Sicherheit ganzheitlich betrachten und umsetzen

Dieser Artikel stammt aus dem Buch “Windows Server 2003 – Die Expertentipps” von Microsoft Press. Wir veröffentlichen ihn hier mit freundlicher Genehmigung des Verlags.

Netzwerke werden von technisch versierten Personen betrieben. Diese sind oft nicht nur gut über technische Belange informiert, sondern haben meist auch eine große Nähe zur Technik und zu technisch orientiertem Denken. Da ist es nur selbstverständlich, dass sie ein Thema wie EDV-Sicherheit auch technisch angehen. Schließlich handelt es sich bei EDV-Sicherheit um ein technisches Thema – oder etwa nicht?

Leider ist dies ein Trugschluss. Es dürfte auf der Welt nicht allzu viele Computer oder gar Netzwerke geben, die rein technisch betrieben werden, also ohne jede Mitwirkung oder Verbindung zu Menschen. Genau betrachtet wäre es sogar sehr erstaunlich, wenn es auch nur ein einziges Netzwerk dieser Art gäbe. Denn Computer und Netzwerke sind immer noch Werkzeuge, die von Menschen eingesetzt werden, um irgendwas zu erreichen (und hoffentlich bleibt dies auch noch eine Weile so). Das bedeutet: Computer werden von Menschen in Betrieb genommen, konfiguriert und programmiert. Menschen nutzen die Ergebnisse, die von Computern berechnet werden, und Menschen sorgen für den Datenaustausch zwischen Computern. Jede einzelne technische Komponente, die zur Absicherung eines Computers dient, wird von einem Menschen installiert oder kann von ihm entfernt werden. Kann EDV-Sicherheit also ein technisches Thema sein?

Nun sind Menschen aber genauso wenig unfehlbar wie sie stets nur Gutes im Schilde führen. Auch jede Form von so genannter Computerkriminalität wird mitnichten von Computern ausgeführt: Computer eignen sich nicht als Verbrecher. Kriminell sind die Menschen, die den Computer nur als Mittel einsetzen, üblicherweise sogar nur als eines unter vielen genutzten Mitteln. Eine EDV-Sicherheitsstrategie, die ausschließlich technisch orientiert ist, muss also zwangsläufig zu kurz greifen. Wahrscheinlich muss man sogar noch weiter gehen und sagen: Eine rein technische EDV-Sicherheitsstrategie geht am Wesentlichen vorbei.

Sicherheit muss als ganzheitliche Aufgabe betrachtet werden, die eine Vielzahl von Faktoren und Komponenten berücksichtigt. Und mehr noch: Sicherheit ist kein Zustand, der erreicht werden kann. Sie ist ein Prozess, der stetig fortgeführt, erneuert und neu begonnen werden muss. Eine Firewall, deren Technik vor zwei Jahren als brandaktuell galt, ist heute hoffnungslos veraltet. Ein Virenscanner mit Erkennungsmustern von vor drei Monaten ist ein Sicherheitsrisiko. Wie kann ein Sicherheitskonzept, das heute umgesetzt wurde, nach Ablauf einer beliebigen Zeit immer noch als sicher gelten? Ob Ihr Netzwerk »sicher« ist, können Sie nicht feststellen. Ein sicheres Netzwerk würde sich dadurch auszeichnen, dass keine Angriffe erfolgreich sind. Dass etwas nicht der Fall ist, können Sie aber nicht beweisen, sondern bestenfalls erhoffen: Hätte Reinhold Messner den Beweis erbracht, dass der Yeti existiert, wäre die Sache klar gewesen. Er konnte es nicht, und so sind wir geneigt, den Yeti für eine Märchengestalt zu halten (siehe auch http://de.wikipedia.org/wiki/Yeti). Niemand kann aber den Beweis erbringen, dass es keinen Yeti gibt, und somit könnte er uns immer noch jederzeit beim Einkaufen begegnen. Wie sicher sind Sie also, dass keine Angreifer in Ihr Netzwerk eindringen können – zumal, wenn Sie davon ausgehen müssen, dass jemand, der in Ihr Netzwerk einbricht, sicher auch pfiffig genug ist, seine deutlichsten Spuren gut zu verwischen?

