[datensicherheit.de, 10.08.2011] Es sei selten das Versagen der Sicherheitsmechanismen, als vielmehr die fehlende Aufmerksamkeit der Unternehmen, die Hackern Tür und Tor öffne, so Hermann Klein, „Country Manager DACH“ von Stonesoft. Cyber-Kriminelle missbrauchten gerne Mitarbeiterrechner oder -laptops, um Netzwerke zu infizieren. Das sei allgemein bekannt, deshalb gebe es Firewalls und „Intrusion Prevention Systeme“ (IPS), um die Serverdaten von diesen Geräten getrennt zu sichern. Aber die Installation solcher Schutzmechanismen alleine reiche eben nicht. Vielmehr müssten starke Sicherheitsrichtlinien hinterlegt sein und jemand müsse die Alarme der Systeme auch überwachen. Dafür benötigten Administratoren ein zentrales Management, um das gesamte Netzwerk im Blick zu haben. Ohne diese ständige Aufmerksamkeit tappten Unternehmen im „Sicherheits-Dunkeln“ – in dem sich Hacker mit Methoden wie Port-Scans, Schadsoftware oder Passwortspionage in aller Ruhe nach einer Sicherheitslücke umsehen könnten.
IPS würden die oben genannten Methoden erkennen – aber eben nur, wenn sie entsprechend konfiguriert sind. Die Alarme müssten so gesetzt sein, dass sie jedes ungewöhnliche Verhalten jedes einzelnen Computers im Netzwerk sofort meldeten. Zusätzlich müssten die verschiedenen Sicherheitsebenen in einem Netzwerk, beispielsweise E-Mail-Schutz, Endgeräte-Schutz, Firewalls und IPS, miteinander kommunizieren, fordert Klein. Das könnten intelligente Systeme heute gut leisten. Denn letztendlich gelte, dass die meisten Angriffe genug Spuren hinterließen, um rechtzeitig zu erkennen, dass etwas nicht stimmt.
Die Zunahme erfolgreicher Attacken auf eigentlich gut geschützte Netzwerke habe jedoch auch die IT-Sicherheitsbranche mit zu verantworten. Es gebe Hacker-Methoden, wie beispielsweise die sogenannten „Advanced Evasion Techniques“, die keinerlei Spuren hinterließen. Als eine Art Tarnmantel für Angriffe seien diese genau dafür konzipiert und stellten die IT-Sicherheit vor neue Herausforderungen. Viele Anbieter hätten sich in den vergangenen Jahren in der Entwicklung jedoch eher auf Geschwindigkeit oder neue Features konzentriert, die den Zugang zu einzelnen Webapplikationen sperrten. Der momentane Trend in der Branche gehe dahin, immer mehr kontrollieren zu wollen. Damit beeinträchtigten Unternehmen jedoch die Produktivität ihrer Mitarbeiter und verschlössen sich gegenüber neuen Absatzmärkten im Netz. Die Kernaufgabe der IT-Sicherheit sei nach wie vor, Angriffe zu entdecken, aufzuhalten und eine Ausbreitung im Netzwerk zu verhindern, betont Klein, die wirksamen Werkzeuge dafür gebe es. Sowohl die Sicherheitstools als auch die Unternehmen selbst müssten die momentane Situation in ihrem Netzwerk im Blick haben und vor allem auch im Blick behalten – nur so lasse sich Datendiebstahl verhindern.

[datensicherheit.de, 02.07.2011] Stonesoft, weltweiter Anbieter integrierter Lösungen für Netzwerksicherheit, fordert Unternehmen auf, ihre bisherigen IT-Sicherheitsstrategien zu überprüfen. „Wikileaks“, „Stuxnet“, die Entdeckung von „Advanced Evasion Techniques“ (AETs) und der Angriff auf RSA hätten die Sicherheitslandschaft dauerhaft verändert. Unternehmen sollten deshalb ihr Risikomanagement sowie ihre Sicherheitsarchitektur an die neue Gefahrenlage anpassen:
Je wertvoller die gespeicherten Informationen eines Unternehmens sind, desto größer ist das Risiko für einen Angriff. Die IT-Sicherheitsstrategie sollte daher zum Verantwortungsbereich des Top-Managements gehören und nicht allein den IT-Verantwortlichen überlassen werden.
Sowohl „Wikileaks“ als auch „Stuxnet“ hätten gezeigt, dass jede Institution Ziel von Datendiebstahl oder erfolgreicher Cyber-Attacken werden könne. Dabei gebe es Organisationen und/oder Einzelpersonen, die über die Ressourcen und Kompetenzen verfügten, um hochentwickelte, gezielte Attacken auf Unternehmen durchzuführen – vor allem, wenn es dabei um viel Geld geht. Insbesondere Informationen und Daten, deren Veröffentlichung für das Unternehmen geschäftsschädigend wäre, müssten deshalb entsprechend geschützt werden, fordert Stonesoft.
Die 2010 von Stonesoft entdeckten „Advanced Evasion Techniques“ (AETs) sind eine neue Art von „Evasion“-Techniken. AETs lassen sich beliebig ändern oder kombinieren, um Sicherheitssysteme zu umgehen. Dadurch haben Hacker eine Art Generalschlüssel, mit dem sie Schadsoftware unbemerkt selbst in geschützte Netzwerke einschleusen können. Die Sicherheitsbranche habe sich laut Stonesoft bisher zu stark auf die Geschwindigkeit und Vermarktung ihrer Produkte konzentriert und dabei das Wichtigste vernachlässigt, nämlich echte Sicherheit. Nach der Entdeckung von AETs liegt es nun an den Unternehmen selbst, ihre Sicherheitsarchitektur zu überprüfen und einen ausreichenden Schutz für unternehmenskritische Daten und Systeme sicherzustellen.

