Startseite > Datacenter & Verkabelung > Wie der Faktor Mensch die physische Sicherheit verändert

Die Lücke im digitalen System

Wie der Faktor Mensch die physische Sicherheit verändert

6. Oktober 2021, 15:00 Uhr | Autoren: Rhonda Ascierto & Todd Traver / Redaktion Lukas Steiglechner

Fortsetzung des Artikels von Teil 2

Fernzugriff gefährdet digitale Systeme

Unternehmen schützen ihre IT-Netzwerke oft durch Firewalls und Anmeldeinformationen – wenngleich nicht immer ausreichend. Für Geräte der Rechenzentrumsinfrastruktur gilt dies nicht gleichermaßen. Verantwortliche automatisieren zunehmend ihre Rechenzentren, überwachen und verwalten sie mit Systemen für das Datacenter Infrastructure Management. Dieser Fernzugriff für Online-Diagnose und -Kontrolle schafft allerdings Angriffsflächen. Mindestens 90 Prozent aller unterbrechungsfreien Stromversorgungssysteme (USVs) über 50 Kilovoltampere, was einer kleinen bis mittelgroßen USV entspricht, verfügen über IP-Adressen und lassen sich über das SNMP-Standardprotokoll fernsteuern. Etliche Stromverteilungseinheiten sind IP-adressierbar, ebenso wie viele andere Gerätetypen. Gleichzeitig werden immer mehr Daten auf Anlagenebene in Cloud-Umgebungen integriert und analysiert, teils unter Verwendung von KI.

All dies birgt die Gefahr, dass Cyberkriminelle diese Infrastruktur-Geräte entdecken und als Einfallstor nutzen. Die Gerätehersteller implementieren zwar Sicherheitsmaßnahmen wie Passwörter, aber diese sind mitunter unzureichend und oft werden die Standardcodes nie geändert. Selbst wenn es unmöglich ist, die USV remote auszuschalten, müssen andere Einstellungen, die einen Stromausfall auslösen können, ebenfalls blockiert sein, um zum Beispiel einen System-of-Systems-Angriff zu vermeiden. Außerdem gibt es Fortschritte bei Hacking-Tools und -Techniken, sodass sich Berechtigungsnachweise wie Benutzername und Passwort mitunter umgehen lassen. Insbesondere wenn Rechenzentrumsbetreiber Biometrie einsetzen, sollten sie nicht unhinterfragt darauf vertrauen, wenn die Anbieter behaupten, gespeicherte Berechtigungsnachweise – und damit die Verknüpfung von biometrischer Information und Zugriffsrechten – sei unangreifbar.

Matchmaker+ Anbieter zum Thema

zu Matchmaker+

Gefahren und Risiken kritisch bewerten
Die Sicherheit in Rechenzentren hängt von vielen Faktoren ab. Denn Kriminelle können sowohl digitale als auch physische Schwachstellen nutzen, um Schaden anzurichten. Betreiber müssen deshalb akribisch und akkurat ihre Sicherheitsmaßnahmen planen und umsetzen. Das setzt wiederum eine genaue Analyse der potenziellen Angriffsfläche voraus. Um etwaige Risiken frühstmöglich zu erfassen, sollten Betreiber strukturiert nach Kategorien möglicher Gefahren vorgehen: Naturereignisse wie Hochwasser und Erdbeben, die unvorhergesehen große physische Schäden anrichten können Terroristische und andere kriminelle Akteure, die gezielt Schaden verursachen wollen Personal von Dienstleistern, das nicht zum Rechenzentrum gehört, und sich ebenfalls an Sicherheitsvorkehrungen halten muss Soft- und Hardware der digitalen Sicherheitssysteme, die fehlerhaft funktioniert oder ausfällt Interne und externe Sicherheitsverstöße, in deren Rahmen autorisierte als auch unautorisierte Angestellte Sicherheitslücken erkennen und ausnutzen Anhand dieser Kategorien können Betreiber von Rechenzentren prüfen und analysieren, an welchen Stellen die größte Angriffsfläche besteht. Sie müssen sich dabei aber auch jederzeit des Faktors Mensch bewusst sein. „Der menschliche Faktor und unzureichend geplante Maßnahmen im Facility Management stellen erfahrungsgemäß ein hohes Risiko für den sicheren Betrieb von Rechenzentren dar“, erklärt Rolf Walter, Leiter des Teams „Data Center Service“ bei TÜV Rheinland. „So sollten Unternehmen ihr Augenmerk besonders auf betriebskritische Prozesse in Rechenzentren lenken und sicherstellen, dass diese korrekt beschrieben sind, dass sie wirksam sind und von den Mitarbeitern gelebt werden.“ Das sei umso wichtiger, da nicht funktionierende Prozessketten selbst bei hochverfügbarer Technik zu ungeplanten Standzeiten oder unnötig verlängerten Wieder-herstellungszeiten führen könnten. Um also sicherzustellen, dass sich Mitarbeiterinnen und Mitarbeiter verstärkt an Sicherheitsvorschriften halten, müssen es Verantwortliche erschweren, gegen Sicherheitslücken zu verstoßen und diese ausnutzen zu können. Das gelingt beispielsweise durch verschiedene Zugriffstufen. „In der Praxis weisen solche Analysen immer Risiken auf, die nicht völlig eliminiert werden können. Sind diese Restrisiken bekannt, können sich Betreiber-Teams in Rechenzentren konkret auf risikobasierte Störungen vorbereiten, frühzeitig Handlungsanweisungen für diese Störungen erarbeiten und Maßnahmen vorab trainieren“, erklärt Walter. Rechenzentrumsbetreiber müssen ihre Sicherheitsstrategie jedoch kontinuierlich weiterentwickeln und ihre Bedrohungsmodelle anhand von gelernten Ereignissen immer neu ausrichten. Dadurch können sie Risiken stets aktuell bewerten und ihre Maßnahmen gegebenenfalls ebenso anpassen. (LS)

