/hei. In Österreich nahmen im Jahr 2005 rund Personen an Online-Glücksspielen teil und verspielten dabei 1,4 Mrd. Euro.

Transkript

1 Ziel dieser Veranstaltung ist es, unter den Mitarbeitenden das Bewusstsein für Informationssicherheitsfragen zu fördern. Sie sollen verstehen und abschätzen können, wo Sie welche Risiken eingehen. In Bezug auf die IT-/Internet-Nutzung sollen Sie Hilfestellungen erhalten sowohl für die Arbeit an der HSR als auch für die private PC-Nutzung. 1

2 Was heisst eigentlich Risiko genau? Manche Menschen treiben Sport - das ist bestimmt eine Form von Risikofreudigkeit, riskiert man doch Verletzungen der besonderen Art. Andere investieren in internationale Immobilienfonds. Es gibt sogar Menschen, die lassen sich auf Geschäfte ein, von denen sie wissen, dass die unter Umständen zu Verlusten führen können. Ein Armutsrisiko geht heute jeder Mensch ein, der Vater oder Mutter wird. Also sind Menschen, die sich Kinder wünschen, auch risikofreudig. Auch sehr risikofreudig sind Fußgänger, Fahrradfahrer und Autofahrer. Motorradfahrer sind noch risikofreudiger und potentielle Nierenspender. Die Welt ist einfach voll von Risiken. Und der Mensch lebt mitten drin. Ich erinnere sicherheitshalber gleich mal an Vogelgrippe, Rinderwahnsinn, Legionärskrankheit und Salmonellen, nicht, dass hier jemand denkt, es sei gar nicht so schlimm mit alle den Gefahren, die überall lauern Und das Wetter, die Naturkatastrophen Der Mensch riskiert, wenn er lebt, ständig sein Leben. In Österreich nahmen im Jahr 2005 rund Personen an Online-Glücksspielen teil und verspielten dabei 1,4 Mrd. Euro. Anhand von Spielen wie Lotto oder Toto lässt sich Risiko etwas formaler beschreiben. Es geht um eine Abwägung von - Kosten, um am Spiel teilzunehmen - Erträgen bei erfolgreichem (gewonnenem) Spiel (Consequence, payoff) - Wahrscheinlichkeiten, dass man mit dem Gewinn ein Mehrfaches des Spieleinsatzes zurück erhält 2

3 Wie risikofreudig sind Sie? Werfen Sie erst einen Blick den Abgrund hinunter bevor Sie springen? Oder gehen Sie einfach drauf los? Illustration: No Risk no Fun, Lektion Risk management: 3

4 TourLive / NokiaSport sind Anwendungen, welche mittels Mobiltelefon/GPS die Position und Geschwindigkeit von Sportlern erfassen. 4

5 Schaden: Arbeits-/Ferienausfall, Transportkosten, Operationskosten, Medikamente, Therapie 5

6 Das Bedrohungspotenzial (threat) und die Schwachstellen der Abwehrmassnahmen (vulnerabilities) bestimmen die Gefahr (Wahrscheinlichkeit eines Schadenfalls). Ziel ist es, die Höhe des Schadens bzw. die bedrohten Werte (assets) und die Wahrscheinlichkeit für das Eintreten eines Schadens für verschiedene Situationen abschätzen und minimieren zu können. Das Risiko ist das Produkt aus Wahrscheinlichkeit eines Schadenfalls mal Schadensumme bzw. Das Produkt aus Wahrscheinlichkeit eines Schadenfalls mal Bedrohung mal Verletzlichkeit, wobei unter Produkt nicht die echte mathematische Multiplikation, sondern lediglich eine Abhängigkeit zu verstehen ist. Allerdings kann das Risiko selten in Franken angegeben werden; ein Vergleich bzw. ein Abwägen der Risiken in verschiedenen Situationen ist im Rahmen einer Risikoanalyse aber möglich. Das Risiko kann auf verschiedene Arten reduziert werden. Man kann versuchen die Bedrohung und/oder den eintretenden Schaden zu reduzieren. In der Regel wird aber vor allem versucht, den Erfolg eines Angriffs (bzw. einer Bedrohung) durch Schutzmassnahmen zu reduzieren (security protection measures). Die Kosten für diese Schutzmassnahmen werden normalerweise umso grösser, je höher der Schutzgrad ist. Der Schaden sollte entsprechend umso kleiner werden, je höher der Schutzgrad ist. Die resultierenden Gesamtkosten dürften demnach bei einem bestimmten Schutzgrad minimal werden. 6