© 2011 Stonesoft Germany GmbH

Hermann Klein, „Country Manager DACH“ von Stonesoft: Sicherheit ist Aufgabengebiet des Top-Managements!

Überblick von Stonesoft über aktuelle Sicherheitsvorfälle:

NASDAQ, 2010
Hacker verschafften sich mehrmals Zugang zum Computernetzwerk des Betreibers der NASDAQ-Börse. Dieser Fall stellt die Behörden vor zwei Herausforderungen – die Stabilität und Zuverlässigkeit des Online-Handels zu gewährleisten und das Vertrauen der Anleger in dieses System zu erhalten.

RSA, März 2011
Hacker drangen in die Systeme des Sicherheitsunternehmens RSA, der auf IT-Sicherheit spezialisierten Tochtergesellschaft der EMC Corporation, ein und entwendeten dabei Informationen über die Zwei-Faktor-Authentifizierungsprodukte von RSA.

Sony, 2011
Im Frühjahr 2011 kam es binnen kurzer Zeit zu mehreren Angriffen auf Sony, unter anderem auf das „PlayStation Network“. Dabei wurden personenbezogene Daten von über 100 Millionen Nutzern gestohlen.

Comodo, März 2011
Der US-amerikanische Zertifizierungsdienstleister hat eingeräumt, dass zwei weitere so genannte „Registration Authorities“ (RAs), also Partnerunternehmen zur Ausstellung digitaler Zertifikate, attackiert wurden.

Barracuda, April 2011
Hacker fanden eine SQL-Injection-Schwachstelle auf der Website von Barracuda, über die sie sich Zugang zu unterschiedlichen Datenbanken sowie den Namen und Kontaktdaten von Partnern, Kunden und Mitarbeitern des Unternehmens verschaffen konnten.

Lockheed Martin Corporation, Mai 2011
Unbekannte Hacker brachen in die Sicherheitsnetzwerke des weltweit größten Rüstungskonzerns Lockheed Martin ein.

L-3 Communications, Hacking-Versuch 2011
Hacker haben versucht, in die Netzwerke des Rüstungskonzerns L-3 Communications einzudringen und an geheime Informationen zu gelangen. L-3 hat sich nicht dazu geäußert, ob der Angriff gelungen ist.

Citibank, Hacker-Angriff im Mai 2011
Bei einem Angriff wurden Daten von ca. 200.000 Citibank-Kunden aus Nordamerika gestohlen, darunter Kontaktinformationen wie Namen und E-Mail-Adressen.

IWF, Hacker-Angriff im Juni 2011
Der Internationale Währungsfond (IWF), die zwischenstaatliche Organisation zur Überwachung des globalen Finanzsystems mit 187 Mitgliedsstaaten, war Ziel einer der jüngsten Hacker-Angriffe.

All diese attackierten Unternehmen und Institutionen haben eines gemeinsam – die Netzwerksicherheitssysteme sind auf höchste Sicherheit und Integrität ausgelegt. Sie verfügen allesamt über gut ausgestattete eigene Sicherheits-Teams mit Kontrollinstrumenten, um ihre Netzwerke zu verwalten und vor unterschiedlichen Störfallszenarien zu schützen. Trotzdem konnten sie erfolgreich attackiert werden. Da Cracking-Tools ständig weiterentwickelt werden und zunehmend Verbreitung finden, ist die Wahrscheinlichkeit groß, dass es künftig zu immer mehr Angriffen kommt.
Die Bedrohungslandschaft habe sich dauerhaft verändert. Deshalb müssten Unternehmen ihre Strategien zum Schutz digitaler Daten überprüfen. Die IT-Sicherheitsstrategie werde ein immer wichtigerer Bereich des Risikomanagements, der zum Aufgabengebiet des Top-Managements eines Unternehmens gehören sollte. Wenn das Thema Sicherheit von den Unternehmensverantwortlichen ignoriert und allein dem IT-Management überlassen werde, deute das auf eine schwache Unternehmensführung hin, sagt Hermann Klein, „Country Manager DACH“ von Stonesoft. Selbst der Vorstand sollte sich beteiligen, indem er die Zuständigkeiten des Managements beaufsichtigt und das Risikoprofil des Unternehmens überprüft.

Weitere Informationen zum Thema:

StoneBlog
because Network Security is everybody’s business