Die innere Unsicherheit – Schutz vor Insider-Bedrohungen

Insider-Bedrohungen sind immer noch ein oft vernachlässigter Bereich der Unternehmenssicherheit. Dabei gehen über ein Viertel der Bedrohungen (28 Prozent) mittlerweile von internen Akteuren aus, so das Ergebnis des aktuellen Verizon Data Breach Investigations Reports, der weltweit mehr als 53.000 Sicherheitsvorfälle untersucht hat.

Interne Bedrohungen reichen von unvorsichtigen Nutzern, die Opfer von Phishing werden, bis hin zu verärgerten oder kriminell gesinnten Mitarbeitern. Eine der gefährlichsten Insider-Bedrohungen geht von der IT-Abteilung aus. In einigen Fällen ist dies nicht auf böswillige Absicht zurückzuführen, sondern lediglich auf eine Fehlkonfiguration von Geräten oder nicht eingespielten Patches für kritische Systeme, wie etwa 2017 beim Equifax-Datenleck, bei dem 146 Millionen Kundendaten gestohlen wurden. Im schlimmsten Fall weiß ein unzufriedener Mitarbeiter, wo sich unternehmenskritische Daten befinden, und verfügt zugleich über das technische Wissen, um entsprechende Sicherheitsmaßnahmen vor einem Angriff für längere Zeit unentdeckt zu deaktivieren.

Die innere Unsicherheit: Laxe Prozesse und der Faktor Mensch

Ein Grund für die hohe Zahl an internen Sicherheitsverstößen ist die Gestaltung vieler Securitysysteme und die laxen Prozesse zur Sicherung des Zugriffs auf Elemente wie Firewalls sowie Plattformen für IPS (Intrusion Prevention System), IDS (Intrusion Detection System), NAC (Network Access Control) und VPN (Virtual Private Network). So erfordert beispielsweise der Zugriff auf viele dieser Systeme lediglich einen Administratornamen und ein Passwort. Nur wenige Anbieter bieten als integrierte Funktion eine Änderungskontrolle, Audit-Tracking oder Multi-Faktor-Authentifizierung (MFA) an. Auch wenn die meisten Sicherheitsgeräte und Softwaretools die Integration mit privilegierten Access-Management- und MFA-Lösungen unterstützen, ist unklar, wie viele Anbieter diese Funktionen für den Zugang zur Sicherheitsinfrastruktur bereitstellen.

In anderen Fällen führt ein Fehlverhalten beim Patchen oder sogar eine Fehlkonfiguration der Sicherheitslösung selbst zu einer Schwächung der Gesamteffektivität der Sicherheitsinfrastruktur. Fehlt die Protokoll-Möglichkeit, ob, wann und von wem Patches und Konfigurationen erstellt wurden, können Schwachstellen auftreten, ohne dass der Grund des Fehlers nachvollziehbar ist.

Die verantwortlichen Mitarbeiter für Security-Themen erkennen mittlerweile, dass die Security-Infrastruktur bessere Prozesse und Instrumente benötigt, um sie sowohl vor Fahrlässigkeit als auch vor Insider-Angriffen zu schützen. Prozessseitig müssen einige bisher gängige IT-Praktiken abgeschafft werden, wie etwa die Verwendung statischer Ein-Faktor-Authentifizierung für die Anmeldung an Managementschnittstellen für kritische Sicherheitsanwendungen. Das Paradigma des einfachen Benutzernamens mit Passwort verschwindet rapide aus allen anderen Aspekten der Systemadministration und muss auf das Security-Team ausgeweitet werden.

Out-of-Band-Technologie als Unterstützung der Security

Um viele der oben genannten Probleme zu lösen, können Unternehmen Out-of-Band-Technologien (OOB) als zentralisierten Weg nutzen, um den sicheren Zugriff auf Security-Devices zu verwalten. Traditionell wurden Out-of-Band-Lösungen nur als Mittel zur Verbindung mit Remote-Geräten angesehen, wenn das primäre Netzwerk nicht verfügbar ist. Heutiges OOB-Management bietet hierfür eine Failover-Lösung via Highspeed-Mobilfunk (4G LTE oder 3G). Netzwerkkomponenten, Server und viele andere Geräte sind in der Regel mit seriellen Schnittstellen ausgestattet, die unabhängig vom primären Netzwerk angesprochen werden können und dem Administrator ein vollständiges Bild über den Status des Gerätes geben.