Gefahren und Risiken kritisch bewerten

Die Sicherheit in Rechenzentren hängt von vielen Faktoren ab. Denn Kriminelle können sowohl digitale als auch physische Schwachstellen nutzen, um Schaden anzurichten. Betreiber müssen deshalb akribisch und akkurat ihre Sicherheitsmaßnahmen planen und umsetzen. Das setzt wiederum eine genaue Analyse der potenziellen Angriffsfläche voraus. Um etwaige Risiken frühstmöglich zu erfassen, sollten Betreiber strukturiert nach Kategorien möglicher Gefahren vorgehen:

Naturereignisse wie Hochwasser und Erdbeben, die unvorhergesehen große physische Schäden anrichten können
Terroristische und andere kriminelle Akteure, die gezielt Schaden verursachen wollen
Personal von Dienstleistern, das nicht zum Rechenzentrum gehört, und sich ebenfalls an Sicherheitsvorkehrungen halten muss
Soft- und Hardware der digitalen Sicherheitssysteme, die fehlerhaft funktioniert oder ausfällt
Interne und externe Sicherheitsverstöße, in deren Rahmen autorisierte als auch unautorisierte Angestellte Sicherheitslücken erkennen und ausnutzen

Anhand dieser Kategorien können Betreiber von Rechenzentren prüfen und analysieren, an welchen Stellen die größte Angriffsfläche besteht. Sie müssen sich dabei aber auch jederzeit des Faktors Mensch bewusst sein. „Der menschliche Faktor und unzureichend geplante Maßnahmen im Facility Management stellen erfahrungsgemäß ein hohes Risiko für den sicheren Betrieb von Rechenzentren dar“, erklärt Rolf Walter, Leiter des Teams „Data Center Service“ bei TÜV Rheinland. „So sollten Unternehmen ihr Augenmerk besonders auf betriebskritische Prozesse in Rechenzentren lenken und sicherstellen, dass diese korrekt beschrieben sind, dass sie wirksam sind und von den Mitarbeitern gelebt werden.“

Das sei umso wichtiger, da nicht funktionierende Prozessketten selbst bei hochverfügbarer Technik zu ungeplanten Standzeiten oder unnötig verlängerten Wieder-herstellungszeiten führen könnten. Um also sicherzustellen, dass sich Mitarbeiterinnen und Mitarbeiter verstärkt an Sicherheitsvorschriften halten, müssen es Verantwortliche erschweren, gegen Sicherheitslücken zu verstoßen und diese ausnutzen zu können.

Das gelingt beispielsweise durch verschiedene Zugriffstufen. „In der Praxis weisen solche Analysen immer Risiken auf, die nicht völlig eliminiert werden können. Sind diese Restrisiken bekannt, können sich Betreiber-Teams in Rechenzentren konkret auf risikobasierte Störungen vorbereiten, frühzeitig Handlungsanweisungen für diese Störungen erarbeiten und Maßnahmen vorab trainieren“, erklärt Walter.

Rechenzentrumsbetreiber müssen ihre Sicherheitsstrategie jedoch kontinuierlich weiterentwickeln und ihre Bedrohungsmodelle anhand von gelernten Ereignissen immer neu ausrichten. Dadurch können sie Risiken stets aktuell bewerten und ihre Maßnahmen gegebenenfalls ebenso anpassen. (LS)