In Zeiten, in denen Netzwerkgrenzen schwinden, sehen IT-Landschaften ganz anders aus wie früher. Neben Firmen Campus, externem Rechenzentrum, der Agentur für den Webauftritt und Hersteller- und Partnernetzen dominieren heute vor allem Internet und Cloud Services.
Verwundbarkeit lauert heute an allen Ecken:
Beispiel für typische Schwachstellen von extern betriebenen Rechenzentren:
- Server Betriebssystem nicht auf dem aktuellsten Stand
- 5 wichtige Security Updates nicht eingespielt
- 3 weitere Security Updates eingespielt, aber nicht aktiv wegen fehlendem Neustart des Systems
- Server Betriebssystem nicht hinreichend abgesichert
- Fehlerhafte Rechteverwaltung auf kritische Dateien
- Keine Integritätssicherung kritischer Dateien
- Nicht benötigte Dienste aktiv
- Applikationen installiert, die nicht benötigt werden
- Datenbank nicht auf dem aktuellsten Stand
- Letztes, als kritisch eingestuftes Security Update nicht eingespielt
- Security Update eingespielt, aber nicht für alle DB-Instanzen aktiv und damit wirksam
- Datenbank nicht hinreichend gesichert
- Mehrere Konten mit vollen DBA Rechten, abgesichert mit schwachen Passwörten,die nicht den Sicherheitsrichtlinien entsprechen
- ... und vieles mehr
Beispiel für typische Schwachstellen in Webauftritten, entwickelt und betrieben von einer externen Agentur:
- Unternehmens-Webseite verbreitet Schadsoftware
- Vor Monaten erfolgreich angegriffen, bis heute unbemerkt
- Versteckter Code eingebaut der Botnet Software auf die Rechner der Besucher installiert (Drive-By Infection)
- Unternehmens-Webshop aus dem Internet sehr einfach anzugreifen
- SQL Injection erlaubt Zugriff auf Datenbank mit Kundendaten
- Cross Site Scripting erlaubt Angriffe auf Rechner der Besucher und Benutzer
- Denial of Service Attacke verursacht hohen wirtschaftlichen Schaden
- Als vertraulich klassifizierte Informationen stehen über URLs der Öffentlichkeit zur Verfügung
- Falscher Einsatz von Verschlüsselungstechnologien
- Veraltete, unsichere Versionen von SSL werden unterstützt (SSLv2)
- Kurze Schlüssellängen werden unterstützt (RC4-40, DES-56)
- Zertifikatskette ist nicht durchgängig verifizierbar
- Keine klare Netzwerksegmentierung
- Webauftritte verschiedener Kunden auf denselben Systemen bzw. auf Systemen in denselben Netzen
- Entwicklungsumgebung nicht klar getrennt von Produktionsumgebung
- ... und vieles mehr
- Betriebssystem und Applikationen auf hunderten von Workstations nicht auf aktuellstem Stand
- Patchmanagement nicht durchgängig implementiert bzw. unvollständig
- Zentrale Corerouter und Coreswitche anfällig für verschiedene Arten von Angriffen
- Software seit Jahren nicht aktualisiert, da niemand die Verantwortung dafür übernehmen will
- Externer Mitarbeiter sorgt für mehrere Stunden Netzstillstand und verursacht hohe Verluste
- Mit Schadsoftware infiziert, weil keine lokalen Schutzmechanismen auf dem externen Notebook
- Interner Mitarbeiter verstößt gegen Sicherheitsrichtlinie
- Privat mitgebrachter WLAN Router öffnet unautorisierten Zugang in interne Netze
- Andere, nicht autorisierte Systeme, werden ans Firmennetz angeschlossen und erzeugen somit eine Schatten-IT
- Gezielte Industriespionage
- (Interner) Angreifer nutzt Schwachstelle auf einem verwundbaren Desktop- oder Serversystem aus
- Nutzt dieses als Next-Hop um lohnenswerte Systeme anzugreifen, die unternehmenskritische Daten verarbeiten
- ... und unendlich viel mehr
Hier ein paar Fragen, die sich jede Unternehmensführung heute stellen muss:
- Kennen Sie Ihre IT-Infrastruktur und das damit einhergehende IT-Risiko?
- Sie haben eine Schatten-IT, auch wenn Sie es nicht glauben
- Wie können Sie die Einhaltung von Vorgaben aus Richtlinien überprüfen?
- Von Vorgaben abweichende Systeme müssen automatisiert erkannt werden
- Wichtig für Aufbau und Betrieb eines Internen Kontroll Systems (IKS)
- Sind Sie zu anerkannten Standards und Frameworks konform (compliant)?
- Nachweise werden immer wichtiger für‘s tägliche Geschäft (Audits, Zertifizierungen)
- Wie können Sie Ihren Patchprozess priorisieren und verifizieren?
- Schwachstellen mit hohem Risiko müssen schnell geschlossen werden
- Patchmanagementsysteme sagen oft nicht die Wahrheit
- Wie können Sie outgesourcete Systemumgebungen überprüfen?
- Blindes Vertrauen in die Einhaltung von SLAs ist keine Option
- Was können Sie zur Reduzierung Ihres IT-Risikos unternehmen?
- IT-Risikomanagement ist zentraler Bestandteil des Unternehmens-Risikomanagements
Die Lösung liegt doch auf der Hand und ist recht einfach: Sie müssen Transparenz schaffen
- Transparenz durch automatisierte und regelmäßige Schwachstellen- und Richtlinienüberprüfungen über möglichst alle Netze, Systeme und Applikationen
- Nur Transparenz ermöglicht eine effektive und effiziente Unterstützung Ihrer IT-Sicherheitsprozesse
- Transparenz ist somit die wichtigste Grundlage eines nachweislich wirksam funktionierenden IT-Risikomanagements
Mehr davon in meinem nächsten Post (QualysGuard Teil 2).
