Samstag, 28. Mai 2016
Twitter Facebook Mister Wong Delicious stumbleupon digg Yahoo

Neueste Technologie für Administratoren

Systembetreuer im Windows-Umfeld brauchen Know-how über die neuesten Entwicklungen. Einsatzbeispiele und Tipps aus der Praxis führen zu mehr Effizienz im täglichen Betrieb. Wir bieten Skript-basierte Lösungen von Windows IT Pro exklusiv im deutschsprachigen Raum für unsere Abonnenten.

Sicherheit: vorausschauende Planung statt Krisenreaktion

Mav Turner, Director of Security bei SolarWinds (Quelle: Solarwinds)

Sicherheitslücken können nie komplett ausgeschlossen werden. Man muss lediglich die IT-Experten der betroffenen Unternehmen fragen, egal ob Einzelhändler oder IT-Anbieter für Großkunden: Es ist sehr wahrscheinlich, dass sie noch mit den Folgen einer Sicherheitsverletzung zu kämpfen haben oder gerade erst begonnen haben herauszufinden, wie sie derartige Vorfälle in Zukunft verhindern können.


Entsprechende Vorfälle haben zudem gezeigt, dass Unternehmen sich nicht auf ihren Lorbeeren ausruhen dürfen und Sicherheitsteams bei der Überwachung des Netzwerks in ständiger Bereitschaft sein müssen, um Daten, Betriebsabläufe und den Ruf des Unternehmens zu schützen. Bei all dem wird jedoch oft vergessen, die Schwächen einer Sicherheitsstrategie zu erwähnen, die sich rein auf das Reagieren auf Probleme beschränkt und auf einen Angriff „wartet“, um anschließend mögliche Schäden zu beheben.

Mav Turner, Director of Security (Quelle: Solarwinds)

Um mit den Ereignissen Schritt zu halten, müssen Sicherheitsexperten in die Offensive gehen und einen proaktiven Sicherheitsplan entwickeln, der potentielle Bedrohungen erkennt und beseitigt, bevor sie ein Risiko darstellen. Warum ist ein proaktiver Sicherheitsplan so wichtig? Für heutige Sicherheitsexperten reicht es nicht aus, eine gute (oder sogar großartige) Verteidigung aufzubauen und sich dann anderen Dingen zuzuwenden. Die Fähigkeit, bei einem Sicherheitsvorfall schnell zu reagieren, ist wichtig – doch Angreifer sind äußerst erfinderisch und zeigen in der Regel eine extrem schnelle Lernkurve.

Beispielsweise ist der Angriff auf ein Unternehmen möglicherweise nicht darauf ausgerichtet, eine einzelne neue Schwachstelle auszunutzen, sondern eher eine Vielzahl nicht entdeckter oder nicht behobener Sicherheitslücken, was bedeutet, dass Angreifer mit minimalem Aufwand maximalen Schaden anrichten können.

Gleichzeitig sind nicht nur große und bekannte Unternehmen Ziel der Angriffe, sondern Organisationen jeder Art und Größe. Selbst kleine Unternehmen, die über keine größeren Werte verfügen, gehören einfach deshalb zu den Hauptangriffszielen, weil sie ein leichtes Ziel darstellen oder genügend Daten besitzen, um für weitere Angriffe nützlich zu sein. Daher müssen IT-Experten immer berücksichtigen, welche unterschiedlichen Arten von Daten von Wert sein können, insbesondere Zahlungs- und Finanzdaten, Kontaktdaten von Kunden, firmeneigene Informationen und sogar Produktentwicklungspläne.

Während große Unternehmen einen solchen Angriff vermutlich überstehen werden, kann er für kleine Banken, Kreditgenossenschaften oder Einzelhandelsgeschäfte das Aus bedeuten. Mit anderen Worten: Angreifer werden von Gelegenheitszielen genauso angezogen wie von den virtuellen Goldminen der großen Unternehmen, deren Sicherheitsprobleme es in die Schlagzeilen geschafft haben.

Auf welche Weise macht sich die IT angreifbarer?

Unternehmen gewöhnen sich gerade daran, das Tempo ihrer Umstrukturierungen an das Tempo der IT und der technischen Innovationen anzupassen, die eine höhere Effizienz, eine schnellere Markteinführung und gesteigerte Umsätze ermöglichen. Das bedeutet jedoch auch, dass das Netzwerk sich permanent ändert – dazu tragen Entwicklungen bei wie BYOD, VPN, das Aufkommen von SaaS, oder das Internet der Dinge (IoT). Die IT muss aktiv überprüfen, auf welche Weise diese Änderungen zu zusätzlichen Risiken und Sicherheitslücken führen, die Angreifer ausnutzen können.