Mehrstufige Verteidigung

Die beiden amerikanischen Microsoft-Mitarbeiter Steve Riley und Jesper M. Johansson haben in ihrem hervorragenden Buch »Protect Your Windows Network: From Perimeter to Data« (Addison-Wesley, 2005) ein vereinfachtes Modell zur Absicherung von Netzwerken beschrieben, das sie als »Defense-in-Depth Model« (übersetzt etwa: Modell zur mehrstufigen Verteidigung) bezeichnen. Die Idee, dass die Absicherung eines Netzwerks nicht nur auf einer Ebene stattfinden kann, sondern an vielen Stellen gleichzeitig stattfinden muss, ist in der IT-Sicherheitsdiskussion nicht neu, aber Riley und Johansson haben eine überzeugende und einfache Möglichkeit gefunden, sie zu verdeutlichen. Ihr Modell orientiert sich am OSI-Sieben-Schichten-Modell für Netzwerkprotokolle und beschreibt unterschiedliche Aspekte, die bei der Verteidigung eines Netzwerks gegen Angriffe und Risiken zu berücksichtigen sind (siehe Abbildung). Die Begriffe von Riley und Johansson sind hier ins Deutsche übertragen.

Das Modell zur mehrstufigen Verteidigung nach Riley und Johansson ordnet die verschiedenen Bereiche der IT-Sicherheit schichtenweise an, wie es vom OSI-Netzwerkmodell bekannt ist

Ein wesentlicher Vorzug dieses Modells ist seine Betonung von zwei Aspekten, die in der IT-Sicherheitstechnik oft übersehen werden. Dies sind zum einen die Bedeutung von menschlichen Verhaltensweisen und Unternehmensprozessen und zum anderen die physische Absicherung der Netzwerkkomponenten. Ohne sicherheitsbewusste Verhaltensweisen, Richtlinien und Betriebsweisen sowie ohne den physischen Netzwerkschutz nützen technische Maßnahmen wenig. Die technischen Maßnahmen selbst sind schichtweise zu betrachten. Das Modell ordnet sie hierbei gewissermaßen von »außen« nach »innen« an. Dabei liest sich das Modell folgendermaßen:

• Die äußerste Schicht der IT-Sicherheit wird gebildet von den Mitarbeiterinnen und Mitarbeitern (Personen), den Richtlinien sowie den Unternehmensprozessen.
• Die nächste Schicht widmet sich der physischen Sicherheit.
• Die weiteren Schichten werden aufsteigend von unten nach oben betrachtet. Die Schicht der Netzwerkgrenze (auch »Perimeter«) bezeichnet die Außengrenze des Netzwerks.
• Die Netzwerkschicht bezeichnet das Unternehmens-LAN in Abgrenzung zum Internet, zu einer demilitarisierten Zone (DMZ) oder anderen äußeren Netzwerken.
• Die Schicht des einzelnen Computers betrachtet die Härtung und Absicherung des Einzelsystems.
• Die Schicht der Anwendung (Applikation) befasst sich mit dem Sicherheitsniveau der Anwendungen, die Zugriff auf Datenbestände gewähren.
• Die letzte Schicht ist die Datenschicht, die die Absicherung der eigentlichen Datenbestände beinhaltet.

Sofern eine Organisation kein konkretes Sicherheitsproblem bearbeiten muss, sondern allgemein das Sicherheitsniveau ihres Netzwerks verbessern will, empfiehlt sich ein Vorgehen, das ganzheitliche Aspekte wie die beschriebenen berücksichtigt. Dabei kann keine der aufgezeigten Schichten ausgelassen werden, weil dies eine systematische Lücke verursachen würde. Einige Hinweise zu den Schichten des Modells finden Sie in den folgenden Abschnitten.