7 7

8 Das IT-Grundschutzhandbuch ist in fünf Schichten strukturiert und jeder Schicht sind mehrere Bausteine zugeordnet. Für die verschiedenen Schichten sind typischerweise unterschiedliche Gruppen der Organisation zuständig. Schicht 1: Übergreifende Aspekte: Die hier zugeordneten Bausteine gelten für sämtliche oder große Teile eines IT-Verbunds und betreffen in erster Linie grundsätzliche organisatorische Aspekte der IT-Sicherheit. Typische Bausteine dieser Schicht sind IT-Sicherheitsmanagement, Organisation, Datensicherungskonzept und Computer-Virenschutzkonzept. Schicht 2: Infrastruktur: Diese Bausteine umfassen die baulich-technischen Aspekte der IT-Sicherheit, beispielsweise Gebäude, Räume, Schutzschränke und häuslicher Arbeitsplatz. Die Maßnahmenbündel dieser Bausteine dienen insbesondere dem physikalischen Schutz, zum Beispiel vor Feuer, Wasser oder Diebstahl. Schicht 3: IT-Systeme: Diese Bausteine enthalten die Maßnahmenbündel für vernetzte und nicht vernetzte IT-Komponenten (z. B. Server, Clients und Telekommunikationsgeräte). Schicht 4: Netze: In diese Schicht sind die Bausteine gruppiert, die Netzaspekte behandeln. Dazu gehören heterogene Netze, Netz- und Systemmanagement und Firewall. Schicht 5: IT-Anwendungen: Hier finden Sie Bausteine für ausgewählte Anwendungen wie , WWW-Server, Faxserver und Datenbanken. 8

9 The Internet is a global system with local law (e.g. computer security, data protection law) with various techno-political environments with an almost unlimited number of guests Key points in the Internet situation are increased complexity increased dependency (as a person, as a company, as a state) increased difficulty to separate (network sections, users) How much criminal power may be within such a large and complex system? Reference to Internet Statistics Internet domain survey host count Jul ,286,364 hosts (number of IP addresses that have been assigned a name ) Worldwide Internet Population 2005: 1.08 billion (Computer Industry Almanac) Internet Users in Switzerland: 5,097,822 (2005) 9

10 Beschreiben Sie die Begriffe anhand von Beispielen aus dem Alltag. 10

11 HSR-Umfeld Risiken Gesetze, Vorgaben: Vorgaben des KTSG Revisoren > Organisation, Sensibilisierung als Empfehlungen Personendaten: Einhaltung Datenschutzgesetze Geheimhaltung von Informationen: Forschungsergebnisse, Strategien der Schulleitung Betriebssicherheit (Verfügbarkeit): F+R ein Tag ohne Dynamics (Axapta), Legic (Zugangskontrolle, Kopieren/Drucken, Bezahlen), Telefon, Strom, Bandmelder, Parkhaus 11

12 In den ersten Monaten des Jahres 2004 sahen sich Online-Kunden der Basler Kantonalbank, der UBS und der Zürcher Kantonalbank mit dem Thema Phishing konfrontiert. Nach Angaben der Staatsanwaltschaft Bonn gelang es im August 2004 Betrügern, von zwei Postbank-Konten insgesamt Euro abzuheben. Ein Kunde bemerkte die unrechtmässige Überweisung von 9000 Euro rechtzeitig und stornierte sie, so berichtet die «Financial Times Deutschland». Im zweiten Fall sei die Abbuchung von Euro bei einer bankinternen Sicherheitsprüfung aufgefallen und gestoppt worden. Gemäss «Spiegel» gab es in Deutschland seit Mitte Mai mindestens zehn Wellen von Phishing-Angriffen; in rund vierzig Fällen hätten es die Betrüger geschafft, eine Geldüberweisung auszulösen - bis zu einer Höhe von Euro. Zwei Zahlungen seien erst in letzter Minute bei osteuropäischen Banken gestoppt worden. Wegen einer gross angelegten Phishing-Attacke sah sich die MIGROSBANK gestern Montag, gezwungen, im Interesse ihrer Kunden den Zahlungsverkehr via M-BancNet einzustellen. Nachdem sich die Massnahmen zum Schutz der Kunden als wirksam erwiesen haben, konnte die MIGROSBANK Dienstag Mittag die M- BancNet-Zahlungen wieder freigeben. 12

