Mobiles Arbeiten in Verwaltungsnetzen

Transkript

1 Mobiles Arbeiten in Verwaltungsnetzen

2 Eine Definitionen Mobile Internet Device (MID) = Smartphone oder Tablet

3

4 Die Agenda für heute Woher wir kommen Einordnung der Geräte Gefährdungen Schutz

5 Woher wir kommen Einordnung der Geräte Gefährdungen Schutz

6 The Times, They Are Changing * Konsequenz: In den letzten 40 Jahren konsumerisiert die Business-IT immer stärker * Bob Dylan, 1964

7 The Times, They Are Changing auch unsere Netzwerke Konsequenz: Vervielfachung der möglichen Einfallstore

8 Woher wir kommen Einordnung der Geräte Gefährdungen Schutz

9 Das ipad von innen als Blockdiagramm Oder anders ausgedrückt: Ein Pentium III-Desktop mit sehr gutem Monitor und jeder Menge Peripherie in einem kleinen Stapel A4-Papier

10 Einordnung der Geräte Was ist eigentlich ein MID Ein vollwertiger Computer mit der Leistung eines Desktop-PCs vor einigen Jahren und die Leistung nimmt ständig und schnell zu Samsung Galaxy S3 -> Vier-Kern-Prozessor! Ein leistungsfähiger Netzwerk-Knoten Ständig Online Ein Teilnehmer an mehreren Diensten und Anwendungen gleichzeitig Exchange/Outlook dienstlich und POP3/IMAP/Webmail privat dienstliche Laufwerke und Public Cloud-Dienste (Goolgle, icloud, Dropbox ) Verwaltungsverfahren und Angry Birds

11 H:\ Intranet (dienstlich) Internet (privat)

12 Globale Marktentwicklung in Mio. Geräten c Gartner 4/2012

13 Key Player im Tablet-Markt 100% QNX Microsoft 80% Android 60% 40% 20% ios 0% c Gartner 4/2012

14 Woher wir kommen Einordnung der Geräte Gefährdungen Schutz

15 Werden MIDs angegriffen? Ja! Gleiche Zielrichtung wie schon bei Desktop-PC Raub von Daten, kostenpflichtige Dienste usw. Angriffe sind einfacher bei MIDs durchzuführen wegen bisher nur schwachem Schutz in den Betriebssystemen oft schlechter Pflege der Betriebssysteme oftmals leichtsinnigem Verhalten der Nutzer ( da gibt es doch eine App ) Besonders anfällig ist Android Ein Fluch der Verbreitung, der Heterogenität der Hardware und den verfügbaren Kapazitäten der Hersteller

16 Wie sind MIDs gefährdet? Unbedachtes Herunterladen von Apps Trojaner und Viren, besonders außerhalb der App-Stores Jailbreaking und Rooting der Geräte ( Entsperren ) Erlaubt dem Nutzer und der Schadsoftware den vollständigen und ungehinderten Zugriff bis auf die Hardware hinunter Datenabfluss in die großen Clouds (Apple, Google ) und zu App-Anbietern Unbedachtes Verwenden von Synchronisierungen Undurchsichtige Rechte von Apps z.b. auf Zugriff auf Kontakte, Telefondaten. E- Mail-Konten, Anwenderdaten

17 Wo liegen die Unterschiede zu PC? In der Erfahrung der Betriebssystem-Hersteller Google (Android): sehr unerfahren Jeder MID-Hersteller zeichnet für sein Android verantwortlich. Konsequenz: Schlechte Systempflege durch die Hersteller Time To Market vs. Sicherheit Apple (ios): begrenzt Geschlossenes, proprietäres Ökosystem reduziert die Angriffsfläche Schleppende Sicherheitsupdates Research In Motion (Blackberry): sehr hoch Microsoft (Windows): sehr hoch

