kommen so über 8.000 Schwachstellen zusammen. Angreifer werten diese Lücken aus: Gut 70 Prozent aller Exploits werden für Cyber-Attacken ausgenutzt - obwohl zum Zeitpunkt des jeweiligen Angriffs für 90 Prozent der Schwachstellen bereits ein Patch durch den jeweiligen Hersteller verfügbar war. Für das Jahr 2013 wird erwartet, dass Schadprogramme, welche diese Sicherheitslücken nutzen, die Spitze des Gefahren-Rankings bilden. Das Installieren von Patches und Updates ist daher ein entscheidender Baustein im IT-Security-Gerüst. Ein mangelndes Bewusstsein für die Wichtigkeit der Programm-Aktualisierungen spielt Online-Kriminellen in die Hände und ermöglicht erfolgreiche Attacken. Die Folgen für das Unternehmen reichen von wirtschaftlichen Einbußen über datenschutzrechtliche Konsequenzen bis hin zu Reputationsproblemen.
G Data Software AG
Dieser Artikel erschien in IT&PRODUCTION Mai 2014 - 07.05.14.Für weitere Artikel besuchen Sie www.it-production.com