13 Mit der Eingabe von im Browser werden Anfragen übers Internet zum WWW-Server geschickt und die Antworten kommen übers Internet zurück zum Browser. Die Daten werden unverschlüsselt übertragen, d.h. sie könnten auf dem Übertragungsweg eingesehen werden. 13

14 An SSL session is initiated as follows: On the client (browser) the user requests a document with a special URL that commences https: instead of either by typing it into the URL input field, or by clicking on a link. The client code recognizes the SSL request and establishes a connection through TCP port 443 to the SSL code on the server. The client then initiates the SSL handshake phase, using the SSL Record Protocol as a carrier. At this point, there is no encryption or integrity checking built in to the connection. The SSL protocol addresses the following security issues: Confidentiality After the symmetric key is established in the initial handshake, the messages are encrypted using this key. Integrity Messages contain a message authentication code (MAC) ensuring the message integrity. Authentication During the handshake, the client authenticates the server by checking the signatures on the server s certificate. SSL requires each message to be encrypted and decrypted and therefore has a high performance and resource overhead. 14

15 Real Phishing examples can be studied at MailFrontier Phishing IQ Test II, The Paypal Phishing mail showed a Address Bar Spoofing attack ( 05_Paypal.html) Opera Browser Address Bar Spoofing Vulnerability, Internet Explorer Address Bar Spoofing Vulnerability The vulnerability is caused due to an input validation error, which can be exploited by including the "%01" and "%00" URL encoded representations after the username and right before the "@" character in an URL. Example displaying only " in the two bars when the real domain is "malicious_site.com": References: _spoofing_test/ address_bar_spoofing_test 15

16 Ein Man-In-The-Middle-Angriff (MITM-Angriff), auch Janusangriff (nach dem doppelköpfigen Ianus der römischen Mythologie) genannt, ist eine Angriffsform, die in Rechnernetzen ihre Anwendung findet. Der Angreifer steht dabei entweder physikalisch oder heute meist logisch zwischen den beiden Kommunikationspartnern und hat dabei mit seinem System komplette Kontrolle über den Datenverkehr zwischen zwei oder mehreren Netzwerkteilnehmern und kann die Informationen nach Belieben einsehen und sogar manipulieren. Die Janusköpfigkeit des Angreifers besteht darin, dass er den Kommunikationspartnern das jeweilige Gegenüber vortäuschen kann, ohne dass sie es merken. 16

17 Von dem Konto des Klägers war ohne dessen Wissen und Wollen ein Betrag von rund 3000 Euro abgebucht und auf das Konto des Beklagten eingezahlt worden. Dieser hatte das Geld daraufhin per Western Union an eine Person in Russland weitergeleitet. Mit diesem Dritten hatte der Beklagte zuvor nur Kontakt per gehabt. In dem Weitertransfer des vom Konto des Klägers aufgrund eines Computerbetrugs gemäß Paragraph 263a StGB überwiesenen Geldes liegt nach Ansicht des Gerichtes eine strafbare Geldwäsche. Der Beklagte habe dabei leichtfertig nicht erkannt, dass das Geld aus einem Computerbetrug stammte. Im vorliegenden Fall hätte es für den Beklagten auf der Hand liegen müssen, dass das Geld nicht, wie von seiner -Bekanntschaft angegeben, aus einer Erbschaft zu deren Gunsten, sondern aus kriminellen Machenschaften stammen musste. Auf Leichtgläubigkeit setzen die Phisher auch mit Spam-Mails, die hohe Nebeneinkünfte mit leichter Arbeit versprechen. Der a-i3 liegen komplette, seriös erscheinende Arbeitsverträge inklusive Urlaubsregelung vor, die lediglich zum Ziel haben, dass der geworbene "Mitarbeiter" Geld überwiesen bekommt und weiterreicht. Derzeit eingehende s zur Anwerbung von Geldwäschern tragen Betreffzeilen wie "Transaction Manager position.", "Regional Manager", "Sind Sie fertig Ihr Einkommen zu erhöhen?", "Mitarbeiter gesucht! TheTraidingBay 2006" oder einfach nur "hi". Die Absender solcher "Stellenangebote" legen in der Regel insbesondere Wert darauf, dass das Opfer schnell im Internet kommunizieren kann und über ein eigenes Bankkonto verfügt. 17

