Startseite > Security > Hacking-Team und Windows: Der Patch ist da - und jetzt beginnt das Problem

Trend-Micro-Experte kommentiert Windows-Patches

Hacking-Team und Windows: Der Patch ist da - und jetzt beginnt das Problem

23. Juli 2015, 6:09 Uhr | LANline/jos

Microsoft hat sehr schnell reagiert. Nachdem mehrere Security-Anbieter eine Sicherheitslücke (CVE-2015-2426) in allen Windows-Versionen entdeckt hatten, die im Zusammenhang mit dem Hacking-Team-Hack stehen, haben die Redmonder innerhalb weniger Stunden einen Notfall-Patch (MS15-078) veröffentlicht. Damit scheint alles gelöst, nicht wahr? Im Gegenteil, aus Unternehmenssicht beginnt das Problem erst jetzt. So jedenfalls sieht es Richard Werner, Regional Solution Manager beim japanischen IT-Sicherheitsanbieter Trend Micro.

Rechner und Server auf Windows-Basis finden sich in allen Bereichen heutiger Unternehmen, einschließlich der Produktion, wo Laufzeiten bekanntlich alles sind. Außerdem befinden sich dort auch in den nächsten Jahren weiterhin bereits von Microsoft abgekündigte Versionen wie Windows XP oder Windows Server 2003 im Einsatz. Für diese Versionen jedoch stellt Microsoft auch im Fall der aktuellen Sicherheitslücke nur dann Sicherheits-Updates bereit, wenn ein verlängerter, entsprechend teurer Support-Vertrag besteht.

Aber ganz unabhängig davon, ob ein Unternehmen Anspruch auf Wartung hat oder nicht – die Tatsache allein, dass ein Notfall-Patch vorliegt, löst das Sicherheitsproblem nicht. Soll das IT-Sicherheitsteam eine Nachtschicht einlegen und das Update überall einspielen – auch auf die Gefahr hin, dass ein nicht getesteter Patch unter Umständen die Produktionsbänder stilllegt? Ist die Gefahr überhaupt so groß, wie deren Einstufung durch Microsoft als „kritisch“ nahelegt?

Um diese Fragen zu beantworten, muss das Thema IT-Sicherheit laut Werner im allgemeinen Risiko-Management eines Unternehmens fest verankert sein. Nur wenn bereits alle Systeme nach ihrem Risiko bewertet wurden, lasse sich eine nach Prioritäten geordnete Maßnahmenliste erstellen, welcher Rechner oder welcher Server sofort oder erst später gepatcht werden muss oder kann. Aber auch dies sei nur eine notwendige, keine hinreichende Voraussetzung. Denn wie „kritisch“ ist eine Sicherheitslücke wirklich? Einen ersten Hinweis darauf liefern amtliche Seiten, die das Gefahrenpotenzial aktueller Bedrohungen einschätzen. Solche Seiten gibt es sowohl von US-amerikanischer als auch von deutscher Seite. Erst wenn eine solche unabhängige Einschätzung vorliegt, können Unternehmen das damit zusammenhängende Risiko bewerten und danach handeln.

Einmal mehr zeigen sich hier zwei Dinge: Erstens gibt es keine absolute IT-Sicherheit, vielmehr bemisst sich ihr relatives Niveau nach dem Risiko-Management des jeweiligen Unternehmens. Zweitens aber ist IT-Sicherheit nur zu einem Teil eine technische Frage; erst wenn entsprechende Prozesse implementiert sind, lassen sich das Zeitfenster vom Bekanntwerden einer Sicherheitslücke über die Veröffentlichung eines Sicherheits-Updates bis zum Einspielen des Patches sowie das damit zusammenhängende unternehmensspezifische Risiko minimieren. Um dieses Zeitfenster zu erweitern und gleichzeitig das Risiko zu senken, sollten Unternehmen über die Implementierung von Lösungen nachdenken, die Sicherheitslücken virtuell abschirmen können, bis Patches vorhanden sind und eingespielt werden können.

Tipps für Nutzer von Windows XP und Windows Server 2003:

Unternehmen, die weiterhin Windows-XP-Systeme und Windows Server 2003 einsetzen oder einsetzen müssen, sollten neben dem virtuellen Abschirmen von Sicherheitslücken einige Maßnahmen beherzigen, mit denen sie das damit verbundene Risiko reduzieren können:
Wo immer möglich, sollten die verwendeten Windows-XP- und Windows-Server-2003-Umgebungen virtualisiert werden. Dies bietet eine zusätzliche Sicherheitsschicht, die selbst abgesichert werden kann, und erleichtert das Management.
An der Stelle im Netzwerk, an der die Windows-XP-Systeme angebunden sind, sollte der Domain Controller ausschließlich im Lesemodus betrieben werden. Dadurch lassen sich die Windows-Maschinen weiterhin aus der Ferne verwalten und warten, gleichzeitig sinkt das Infektionsrisiko in anderen Teilen des Netzwerks.
Die Sicherheitseinstellungen der Gruppenrichtlinie für die vorhandenen Windows-XP-Systeme sollten das höchstmögliche Niveau haben. Es empfiehlt sich daher, die Einstellungen der „Specialized Security – Limited Functionality (SSLF)“-Gruppenpolicy anzuwenden.
Wo immer möglich, sollte die Kommunikation von Windows-XP-Maschinen und Windows Server 2003 mit externen Netzwerken unterbunden werden. Falls dies nicht möglich ist, sollten Web-Proxies oder Application-Layer-Firewalls eingesetzt werden.
Der Internet Explorer 8 sollte auf den Windows-XP-Rechnern dann und nur dann genutzt werden, wenn die damit geöffnete Web-Seite nicht durch einen anderen Browser angesteuert werden kann.
Ergänzend zu den auf den Windows-XP-Rechnern oder Windows Server 2003 installierten Sicherheitslösungen sollten sogenannte IPS-Lösungen (Intrusion Prevention Systems) die Aktivitäten im Netzwerk überwachen, um das Eindringen von Schadcode zu verhindern.