Gastkommentar: XP ohne Ende
Windows XP: Sicher ohne Patches
Fortsetzung des Artikels von Teil 2
Die Alternative: Kontrollierte Kommunikation
Praktisch allen hier betrachteten Sicherheitsrisiken ist gemeinsam, dass sie auf Schwachstellen und Verwundbarkeiten von Protokollen oder Diensten beruhen, die durch Angreifer und insbesondere Schad-Software von bereits infizierten Systemen aus über ein IP-Netzwerk ausgenutzt werden können, um Schäden anzurichten und sich weiter zu verbreiten. Wenn man mangels weiterer Security Updates schon nichts mehr gegen neu entdeckte Krankheiten tun kann, bleibt einem also immer noch die Alternative, die Ansteckungsgefahr für das alte System stark zu reduzieren, indem man seine Kommunikation auf die Partner, Protokolle, Ports und Verbindungsrichtungen beschränkt, die für das Funktionieren der Gesamtanlage erforderlich sind. Nicht vom System selbst initiierte, sondern von außen dort eingehende Verbindungen können dabei größtenteils unterbunden werden. Aber auch von innen nach außen muss längst nicht alles erlaubt bleiben, z.B. der Zugriff auf beliebige File Shares und Server im Firmennetz, geschweige denn aufs Internet.
Die Kontrolle und Filterung der Ethernet- und IP-Kommunikation ist Aufgabe von Firewalls. Eben solche lassen sich in Form industrieller Network Security Appliances kostengünstig und dezentral genau dort nachrüsten, wo sie aus den hier diskutierten Gründen benötigt werden. So steht etwa mit der mGuard-Technologie von Innominate gleich eine ganze Familie solcher Geräte in verschiedenen Bauformen zur Verfügung, die sich im Schaltschrank auf Hutschiene, in 19-Zoll-Schränken, extern an PCs mit Stromversorgung über USB oder als PCI-Karte gleich im PC-Gehäuse verbauen lassen (siehe Bild).
Der besondere Clou: Durch ihren patentierten Stealth Mode lassen sich die Geräte völlig transparent in ein bestehendes Netzwerk nachrüsten. Sie übernehmen dabei automatisch die MAC- und IP-Adressen ihres jeweiligen Schützlings, so dass weder zusätzliche Adressen für das Management der Geräte selbst vergeben noch sonst irgendwelche Änderungen an der Netzwerkkonfiguration vorgenommen werden müssen. Trotz dieses adresstechnisch transparenten Betriebs überwachen und filtern sie als »Stateful Packet Inspection Firewall« anhand eines konfigurierbaren Regelwerks den Netzwerkverkehr von und zu den so geschützten Systemen, und dies dank bidirektionalem »Wire Speed« ohne zum Flaschenhals für ein 100-Mbit/s-Ethernet-Netzwerk zu werden. Die mGuard Security Appliances können durch eine flexible Flash- und Rollout-Prozedur effizient installiert und sowohl einzeln über ein Web Interface als auch gemeinsam zentral über den mGuard Device Manager verwaltet werden.
- Windows XP: Sicher ohne Patches
- Die einfachste Lösung: Teure Upgrades
- Die Alternative: Kontrollierte Kommunikation
- Genügend Vorlaufzeit einplanen