18 Es gibt verschiedenste Ansätze zur Gefährdungsklassierung: Die Grundschutzkataloge des deutschen Bundesamtes für Sicherheit in der Informationstechnik (BSI) unterscheiden zwischen Höhere Gewalt Organisatorische Mängel Menschliche Fehlhandlungen Technisches Versagen Vorsätzliche Handlungen Andere klassieren wie folgt: Environment: external expectations, internal expectations, social environment, Legislation, dependencies,... (Umgebungseinflüsse (Beispiel zum Umfeld: Soziales Umfeld und Letten- Drogenumschlagplatz in der Nähe eines Migros-Einkaufszentrums in Zürich Bedrohungsquellen)) Accidents: fire, water, etc. / major damage, loss of all systems,... Errors: application, implementation, usage,... (Unzuverlässigkeit der Informationsinfrastruktur bzw. ihrer Komponenten) Attacks: theft, sabotage, logical attack,... (Deliktische Handlungen durch Mitarbeiter 18

19 The security threat is changing dramatically and customers need to be cognizant of the implications for their security strategies in the years ahead: namely, that vigilance and agility will remain key, and a comprehensive approach to security will continue to be required. A set of profiles of various participants in the hacker community, is derived from actual data gathered by Microsoft researchers and engineers who are working with national law enforcement agencies in the US. They are based on numerous real-life incidents (the details of which Microsoft cannot disclose publicly) where the perpetrators are either known or reasonably well-guessed. The threat situation can be structured by various levels of motivation (from Curiosity to National Interest ) and expertise and resources (from the entry-level Script-Kiddy to the formidable Specialist ). The Author is the highly-capable hacker who has the tools and expertise to reverse-engineer a patch and write exploit code, or find vulnerabilities in security software, hardware, or processes. Authors are generally motivated by ego, ideology, and/or personal fame. Authors create the building blocks for criminal hackers, and their work scales out in all directions. For one, the tools and code they produce are usually made readily available to the less-sophisticated, meaning that the Vandals and the Script-Kiddies are able to cause a lot more trouble with less work. The Thieves are people who are in it for the money, and they include organized crime syndicates from around the world. Thieves are active and effective in hacking into corporate and enterprise systems, sometimes to steal information that has monetary value (such as credit card numbers), sometimes to divert cash into their accounts, and sometimes to extort payments to prevent their systems or data from being exposed to the public. It s impossible to calculate the losses caused by thieves because their work is often not publicly reported. Law enforcement agencies around the world are beginning to address the problem seriously. The greatest financial losses will be incurred because of Thieves. Cyber-theft is the fastest-growing threat in security. The Thieves benefit from the author s efforts. This makes the Author a very interesting person to law enforcement organizations, who play an increasingly important role in helping to combat criminal hackers. The Spies, who work on behalf of governments, are highly skilled, and have virtually unlimited resources. And the largest expenditures on protection building strong defenses are made, not surprisingly, by the Spies. [Source: Microsoft] 19

20 Eine der gegenwärtig grössten Gefahren stellen einerseits die vielen ungeschützten Rechner im Privatbereich dar. Andererseits ist die Tatsache, dass sich Angreifer heute nicht mehr profilieren sondern vielmehr verstecken wollen ein Problem. Hatte man noch vor zwei Jahren relativ schnell festgestellt, wenn jemand ein bösartiges Programm auf seinen Rechner eingespielt hat, so ist dem heute nicht mehr so. Man rechnet, dass in manchen Regionen bis zu 7% der Rechner durch Fremde kontrolliert werden können. Dazu haben sie kleine Programme (Bots) auf die Rechner gespielt und steuern diese Programme nach Bedarf. Beispielsweise zum Versand von SPAM-Mails, um bestimmte Rechner zu überfluten (Distributed Denial of Service, DDOS) oder um Tastatureingaben und Bildschirmausgaben abzufangen. Mar 19, 2007: Symantec tracked 6 million separate bots compromised computers used to send spam or steal personal data controlled by roughly 4,700 separate servers through so-called "bot herders" who could be anywhere in the world. During the same six-month period, from last July through December, Symantec also watched 332 of what it calls "underground economy servers," where stolen personal data, such as credit card and bank account information, is routinely bartered and sold. According to Alfred Huger, Symantec s vice president of engineering, it s not unusual for these underground economy servers to be the same as those maintained by the bot herders. 20

21 The survivaltime is calculated as the average time between reports for an average target IP address. If you are assuming that most of these reports are generated by worms that attempt to propagate, an unpatched system would be infected by such a probe. The average time between probes will vary widely from network to network. Some of our submitters subscribe to ISPs which block ports commonly used by worms. As a result, these submitters report a much longer 'survival time'. On the other hand, University Networks and users of high speed internet services are frequently targeted with additional scans from malware like bots. If you are connected to such a network, your 'survival time' will be much smaller. The main issue here is of course that the time to download critical patches will exceed this survival time. 21