Personen, Richtlinien, Prozesse

Besonderes Gewicht liegt auf der Tatsache, dass nichttechnische Faktoren oft am stärksten über die Sicherheit des Netzwerks entscheiden. Risiken sind oft auf nachlässigen oder unbewussten Umgang mit kritischen Informationen zurückzuführen. Sehr verbreitet ist das Beispiel vom Kennwort, das auf einem Zettel am Monitor notiert oder viel zu einfach ist. Eine Variation hiervon, die leider durchaus verbreitet ist, durfte ich vor einigen Jahren in einer öffentlichen Verwaltung erleben. In einer Schulung, die ich hielt, wurde anhand von Echtdaten in der produktiven Netzwerkumgebung gearbeitet. Bereits am ersten Vormittag wurde mir mitgeteilt, dass das Standardkennwort im Netzwerk geheim sei und dass dies eigentlich auch für alle Benutzerkonten gelte. Ich habe jetzt bewusst die Anführungsstriche weggelassen – das Kennwort lautete »geheim«. Ich mochte mir nicht ausmalen, wer dank dieser Information bereits Zugriff auf personenbezogene Bürgerdaten erhalten hatte.

Doch sind es mitnichten nur die Benutzer des Netzwerks, die sorglos mit der Sicherheit umgehen. In langer Dienstleistungspraxis habe ich mehr als ein Unternehmen kennen gelernt, dessen Administrator der Meinung war, dass ein einziges Kennwort für sein eigenes Konto, für die Firewall, den Internetrouter und auch für die eBay-Nutzung völlig ausreichend sei. Warum man sich dort noch die Mühe macht, in der Firewall demilitarisierte Zonen einzurichten, ist mir verborgen geblieben.

Physische Sicherheit

Einer der am häufigsten vernachlässigten Aspekte ist die physische Absicherung des Netzwerks, insbesondere der Server und zentralen Komponenten. Damit ist die Absicherung des direkten Zugangs zu den Maschinen gemeint, denn wer direkten Zugriff auf einen Computer hat, kann diesen schnell vollständig unter seine Kontrolle bringen. Während in den meisten Unternehmen der zentrale Serverraum wenigstens durch eine verschlossene Stahltür gesichert ist, werden Server in Außenstellen gern übersehen. Dabei fällt gerade dort ein Diebstahl oft erst sehr spät auf: Entwendet ein Angreifer am Freitagabend den Domänencontroller des Niederlassungsbüros, der in der Teeküche steht, hat er in der Regel bis zum späten Montagvormittag Zeit, bevor der Verlust überhaupt bemerkt wird. Wie viel von dieser Zeit er benötigt, um sämtliche Anmeldekonten der Domäne unter seine Kontrolle zu bringen, dürfen Sie selbst ausrechnen. Mehr zu diesem Thema lesen Sie in Tipp 6.2.

Es geht aber nicht nur um die Stahltür vor den Servern (und idealerweise ein elektronisches Schloss mit Zugangsprotokollierung und ähnliche Finessen). Wie ist beispielsweise die Klimaanlage gesichert, die Ihren Serverraum kühlt? Gelingt es jemandem, die Anlage zu sabotieren – weil etwa der Lüftungsauslass in den Lichtschacht unter dem Haupteingang eingebaut wurde –, hat er einen sehr einfachen und effizienten Angriff auf Ihre EDV durchgeführt, vielleicht nur mit einer Wolldecke oder etwas Herbstlaub und ganz ohne aufwändige Denial-of-Service-Skripts.

Netzwerkgrenze

Die Netzwerkgrenze zu schützen, wird von vielen als simples Thema abgetan: Klar, hier ist die Stelle, die man durch eine Firewall schützt. Das Schwierigste ist das Austüfteln der Regelwerke. Es sind aber gerade die einfachen Wahrheiten, die sich oft als größte Gefahrenquellen herausstellen. Denn wo ist überhaupt die Außengrenze Ihres Netzwerks? Haben Sie davon wirklich nur eine, genau an der Stelle, wo Ihre Standleitung zum Internet beginnt?

