Startseite > Office & Kommunikation > VPN: Konzepte und Technologien im Überblick

VPN: Konzepte und Technologien im Überblick

16. April 2010, 15:45 Uhr | Claudia Rayling

Fortsetzung des Artikels von Teil 2

BT: Bester Schutz durch erweiterte Risikoanalyse

Virtual Private Networks, sind im Vergleich zu den offenen Strukturen des Internets eine überaus sichere Angelegenheit. Wie der Name schon sagt, handelt es sich dabei um Netzwerke, die vor dem öffentlichen Zugriff geschützt sind und nur entsprechend autorisierten Nutzern zugänglich gemacht werden. Die zunehmende Komplexität der Netzwerke macht jedoch selbst in diesem Bereich mehr und mehr gezielte Sicherheitsmaßnahmen notwendig.

Die erste Überlegung, wenn es um die Implementierung eines VPNs beziehungsweise dessen Ausweitung geht, sollte immer dem Schutzbedarf der transportierten Daten gelten. Welche Technologie sollte man nutzen? Wer verwaltet die Schlüssel? Pauschal kann man diese Fragen nur selten beantworten. Um festzustellen, ob und welche Art der Verschlüsselung angezeigt ist, ist es nötig, die Rahmenparameter der Nutzung des Netzwerkes etwas genauer zu analysieren.

Um eine gleichermaßen sicherheits- und kostenbewusste Entscheidung zu ermöglichen, haben sich strukturierte quantitative Risikoanalysen bewährt. Risikoanalysen für Infrastrukturen beginnen mit der Betrachtung der Geschäftsrelevanz der Daten. Welche Daten oder Services werden an den einzelnen Standorten des Netzes genutzt? Im Kern sollten Verfügbarkeit, Vertraulichkeit, Integrität einzeln betrachtet werden. Welcher Schaden entsteht, wenn diese Daten für Unbefugte einsehbar sind? Lässt sich beziffern, wie groß der Schaden wäre, wenn Außenstehende die Daten unautorisiert modifizieren könnten? Welchen Einfluss hat ein Netzausfall auf den jeweiligen Standort?

Um nun festzulegen, ob und wo eine Verschlüsselung benötigt wird, gilt es festzustellen, wer an einem unbefugten Zugriff konkret gehindert werden soll - etwa andere Kunden des Providers, externe Angreifer oder Mitarbeiter des Netzproviders? Man kann sich allerdings leicht vorstellen, dass der Verschlüsselungsprozess im Extremfall relativ hohe Kosten verursacht. Ein solcher Aufwand lohnt sich in der Regel nur dann, wenn ein Vorsprung von wenigen Minuten beim Zugriff auf Informationen einen wesentlichen Vorteil für den Angreifer darstellt - dies ist insbesondere in Finanznetzen mit großen Transaktions-Volumina oder bei Fragen der nationalen Sicherheit der Fall. Neben diesen rein Risiko-basierenden Überlegungen gibt es für einige Branchen auch regulatorische Anforderungen, die eine Verschlüsselung unabdingbar machen können, wie das beispielsweise im Finanzsektor der Fall ist.

Im Zeitalter dynamischer Unternehmensänderungen, mobiler Mitarbeiter, integrierter Lieferketten, immer professionellerer Angriffstools und limitierter IT-Budgets stellt sich rund um das Thema VPN jedoch letztlich für jedes Unternehmen die Frage, wie die komplexe, für das Unternehmen meist lebenswichtige IT angemessen gesichert werden kann. Nachdem der Schutz gegen externe Bedrohungen tendenziell besser geworden ist, starten die gefährlichsten Angreifer ihre Attacken nicht über das Internet, sondern aus dem hauseigenen Netzwerk.

Vor diesem Hintergrund kann es für eine Firma mit vielen Außendienstlern nützlich sein, ein „Mobile Worker Assessment" durchzuführen, bei dem unter anderem gezielt die VPN-Zugänge gecheckt werden. Haben Vorfälle stattgefunden, die grundsätzlich mit Bordmitteln hätten verhindert werden können, liegt es oft am Security-Monitoring: Wer schaut wann und wie oft nach den Meldungen? Werden die umfangreichen Firewall- und IDS-Logfiles permanent überwacht und analysiert oder passiert das nur sporadisch? Gibt es entsprechende Incident-Response-Pläne?

Dieses Beispiel zeigt: Durch intensive und technologisch fortschrittliche Sicherheitsverfahren wie das genannte, ist es selbst bei komplexen, aber unverschlüsselten Netzwerken möglich, sich sowohl gegen interne als auch externe Angriffe angemessen zu schützen. Dazu zählen
etwa auch spezifische Security-Maßnahmen - so zum Beispiel regelmäßige Untersuchungen zum aktuellen Netzwerk-Sicherheits-Status, Netzwerk-Audits nach Cobit oder ISO27001 oder auch gezielte Netzwerk-Security-Scans, die typischerweise den tatsächlichen Perimeter des Netzwerkes finden, Leaks (also unerlaubte Internetzugänge), unerlaubte IP-Adressen, oder unerlaubte Mailserver aufspüren.

Maßgegblich für eine effiziente Sicherheitsstrategie sind darüber hinaus organisatorische Maßnahmen wie Rollen, Rechtemanagement und Policies, DLP (Data Loss Prevention), Deperimeterisierung, VPN, 24x7-Monitoring und Ethical Hacking. Für Unternehmen, die dafür nicht selbst über eine personell gut ausgestattete IT- Security-Truppe verfügen, bietet sich die Nutzung von Managed-Security-Serviceprovidern an.