22 [ :10] In Untergrund-Foren werden bereits Exploits für Microsofts neuestes Betriebssystem Windows Vista verhökert, mit denen sich ein Rechner kompromittieren lässt, berichten US-Medien. Laut Trend Micro[1] seien bis zu US- Dollar auf den Online-Auktionen ähnelnden Seiten geboten worden. Aber auch Exploits für andere Software würden dort gehandelt, je nach Popularität der Programme und Zuverlässigkeit des Exploits für Summen zwischen und US-Dollar. Zudem sollen sich komplette Bots und Trojaner erwerben lassen: Ein Trojaner zum Stehlen von Daten soll zwischen 1000 und 5000 US-Dollar bringen, ein Bot zum Aufbau etwa einer Spam-Armee ist für 5000 bis Dollar zu haben. Auch die mit Trojanern geklauten persönlichen Daten und virtuellen Währungen etwa aus Online-Spielen stünden zum Verkauf. Kreditkartennummern inklusive PIN gehen für 500 Dollar über den Tisch. Ohne gültige PIN, aber dafür mit dreistelligem Sicherheitscode und Ablaufdatum kostet eine Kreditkartennummer nur noch 25 Dollar. Ein ebay- oder PayPal-Account schlägt gerade noch mit 7 Dollar zu Buche. Bereits Ende vergangenen Jahres zeigte sich beim WMF- Exploit[2], wie lukrativ es sein kann, mit Schadsoftware Geld zu verdienen. Damals hatte Kaspersky Hacker in russischen Foren beobachtet, die den Exploit für 4000 Dollar angeboten und verkauft hatten[3]. Kurze Zeit darauf versuchten zahlreiche Webseiten, Besucher über den Exploit mit Trojanern zu infizieren. [1] [2] [3] [4] mailto:dab@ct.heise.de 22

23 Bochum Cybercrime zu Schleuderpreisen - Einsteigerpaket für Nachwuchs-Spammer bereits ab 140 Euro "Die Professionalisierung der Online-Kriminellen ist nichts Neues. Wir haben es bereits seit Jahren mit einer Industrie zu tun, die im Internet kriminelle Dienstleistungen im großen Rahmen anbietet", sagt Ralf Benzmüller, Leiter der G Data Security Labs. "Nach dem Motto 'Darf es auch etwas mehr sein?', bieten die Cyber-Kriminellen ihre Dienstleistung oft in Kombinationen an. DDoS-Attacken auf Mitbewerber und zeitgleicher Versand von Spam sind nicht ungewöhnlich", so Benzmüller. Bereits für wenige hundert Euro sind gezielte Angriffe auf Webangebote oder der Versand von Millionen von Spam- s als Auftragsarbeit möglich. Die Cyber-Kriminellen operieren hierbei in Netzwerken, um möglichst viele Facetten der kriminellen Dienstleistungen aus einer Hand anbieten zu können. Die Webseite "WabiSabiLabi ist das Ebay oder Ricardo für Cyber-Kriminelle. Hier können Hacker ab 500 Euro aktuelle Windows- und Linux-Sicherheitslücken ersteigern. 23

24 Q&A What is WabiSabiLabi? OCTOBER 11, 2007 CHIASSO, Switzerland -- In just two months the IT security vulnerabilities marketplace launched by WabiSabiLabi (WSLabi) that encourages security researchers to sell their findings in an open marketplace to legitimate organisations, big or small, exceeded all expectations with over 150 vulnerabilities submitted. IT security experts have jumped at the opportunity to sell their research in a safe environment to an eager and ready audience of vetted buyers prepared to pay a fair price to get their hands on the latest IT security vulnerabilities. Q: Do you trade zero day vulnerabilities? A: First let's use the proper terminology, there is no zero day vulnerability, instead there is Security Research, which is the job of a skilled security researcher. Our scope is to provide an institutional market place in which security researchers can offer place their work to the market through a platform designed to maximize their reward. Q: How much do you pay for a zero day security research? A: You don't sell to WabiSabiLabi". Rather you sell through it like any other institutional market exchange. WabiSabiLabi doesn't directly pay anything, rather we mediate a your sale/purchase on behalf of researchers by providing a secure market environment aimed to maximize the security researcher's reward, therefore we maintain: - a Research Department - a test-drive laboratory - an transparent exchange platform - a secure payment system Security research will only be placed on the market place, only after being validated by our labs and being "dressed" with our complementary material and services. We will also help researchers to design the best business model (Such as: selling schemes, starting selling price etc.) in order to maximize the value creation. 24

