Startseite > Datacenter & Verkabelung > Unternehmensfeste Security

Netzwerk-Sicherheit

Unternehmensfeste Security

13. August 2014, 13:12 Uhr | Uwe Scholz, Journalist aus Berlin

Fortsetzung des Artikels von Teil 1

Trusted-Ecosystem

Ein alternativer Ansatz entsteht aus der Idee eines vertrauenswürdigen Ecosystems für Geräte, Anwender und Transaktionen. In diesem Konzept hat jedes Gerät und jeder User eine gesicherte Identität, die nicht gefälscht werden kann. Auch beim Trusted-Ecosystem beginnt die Sicherung der IT-Systeme mit dem Einsatz klassischer defensiver Perimeterlösungen wie Firewalls, Filter-/Authentifizierungs-Proxy, Anti-SPAM, Anti-Virus, Intrusion-Detection etc. um die Unternehmenswerte zu schützen und Schwachstellen zu beseitigen. Allerdings können Perimeterlösungen die neuen Anforderungen aus dem Cloud-Business und dem Mobile-Computing nicht mehr allein erfüllen. Sie benötigen als Ergänzung ein Identity-Lifecycle-Management.

Das Electronic-Trust-Konzept, wie es von europäischen IT-Sicherheitsunternehmen wie Opentrust verfolgt wird, beruht auf einem inkrementellen Ansatz, der die Weiternutzung der gemachten Investitionen in IAM und physikalische Maßnahmen erlaubt. Das Konzept umfasst drei unterschiedliche Bereiche – und kann Schritt für Schritt je nach Anforderung umgesetzt werden. Langfristig erscheint eine gemeinsame Infrastruktur für alle drei Bereiche am wirtschaftlichsten. Die drei Bereiche sind vertrauenswürdige Netze und Infrastrukturen, vertrauenswürdige Identitäten für User sowie vertrauenswürdige Transaktionen.

In einem vertrauenswürdigen Netzwerk benötigt jedes Netzwerkgerät wie Server, Router, Workstation, VoIP-Telefon oder Smartphone eine gesicherte Identität zur Authentifizierung. Netzwerkzugang wird nur solchen Geräten gewährt, die über eine Identität verfügen, die durch eine Policy bestätigt wurde. Diese Geräte werden als sicher für das Netzwerk eingestuft. Alle anderen Geräte werden isoliert und ihr Zugang auf öffentliche Daten und Anwendungen beschränkt.

Vertrauenswürdige Identitäten

Hinsichtlich des Zugangs zu Ressourcen bietet in diesem Konzept nur eine starke Authentifizierung auf Basis von Smart-Cards und One-Time-Passwords (OTPs) eine Identifikation bis hinunter zum Anwender selbst. Ein Anwender mit Smart-Card und One-Time-Password wird persönlich identifiziert. Er unterzeichnet eine Vereinbarung, seinen PIN-Code geheim zu halten und sofort zu Deklarieren, wenn seine Karte verloren ist oder gestohlen wurde.

In diesem Konzept sind Geräte mit doppelter Sicherheit ausgestattet – einem Zertifikat auf der Karte und dem PIN-Code. Um sich mit einem Netzwerk zu verbinden benötigt der User den PC, die Smart-Card sowie den Code. Zwei dieser drei Elemente reichen nicht aus, um die Sicherheit zu gefährden.

Vertrauenswürdige Transaktionen basieren auf digitalen Identitäten, digitalen Signaturen sowie dem Nachweismanagement. Auf dieser Basis sind sie vollständig rückverfolgbar, nicht manipulierbar und werden unter Beachtung der bestehenden Regeln und Richtlinien ausgeführt. Die nächsten Schritte sind die Sicherstellung der Dokumentenintegrität sowie Zeitstempel. Schließlich folgt die gesicherte Speicherung und Wiederherstellung.

Das Trusted-Ecosystem platziert also die digitale Identität an der Wurzel einer jeden Komponente eines Informationssystems, sei es das Netzwerk mit jeder aktiven Komponente wie Router oder Switches, die Workstation oder intelligente mobile Geräte wie Laptops, Tablets oder Smartphones, den User – oder genauer, die digitale Identität, die von den Systemen oder Anwendungen genutzt wird oder die Systeme und Anwendungen selbst, die Authentifizierung, Nachverfolgung und Datenschutz benötigen.

Angriffe von innen

Welcher Ansatz für eine integrierte IT-Security auch verfolgt wird – gegen gezielte Angriffe von innen oder die Ausnutzung der Schwachstelle Mitarbeiter sind technische oder prozedurale Maßnahmen nur bedingt tauglich. Hier gilt es, den Faktor Mensch als Sicherheitsrisiko in die Überlegungen einzubeziehen, sei es weil der fahrlässige Kollege allzu leichtfertig mit seinen Kenntnissen umgeht, sei es auch, dass er persönliche Gründe hat, mit seinem Wissen Geld zu verdienen oder dem Unternehmen auf andere Weise zu schaden. Nicht ohne Grund haben sich in den letzten Jahren eine Reihe von Beratungsunternehmen etabliert, die gezielt nach Sicherheitsschwachstellen im persönlichen Umfeld Ausschau halten oder gezielt Attacken simulieren.

Unternehmen wie etwa NSIDE sind darauf spezialisiert, gezielte Angriffe auf Unternehmensnetze vorzunehmen, um neben den technischen auch die menschlichen Schwachstellen zu prüfen. „Social-Engineering“ wird das dann genannt und führt offenbar zu erstaunlichen Ergebnissen. Die Branche boomt und zeigt damit, dass ganzheitliche Unternehmenssicherheit ohne den Mitarbeiter nicht auskommt – trotz aller technischen Einrichtungen und prozeduraler Richtlinien.

Was für die menschliche Komponente gilt, gilt entsprechend auch für die technische. Auch das beste Konzept für die physikalische Sicherheit der Unternehmensnetze benötigt am Ende eine Überprüfung der Funktionsfähigkeit und der Praxistauglichkeit. Was nutzen die besten Sicherheitskonzepte, wenn am Ende das Netzwerk mit der Performance nicht nachkommt oder potenzielle Kunden vom Geschäft ausschließt? Auch hier bieten inzwischen Hersteller von Testsystemen Lösungen für eine ganzheitliche Prüfung der Security-Infrastruktur, die nicht nur Schwachstellen bei der Sicherheit aufzeigt, sondern auch die aus der spezifischen Installation resultierenden Einschränkungen bei der Leistung – insbesondere dann, wenn Millionen von Zugriffen erfolgen. Derartige Systeme entfalten ihren Wert etwa, bevor neue Services online gehen. Mit geeigneten Real-World-Emulationen lassen sich Systeme unter größter Belastung testen, um auch die Reaktion unter Höchstlast oder bei gezielten Attacken zu testen.