Moderne Netzwerke haben eine Vielzahl von Außengrenzen. Da wären zum einen die Notebooks, die nur dazu gebaut wurden, um außerhalb des Netzwerks betrieben zu werden. Und schon endet Ihr Netzwerk in irgendeinem zwielichtigen Hotel in der Nähe von Toulouse oder in der Gewalt der Tochter des Prokuristen. Sicher haben Sie auch den einen oder anderen Dienstleister, der seine Applikationen per Fernwartung betreut und dafür eine Einwahlmöglichkeit hat. Und natürlich verfügen Sie auch über einen Webzugriff auf Ihr Mailsystem, wodurch Sie auch ein Internetcafé in Bombay zu Ihrer Netzwerkgrenze zählen müssen, von kaum kontrollierbaren WLAN-Adaptern in verschiedenen PDAs mal ganz abgesehen. Wenn Sie näher darüber nachdenken, kommen Ihnen vielleicht Zweifel, ob eine Firewall die Grenzen Ihres Netzwerks wirklich ausreichend absichert. Es gibt Stimmen, die behaupten, dass moderne Netzwerke keine identifizierbare Grenze mehr haben.

Netzwerk

Der Aufbau der meisten Netzwerke folgt laut Riley und Johansson dem Eierschalenprinzip: Hinter einer harten Schale verbirgt sich ein weiches, gaumenfreundliches Inneres. In der Tat machen es viele Netzwerke leicht, sich einfach einzuklinken: Es reicht, das Netzwerkkabel einzustöpseln, und zumindest der Teil, der nicht durch Zugriffsberechtigungen gesichert ist, offenbart sich direkt. Netzwerkzugangslösungen oder Netzwerkverschlüsselung sind verfügbare, aber selten genutzte Gegenmaßnahmen. Ganz besonders trifft dieses Problem auf drahtlose Netzwerke zu (zu denen auch die zahlreichen Kurzstreckenfunktechniken wie Bluetooth oder drahtlose USB-Varianten zu zählen sind), die oft nicht einmal besondere räumliche Nähe voraussetzen, um ein Netzwerk zugänglich zu machen.

Computer

Netzwerke bestehen aus Computern. Um das Netzwerk wirklich abzusichern, müssen also auch alle Computer geschützt werden. Eine Maßnahme ist dabei mittlerweile sehr verbreitet, nämlich die Nutzung professioneller Antivirenprogramme. Auch ein professionelles Patchmanagement zur Verteilung von Softwareaktualisierungen wird immer üblicher. Gerade in Unternehmensnetzwerken hingegen neigen viele Administratoren dazu, eine weitere wichtige Technik abzuschalten: Lokale Firewalls (oft auch als »Personal Firewall« bezeichnet), wie sie z. B. vom Service Pack 2 für Windows XP mitgebracht werden. Der Zweck solcher Systeme besteht in einem Netzwerk darin, die Computer voreinander abzuschotten. Durch diesen Ansatz lässt sich ein erfolgreicher Angriff oder der Ausbruch einer Schadsoftware effektiv auf einen einzelnen Computer eindämmen, und der Rest des Netzwerks bleibt unbehelligt.

Bei der Absicherung der Computer sind aber Themen wie der Schutz von Peripheriegeräten nicht zu vernachlässigen – ein moderner MP3-Player bringt Datenmengen in dreistelliger Gigabytezahl aus dem Netzwerk, ohne beim Sicherheitspersonal Aufsehen zu erregen, und ein Angreifer benötigt dazu nur Sekunden. Berücksichtigen Sie hier auch wieder die Einhaltung von Richtlinien, z. B. dem Sperren der Anmeldesitzung, wenn man seinen Arbeitsplatz verlässt.

Anwendungen

Das beliebteste Einfallstor für Schadsoftware, aber auch für andere Arten von Angriffen sind Anwendungen, die Sicherheitslücken bieten oder sich durch ungünstige Konfiguration zum Eindringen in ein Netzwerk eignen. Ein kritischer Punkt ist hier, dass Sie nicht nur für die Betriebssysteme Ihres Netzwerks die Verteilung von Updates steuern, sondern auch für alle eingesetzten Anwendungen. Leider ist dies mit deutlich mehr Aufwand verbunden als beim Windows-Betriebssystem, denn längst nicht alle Anwendungshersteller pflegen ihre Produkte in ausreichendem Maße, und wenn es regelmäßige Aktualisierungen gibt, hat jeder sein eigenes Verfahren, diese zur Verfügung zu stellen. Ein professionelles Softwareverteilungssystem kann Ihnen hier auf der technischen Ebene Erleichterungen bieten.