25 The expression drive-by download is used in three increasingly strict meanings: Any download that happens without knowledge of the user. Download of spyware, a computer virus or any kind of malware that happens without knowledge of the user. Drive-by downloads may happen by visiting a website, viewing an message or by clicking on a deceptive popup window: the user clicks on the window in the mistaken belief that, for instance, it is an error report from his own PC or that it is an innocuous advertisement popup; in such cases, the "supplier" may claim that the user "consented" to the download though he was completely unaware of having initiated a malicious software download. Download of malware through exploitation of a web browser, client or operating system bug, without any user intervention whatsoever. Websites that exploit the Windows Metafile vulnerability may provide examples of "drive-by downloads" of this sort. The expression drive-by install (or installation) is completely analogous and refers to installation rather than download (though sometimes the two are used interchangeably). Beim Drive-by-Pharming werden eine Webseite oder eine -Nachricht so präpariert, dass sie die DNS-Einstellungen des Breitbandrouters ändert, mit dem der Anwender mit dem Internet verbunden ist. Konkret wird die Routingtabelle so manipuliert, dass der Surfer nicht auf der gewünschten Seite, sondern auf einer vom Hacker eingerichteten Page landet, welche die Originalseite imitiert. «Pharming» heisst die Methode, weil für den Angriff eine ganze Server-Farm verwendet wird. 25

26 -Ergebnisse ist die Gesamtbewertung von SiteAdvisor für die -Praktiken einer Website. Wir klassifizieren Websites auf der Grundlage dessen, wie viele s sie versenden, sowie auf Grundlage des Spam-Faktors, den diese Mails aufweisen. Wenn einer dieser Werte über dem von uns festgelegten Grenzwert liegt, statten wir diese Site mit einer gelben Warnung aus. Wenn beide Werte hoch sind oder einer besonders auffällig ist, statten wir diese Site mit einer roten Warnung aus. Downloads gibt die Gesamtbewertung von SiteAdvisor zu den Auswirkungen an, die die herunterladbare Software einer Site auf unseren Test-Computer hatte. Sites mit virusinfizierten Downloads oder solche, die zusätzliche Software hinzufügen, die die Benutzer als Adware oder Spyware ansehen würden, erhalten rote Flaggen. Die Bewertung berücksichtigt auch die Netzwerkserver, zu denen ein Programm während der durchgeführten Transaktionen eine Verbindung herstellt, sowie jegliche Veränderungen, die an den Browsereinstellungen oder den Registrierungsdateien eines Computers vorgenommen werden. Online-Partnerschaften betrachtet die Aggressivität, mit der eine Site versucht, Sie auf andere Sites weiterzuleiten, die wir als "rot" markiert haben. Es ist im Internet üblich, dass verdächtige Sites enge Verbindungen zu anderen verdächtigen Sites aufweisen. Der Hauptzweck dieser "fütternden" Sites ist es, Sie dazu zu bewegen, die verdächtige Site zu besuchen. Eine Site kann eine rote Warnung erhalten, wenn sie beispielsweise zu aggressiv versucht, Sie auf andere rote Sites weiterzuleiten. Eine Site kann tatsächlich auch "rot durch Verbindung" werden, wenn die Verbindung zu einer als rot klassifizierten Domäne zu eng ist. Störende Praktiken sind häufig genutzte Web-Praktiken, die den Benutzer stören, wie eine überhöhte Anzahl an Popups, Aufforderungen, die Homepage eines Benutzers zu verändern, oder Aufforderungen, eine Site zur Favoritenliste des Browsers hinzuzufügen. Wir listen in diesem Abschnitt auch Cookies von Dritten auf (manchmal auch als "Nachverfolgungs-Cookies" bezeichnet). Wenn eine Website viele Popups aufweist und wenn sie insbesondere Praktiken ausübt, wie das Öffnen mehrerer Fenster, wenn Sie versuchen, eines zu schließen, erteilen wir dieser Website eine rote Flagge. Exploits sind selten, stellen aber sehr gefährliche Sicherheitsbedrohungen dar, die dadurch entstehen, dass eine Website die Sicherheitsschwachstelle eines Browsers ausnutzt. Der Exploit kann dazu führen, dass der Computer eines Benutzers Programmierungscode erhält, der zu Adware-Infektionen, Keystroke-Spionage und anderen schädlichen Aktionen führen kann, die einen Computer gänzlich zerstören können. 26