Eigentümlicher Weise kann auch die Compliance zu einer höheren Anfälligkeit führen. Auch wenn häufigere umfassende Compliance-Prüfungen das Unternehmen dabei unterstützen, behördliche und brancheninterne Anforderungen zu erfüllen, darf das Sicherheitsteam die Compliance nicht mit der Sicherheit gleichsetzen. Es wäre ein fataler Denkfehler, davon auszugehen, dass durch die Einhaltung der Compliance-Bestimmungen auch die Sicherheit gewährleistet wird. Viele Regulierungsbehörden weisen mittlerweile ausdrücklich darauf hin, dass Compliance-Anforderungen nicht die Sicherheit an sich gewährleisten. Ein Beispiel ist die PCI: Auch wenn ein Unternehmen eine Prüfung besteht, kann es im Falle einer Datensicherheitsverletzung mit einer Strafe belegt werden.

Dazu kommen die typischen Gründe, die die IT daran hindern, einen proaktiveren Sicherheitsplan einzusetzen, beispielsweise Zeitmangel, fehlende personelle Ressourcen und ein Mangel an fortlaufenden Schulungsmöglichkeiten zu den sich ständig wandelnden Bedrohungen. Die Trennung zwischen den zuständigen Teams für Web, Sicherheit, Entwicklung, Virtualisierung, Systeme und andere Bereiche – verstärkt durch die separaten Überwachungsumgebungen, die in manchen Unternehmen noch zu finden sind – macht es schwierig, einen Startpunkt zu finden.

Vier Methoden zum Implementieren eines proaktiven Sicherheitsplans

Die folgenden Vorgehensweisen empfehlen sich, um einen proaktiven Sicherheitsplan zu implementieren und dadurch die laufenden reaktiven Sicherheitsmaßnahmen zu unterstützen:

  • Dokumentation: Jeder IT-Angestellte – nicht nur ein Sicherheitsadministrator – kann durch das Dokumentieren von Vorgängen unmittelbar zur fortlaufenden Wartung und Implementierung beitragen. Dies umfasst interne Kontaktdaten, Informationen zu Anbietern und Sicherheitstools, Vorfallreaktionspläne und mehr.
  • Datenorientierter statt netzwerkorientierter Ansatz: Anstatt in der Anzahl von VPNs zu denken oder wo Firewalls zu installieren sind, sollte sich die IT damit befassen, wo und wie Dateien gespeichert sind und wie Angreifer versuchen werden, an diese zu gelangen und sie zu verwenden. Daher sollten die Betrachtungen zunächst auf die vertraulichsten Informationen konzentriert werden und von dort aus weitergehen.
  • Werte zuweisen: Dem Risiko sollte eine Geldwert zugewiesen werden, um zu zeigen, inwiefern Sicherheitserfolge oder Sicherheitslücken direkte Auswirkungen auf das Geschäft haben. Dadurch gewinnen Administratoren nicht nur die Unterstützung durch die Unternehmensleitung hinsichtlich Ressourcen und Personal, sondern demonstrieren auch den Wert der IT-Sicherheit als wichtigen Umsatzschutz innerhalb des Unternehmens.
  • Prioritäten setzen: Welche IT-Tools werden gemäß dem Geschäftsbedarf tatsächlich benötigt? Hochwertige, komplexe unternehmenstaugliche Sicherheitstools helfen nur dann, wenn sie korrekt und nach Leistungsfähigkeit angewendet werden. IT-Tools sind weitaus wirkungsvoller, wenn sie direkt die Geschäftsbedürfnisse erfüllen, nicht andauernd aus Kostensicht hinterfragt und leicht eingeführt und auf fortlaufender, regelmäßiger Basis verwendet werden.

IT-Experten reagieren auf den zunehmenden Ruf nach proaktiver Sicherheit, doch man darf nicht vergessen, dass es hier nicht um ein einmaliges Ereignis geht: Proaktive Sicherheitspläne entstehen monatlich, wöchentlich oder gar täglich. Die besten proaktiven Sicherheitspläne umfassen sämtliche Bereiche eines Unternehmens: das Sicherheitsteam, die gesamte IT-Organisation, die Geschäftsleitung und auch die gewöhnlichen Mitarbeiter. Durch proaktives Handeln kann ein zukunftsorientiert denkender Sicherheitsexperte die Gefahr, dass sein Unternehmen in den Schlagzeilen zum nächsten größeren Sicherheitsvorfall auftaucht, erheblich eindämmen.

Mav Turner

Anmelden
Anmelden