Besonders angreifbar sind vor allem Anwendungen, die Sie übers Internet zur Verfügung stellen oder die einen Datenaustausch mit externen Stellen betreiben. Hier sollten Sie die jeweiligen Hersteller in die Pflicht nehmen, mögliche Angriffsstellen zügig zu beseitigen. Leider ist es für IT-Verantwortliche allerdings nur in seltenen Fällen zu beurteilen, ob und wo solche Schwachstellen vorhanden sind.

Daten

Die oberste Schicht des Modells der mehrstufigen Verteidigung wird gebildet von den Daten. Windows bietet zahlreiche Methoden, um die Speicherung und den Zugriff auf Daten abzusichern. An erster Stelle stehen dabei die Dateiberechtigungen des Dateisystems NTFS. Doch auch darüber hinaus bieten das Betriebssystem und die Applikationen differenzierte Mechanismen, Daten zu schützen.

Auch hier lohnt sich aber eine Kontrolle. Denn leider gibt es allzu oft Anwendungen, die zwar ihr eigenes Berechtigungssystem mitbringen, um sensible Daten vor unberechtigten Zugriffen zu schützen. Sobald man aber mit anderen Mitteln zugreift und die Kontrolle der Anwendung umgeht, sind die Daten völlig ungeschützt.

Jenseits der Zugriffssicherheit

EDV-Sicherheit kann aber auch noch andere Perspektiven beinhalten: Daten oder Systeme, die keinerlei Angriffen ausgesetzt waren, sind für das Unternehmen nutzlos oder gar gefährlich, wenn sie aufgrund technischer Defekte oder falscher Benutzung fehlerhaft sind oder zerstört werden. Neben der Zugriffssicherheit ist also auch die Betriebssicherheit ein kritischer Faktor in Ihrem Sicherheitskonzept. Beschränken Sie Ihre Analyse und Planung nicht auf »klassische« Sicherheitstechniken wie Firewalls, Intrusion-Detection-Systeme oder Kennwortrichtlinien, sondern beziehen Sie Datensicherung, Verfügbarkeitsanforderungen und Notfallkonzepte in Ihre Anstrengungen mit ein.

Wir hier drinnen und die da draußen

Ein fatales Missverständnis hat allzu lange die IT-Verantwortlichen auf eine falsche Fährte geführt. Viele Berater und Administratoren sind der Meinung, sich gegen externe Angreifer verteidigen zu müssen. Das alleine ist nicht falsch – Sie haben »dort draußen« Feinde, die entweder gezielt Ihr Unternehmen angreifen wollen – Mitbewerber, ehemalige Mitarbeiter, Unternehmensspione – oder die gar nicht Ihr Netzwerk speziell meinen, sondern allgemein auf Einbruch und Zerstörung aus sind – Würmer, »Skript-Kiddies« oder »Bot-Netze«. Der Fehler dieser Betrachtungsweise liegt in ihrem Fokus, denn mittlerweile gehen Experten davon aus, dass der weitaus größte Teil aller Angriffe innerhalb des Netzwerks stattfindet und nicht von außen her passiert. Manche Angreifer sind dabei nicht speziell in übler Absicht unterwegs, sondern wollen vielleicht nur schauen, wo sie überall hinkommen. Andere wollen die Tipps und Tricks diverser Webseiten oder reißerischer Zeitschriftenartikel ausprobieren. In jedem Fall sind die Angriffsmöglichkeiten innerhalb eines Netzwerks deutlich größer als außerhalb, und die Ursache liegt vor allem in der fehlenden Konzentration der Netzwerkbetreiber auf das »Innere«.