27 Search Engine Safety is rated with McAfee SiteAdvisor for search engine results (in normal results and in sponsored (paid advertising) results). It Compares the safety of leading search engines, using McAfee SiteAdvisor s automated Web site ratings. AOL returns the safest search results, while Yahoo! returns the greatest percentage of risky results. Since May 2006, search engine results have become safer, primarily due to improved safety of sponsored results on Google, AOL, and Ask. Despite this improvement, dangerous sites are found in search results of all of the top five search engines, and sponsored results continue to be significantly less safe than search engines organic results. Overall, 4.0% of search results link to risky Web sites, which marks an improvement from 5.0% in May Dangerous sites are found in search results of all 5 of the top US search engines (representing 93% of all search engine use). The improvement in search engine safety is primarily due to safer sponsored results. The percentage of risky sites dropped from 8.5% in May 2006 to 6.9% in May However, sponsored results still contain 2.4 times as many risky sites as organic results. AOL returns the safest results: 2.9 % of results rated red 1 or yellow 2 by McAfee SiteAdvisor. At 5.4%, Yahoo! returns the most results rated red or yellow. Google, AOL, and Ask have become safer since May 2006, with Ask exhibiting the greatest improvement. The safety of search results on Yahoo! and MSN has declined. 1. Red rated sites failed McAfee SiteAdvisor s safety tests. Examples are sites that distribute adware, send a high volume of spam, or make unauthorized changes to a user s computer. 2. Yellow rated sites engage in practices that warrant important advisory information based on McAfee SiteAdvisor s safety tests. Examples are sites which send a high volume of non-spammy , display many pop-up ads, or prompt a user to change browser settings. 27

28 1. Organize Identify the weakest link on a broad scale Consider technical, organizational and operational aspects Define security policy, define responsibilities Awareness building 2. Protect: Encryption and authentication Encrypt stored files and transmitted information At various OSI-Layers: Application data (PGP, SSH,...), Socket (specific Port / IP-Address Combination, SSL), IP-Connection, Link (Point-to-point e.g. leased line) Install patches unplug systems install recovery procedures (backup, information / media communication) Informatics, communication, physical (building locking system), fire, employees,.. 3. Limit access, filtered traffic Physical access, password, firewall,... Filter/limit traffic (traffic separation) to specific sections of the network (based on applications, sessions, IP-addresses: IP-subnetting, MAC-Layer Switching structured cabling 4. Combine multiple security measures Mulitlevel security, in-depth security 5. Control, monitor, verify, check, act (detect attacks, check your systems). react and correct Intrusion Detection, Vulnerability Testing Security Checks 28

29 Im Bereich Internet Sicherheit gibt es verschiedenste technische Massnahmen zur Verbesserung der Sicherheit. Diese basieren beispielsweise auf folgenden Ansätzen: Einschränkung des Datenverkehrs (Limit, Wissen nur wenn nötig ): Dies wird beispielsweise durch Router und Firewalls erreicht. Im weiteren Sinne könnte man aber auch die Zugangsregelung mittels Benutzername/Passwort dazu zählen. Im weiteren Sinne ist auch die Überprüfung und allfällige Löschung von Daten bei Viren-Scannern eine Filterungsmassnahme. Verschlüsselung und Authentisierung: Hier stellt der mittels https bzw. Secure Socket Layser (SSL) gesicherte Webzugang die wichtigste Massnahme dar. Die Authentisierung spielt aber auch in Zusammenhang mit Benutzername/Passwort Zugang eine Rolle. Kontrolle: Intrusion Detection Systeme (IDS), Intrusion Prevention Systems (IPS) oder Honey Pots sollen helfen, trotz aller Schutzmassnahmen erfolgte Einbrüche zu detektieren bzw. abzuwenden. 29