18 Woher kommen die Lücken? nun, es ist Software! Wie groß ist Software? Windows (XP) ca. 45 Mio., Debian 2.2 (Linux) ca. 55 Mio., Android ca. 12 Mio., Word 95 ca. 2 Mio. ausgelieferte Codezeilen Wie fehlerhaft ist Software? 0,5 bis 3 Fehler pro 1000 ausgelieferter Codezeilen Das bedeutet bei 0,5/1000: XP , Debian , Android 6.000, Word Fehler Individual-Software ist regelmäßig deutlich schlechter! Zusammengefasst Software ist fehlerhaft! Auch sichere Software kann unsicher betrieben werden! Falsche oder nachlässige Konfiguration führt zu Sicherheitsrisiken

19 Anzahl infizierter Apps In der Datenbank von McAfee Quelle:

20 und ihre Verteilung Quelle:

21 Die Lücken werden gehandelt ios-lücke für US-Dollar verkauft Der Handel mit ungepatchten Sicherheitslücken (Zero- Day) boomt: Laut einem Bericht des Magazins Forbes hat ein US-amerikanisches Unternehmen, das unter anderem mit der US-Regierung zusammenarbeitet, vor kurzem US-Dollar für eine Lücke in Apples ios- Betriebssystem gezahlt. Quelle:

22 und hier die Preisliste Quelle:

23 Woher wir kommen Einordnung der Geräte Gefährdungen Schutz

24 Die Herausforderungen des Einsatzes von MIDs Systembetrieb und Fachverfahren Mit einer neuen Betriebsstruktur neben der bisherigen umgehen Bisher ungeahnter Heterogenität der Betriebssysteme (ios 6, Android 2.x, Android 4.x, Windows Phone 7, Windows 8 ) Hohe Herstellervielfalt mit eigener Umsetzung der Betriebssysteme (Apple, Samsung, LG, Acer, HTC, Huawei, Microsoft ) Verwaltungsverfahren MID-tauglich machen Es werden Apps für die eigenen Fachverfahren benötigt, die kleine Bildschirme und Gesten-Steuerung ermöglichen

25 Gibt es Gegenmaßnahmen? Innerhalb der Geräte bisher nur wenige. Die Architektur der MID-Betriebssysteme erlaubt nicht das bei Desktop- und Server- Betriebssystemen mögliche einklinken der Viren-Scanner (bisher kein Antivirus-API) Sandboxing und Virtualisierung auf den MIDs erst in den Anfängen Technische Beschränkung der MIDs Keine App-Downloads von fremden Quellen schließt itunes, Google Play usw. ein! Einschränken der informationstechnischen Beweglichkeit Kein Internetzugang sondern nur Intranet via VPN Isolation der MIDs im Intranet

26 Konsequenzen der Gegenmaßnahmen Sehr hoher Aufwand bei Verfahrensbetrieb Eigener App-Store Eigene App-Tests Sehr hoher Aufwand bei der Verfahrensentwicklung Neben den PC-Oberflächen sind Apps für die verschiedenen MID- Betriebssysteme zu entwickeln Unzufriedene Nutzer Der Spaß-Faktor wird deutlich reduziert Die IT wird als Verhinderer statt Enabler verstanden

27 Und was ist zu tun? Standardisierung über die gesamte Organisation Jeder Nicht-Standard erhöht das Risiko und die Betriebskosten Eindeutige Identifizierung eigener Geräte Zertifikats-basiert, aus eigener PKI oder durch zugekaufte Zertifikate Aktueller Schutz/Stand der Geräte über Policies z.b. mit MDM-Systeme (MDM: Mobile Device Management) Updates und Regeln nicht dem Nutzer überlassen White-Listing von Apps Container-Lösungen Das eigene IT-System und Netzwerk professionell betreiben und schützen IDS, IPS, Honeypots (Firewalls und Malware-Schutz an den End Points und den Netzgrenzen haben Sie doch schon, oder?) Genügend Ressourcen in qualifiziertem Personal und Finanzen Sicherheit ist nicht umsonst und wird mit mehr Heterogenität mehr kosten

28 Noch Fragen? Kontakt Karl O. Feger Referat II.6 Informationssicherheit CISO Sächsisches Staatsministerium der Justiz und für Europa (0351)