OOB-Management kann somit den kontinuierlichen Fernzugriff auf kritische Komponenten wie Netzwerk-Switches, Router, Stromverteilungseinheiten und eine wachsende Anzahl von Sicherheitsanwendungen wie Firewalls und Verschlüsselungstools sicherstellen. Dieser Ansatz erübrigt einen Einsatz vor Ort, und falls dieser doch notwendig ist, hat der Techniker meist das richtige Ersatzteil oder ein neues Gerät zur Hand und kann das Problem schnell lösen. Darüber hinaus können OOB-Plattformen jedoch auch Sicherheitsthemen auf neue Weise angehen:

Fünf Security-Vorteile durch Out-of-Band-Management

1. Vereinfachte MFA-Bereitstellung: Out-of-Band-Management ermöglicht eine vereinfachte Art der Bereitstellung von Multi-Faktor-Authentifizierung, die nur in den OOB-Konsolenserver integriert werden muss, um über die gesamte Security-Appliance-Schicht einsetzbar zu sein.

2. Aufzeichnung von Konfigurationsänderungen und Patches: Die OOB-Technologie kann zum Logging von alle Konfigurationsänderungen und Patches eingesetzt werden. Hier werden Änderungen über einen alternativen Weg wie ein 4G-Netzwerk gesendet und in einem zentralen Security Operations Center (SOC) oder einer Security Information and Event Management (SIEM)-Lösung gespeichert. Ein Aktualisierungsfehler, der das Gerät über das Produktions-IP-Netzwerk unerreichbar macht, kann oft über dieselbe Out-of-Band-Verbindung behoben werden, die auf die Service-Ports der meisten Netzwerkgeräte zugreift, um die darunter liegende Konsole zu erreichen. Dieser Ansatz hilft Managern nicht nur, rasch festzustellen, ob kritische Infrastrukturen gepatcht wurden. Er ermöglicht auch den Sicherheitsanalysten herauszufinden, ob der Verstoß durch Handlungen eines Insiders unterstützt wurde oder nur ein Versehen war.

3. Kommunikation mit SIEM und Security Analytics-Plattformen: Ein weiterer Sicherheitsvorteil ist die Möglichkeit für die OOB-Appliance, die Ereignisprotokolle direkt von angeschlossenen Geräten abzurufen und an eine zentrale SIEM- oder Security Analytics-Plattform weiterzuleiten. Somit kann ein gezielter Angriff frühzeitig erkannt und verhindert werden.

4. Zugriff während einer Attacke auf das IP-Netzwerk: Darüber hinaus ist die OOB-Verbindung auch während eines Cyber-Angriffs hilfreich, wie etwa einer DDoS-Attacke oder einem gezielten Switch-Angriff, der das Produktions-IP-Netzwerk attackiert. Der OOB-Console-Server ermöglicht in diesem Fall eine direkte Verbindung via Highspeed-Mobilfunk zu kritischen Geräten wie Routern, Switches und Firewalls. Die Möglichkeit, schnell auf Protokolle von betroffenen Geräten zuzugreifen, kann IT-Teams helfen, Fehlerursachen zu lokalisieren und die Fehlerbehebung schneller zu starten.

5. Physische Sicherheit: Durch den Anschluss von Sensoren ermöglicht Out-of-Band-Management die Überwachung nahezu der gesamten physischen Infrastruktur. So können Parameter wie Bewegung, Temperatur und Rauch, ebenso wie der Status von Geräten wie elektronische Tür-, Schrank- und Rack-Schlösser und Kameras überwacht werden.

Neben dem traditionellen Einsatzfeld der Fernüberwachung ermöglicht heutiges Out-of-Band-Management somit zugleich eine effektive Möglichkeit, mit der Unternehmen sich gegen das wachsende Problem von Insider-Bedrohungen schützen können.

Dirk Schuma, Sales Manager Europe bei Opengear

www.opengear.com