30 Gemäss mehreren Studien entstehen die meisten IT-Sicherheitsprobleme durch Fehlverhalten von Mitarbeitern. Klare Richtlinien regeln unter anderem den Meldeprozess bei Unregelmässigkeiten oder Vermutungen über Lücken im Sicherheitskonzept. Die IT-Benutzerrichtlinien müssen nicht nur klar verständlich sein, sondern auch angewendet werden. Dazu hilft ein Pflichtenheft, das die Aufbauorganisation und Verantwortlichkeiten bezüglich IT-Sicherheit bestimmt und die Sensibilisierung der Mitarbeiter regelt. Ein Single-Sign-On-Konzept, das dem Benutzer nach einer einmaligen Authentifizierung den Zugriff auf alle Rechner und Dienste ermöglicht, für die er berechtigt ist, entlastet die Mitarbeiter und erleichtert ihnen dadurch die Einhaltung der Richtlinien. Datenschutzrichtlinien definieren den Umgang mit dem schützenswerten Charakter persönlicher Daten von Kunden, Partnern, Mitarbeitenden und anderen Personen. Die Zugriffsrechte der Mitarbeiter auf Geschäftsdaten müssen genau definiert sein, um den Datenschutz auch intern sicherzustellen. Einige einfache Regeln für den Alltag ergänzen die organisatorischen Aspekte. Ein klarer und logischer Aufbau der Dokumentenablage spart Zeit bei der Dokumentensuche, verringert die Gefahr von Datenverlust und verhindert, dass sensible Dokumente durch Zufall von Unbefugten entdeckt werden. Ausserdem sollten alle Mitarbeiter ausschliesslich starke Passwörter verwenden und diese periodisch austauschen. Weitere Beispiele:

31 Word und Excel stellen unter Extras > Optionen > Registerkarte Sicherheit zwei Schutzfunktionen zu Verfügung: Dateiverschlüsselungsoptionen (Kennwortschutz zum Öffnen) und Dateifreigabeoptionen (Kennwort zum Ändern). PDF-Dokumente können über ein Document Open Password (auch User-Passwort genannt) vor dem Zugriff durch Unberechtigte geschützt werden. Ähnlich wie bei Office sind verschiedene Verschlüsselungsmethoden mit 40- bis 128-Bit-Schlüssellängen verfügbar. Mit dem Change Permission Password (auch Master-Passwort genannt) lassen sich ferner Aktionen wie Dokument Drucken, Bearbeiten oder Kopieren einschränken. Die bekannte Komprimierungssoftware WinZip unterstützt 128- und 256-Bit AES-Verschlüsselung. Der Advanced Encryption Standard (AES) gilt als sicher und wird vom NIST (National Institute of Standards and Technology), d.h. 31

32 32

33 33

34 Decrypton kann schwach verschlüsselte Dokumente verschlüsseln. Office 2003 verwendete in der Grundeinstellung eine schwache Verschlüsselung (Office97/2000 Kompatibilitätsmode). Stärkere Office 2003 Verschlüsselung kann Decryptum nicht brechen. Office 2007 verwendet Verschlüsselungsverfahren, welche Decryptum nicht brechen kann. 34

35 Mittlerweile bieten die meisten Programme auch Verschlüsselung und Signaturen an. Basiert auf hybrider Verschlüsselung (Public Key bzw. Zertifikat zum Schlüsselaustausch, symmetrische Verschlüsselung zur Übertragung) Standards: Für Verschlüsselung: S/MIME Für Schlüssel (Zertifikate): X.509 Proprietäre Lösungen: Lotus Notes In gewissen Kreisen weit verbreitet (z.b. bei CERT): PGP 35

36 36

37 37

38 Identification establishes who you claim to be: The user claims an identity, usually by supplying a user ID or a user name. Authentication verifies that you are who you claim to be: The user supplies authentication information, which proves the binding between the user and the identity. This authentication information and binding to users have to be done in a provisioning phase (e.g. when personally show up at a government desk, present the passport and get a digital certificate) Authorization establishes what you re allowed to do e.g. which files and applications you may access: The systems authorizes the (authenticated) user to do what he is allowed to do. Accounting charges for what you do. 38

39 Defense in depth is designed on the principle that multiple layers of different types of protection from different vendors provide substantially better protection. A hacker may develop a knack for breaking through certain types of defenses or learn the intricacies or techniques of a particular vendor effectively rendering that type of defense useless. Beispiel Mehrstufige Sicherheit: Die Anwender sind speziell geschult im Umgang mit sensitiven Informationen Zugang zu Daten wird durch Berechtigungen, Passwörter, Encryption kontrolliert Anwendungen werden durch Hardening, Anti-Virus, Content-Security geschützt Rechner (Hosts) werden mittels Hardening, Patchmanagement auf einem guten Sicherheitsstandard gehalten Netzwerke werden segmentiert und geschützt (Wireless) Der Sicherheitsperimeter wird kontrolliert mit Firewalls, VPN, Dial-In Der physische Zugang zu den Systemen ist nicht für alle möglich 39