von Wikipedia?

Transkript

1 Sicherheit, Firewall und kabelloses Internet Großer Sitzungssaal, Landratsamt Rhön-Grabfeld Bad Neustadt, Andreas Gabriel MECK c/o Universität Würzburg von Wikipedia? :41 Uhr 1

2 Recherche bei der vermeintlichen Quelle Des Rätsels Lösung :02 Uhr 2

3 Ein deutschlandweites Netzwerk Netzwerk Elektronischer Geschäftsverkehr - 25 regionale Zentren in ganz Deutschland - 1 Branchenzentrum Handel mit Sitz in Köln - Projektträger: Deutsche Gesellschaft für Luft- und Raumfahrt a (DLR) - Förderung durch das BMWi (Bundesministerium für Wirtschaft und Technologie) Vertreter des NEG in unserer Region Mainfränkisches Electronic Commerce Kompetenzzentrum Sie erreichen uns unter: Das MECK-Team Unsere Intension Hier finden Sie uns Veranstaltungen und zahlreiche Partner Bei Ihnen vor Ort Bildquellen: 3

4 Über meine Person: Andreas Gabriel Seit Juli 2000 wissenschaftlicher h Mitarbeiter am Lehrstuhl für BWL und Wirtschaftsinformatik, Prof. Dr. R. Thome; Universität Würzburg Seit 2003 Mitarbeiter des Mainfränkischen Electronic Commerce Kompetenzzentrums (MECK) Mitglied im Netzwerk Elektronischer Geschäftsverkehr (NEG) Mittelstandsberatung mit dem Schwerpunkt Informationssicherheit Seit Mai 2006: Zertifizierung zum ISMS Auditor/Lead Auditor ISO 27001:2005 durch das British Standard Institut Begleitprojekt Informationssicherheit Sie erreichen uns unter: Dr. Kai Hudetz Andreas Duscha Prof. Dr. Hans-Jürgen Ott Markus Wirth Stephan Rogge Dagmar Lange (Projektleiterin) Prof. Dr. Günther Neef Andreas Gabriel 4

5 17 branchenspezifische Best-Practice- Anleitungen aus dem Jahr 2007 Branchenbeispiel Handwerk 1 Branchenbeispiel Handwerk 2 Branchenbeispiel Einzelhandel Branchenbeispiel Produktion/Großhandel Branchenbeispiel Maschinenbau 1 Branchenbeispiel Maschinenbau 2 Branchenbeispiel Maschinenbau 3 Branchenbeispiel Sondermaschinenbau Branchenbeispiel Textilindustrie Branchenbeispiel i llogistik ik Branchenbeispiel Öffentliche Verwaltung Branchenbeispiel Finanzwesen/Versicherung Branchenbeispiel Gesundheitswesen Branchenbeispiel Automatisierungs-/Wartungstechnik Branchenbeispiel Informationstechnik Branchenbeispiel Anlagenbau Branchenbeispiel Umwelt-/Geotechnik Quelle: Kenntnisse über die wesentlichen gesetzlichen Vorgaben zur IT-Sicherheit 60% 40% 48,7% Über 70 % der Befragten geben an, die wesentlichen Vorgaben ganz oder zumindest teilweise zu kennen, die im Bereich der IT- Sicherheit für Sie gelten. Jeder fünfte Befragte kennt die gesetzlichen Vorgaben nicht. 20% 22,5% 20,8% 8,1% 0% ja teilweise nein weiß nicht Die ganze Studie finden Sie unter: In Kooperation mit dem E-Commerce-Center Handel, Köln 5

6 Formulierung und Umsetzung eines Datensicherungskonzeptes 60% 50% 40% 47,8% Lediglich knapp die Hälfte der Befragten haben ein Datensicherungskonzept komplett formuliert und realisiert. 30% 27,8% 20% 17,7% 10% 6,7% 0% In Kooperation mit dem E-Commerce-Center Handel, Köln ja teilweise nein weiß nicht Die ganze Studie finden Sie unter: Opfer klagt: Gib mir meine Erinnerungen zurück! Datum: August 2008 Überschrift: Gemeiner Laptop-Dieb Inhalt: -Laptop aus dem Auto gestohlen (vom Beifahrersitz!) it -Alle Fotos des fünf Monate alten Babys sind ersatzlos verloren -Trotz Suchaktion inkl. Belohnung keine Reaktion des Diebs Quelle: 6

7 Überprüfung der Wiederherstellung des Datenbestandes 70% 60% 50% 40% 30% 20% 10% 50,9% 27,4% Jeder zweite hat zumindest einmal überprüft, ob die Wiederherstellung des Datenbestandes mit den vorhandenen Sicherungskopien möglich ist. 13 % der Befragten verlassen sich auf die Möglichkeit zur Wiederherstellung ohne bisherige Überprüfung. 13,7% 8,0% 0% n = 212 ja teilweise nein weiß nicht In Kooperation mit dem E-Commerce-Center Handel, Köln Die ganze Studie finden Sie unter: Länge der Aufrechterhaltung des Betriebes ohne folgende Dienste Telefon Eigener File-Server Internetrecherche Eigener Internetauftritt Buchhaltung Eigener Internethandel weniger als bis zu vier Stunden bis zu einem Tag bis zu einer Woche mehr als eine n 156 eine Stunde Woche Die ganze Studie finden Sie unter: In Kooperation mit dem E-Commerce-Center Handel, Köln 7

8 1 Mit welchen Sicherheitsproblemen wurde Sie in den letzten 18 Monaten konfrontiert? Quelle: Wo befindet sich der Gegner? 5 Angreifer Fremde Regierungen Konkurrenten Hacker frustrierte Mitarbeiter prozentualer Anteil Quelle: Computer Security Institute Survey 8

9 Wo kommen die Gegner her? Quelle: Wer ist der Gegner? Hacker Cracker Script-Kiddies Bilder: tomarpartido.weblog.com.pt 9

10 Beispiel für einen Hackerangriff Was ist passiert? Frau Palin nutze wohl ihren privaten -account auch für dienstliche Zwecke Hacker nutze den Erinnerungs- Service von Yahoo, um das Login zu erlangen und benötigte dazu folgende Informationen: Geburtsdatum PLZ der Heimatadresse Antwort auf die Kontrollfrage Wo lernte ich meinen Ehemann kennen? Quelle: 10

11 Wie schnell findet man die Antworten? Geburtsdatum t Dauer: 30 Sekunden Quelle: PLZ Alaska State Capitol Building P.O. Box Dauer: 2 Minuten Juneau, AK Quelle: Ehemann Sie lernten sich in der Highschool kennen Quelle: Dauer: ca. 60 Minuten Informationssicherheit Organisatorische Maßnahmen MECK-Stufenkonzept zur Informationssicherheit Ernennung eines Verantwortlichen Delegierung definierter Verantwortlichkeiten Regelmäßige Schulung der eigenen Mitarbeiter Organisatorische Maßnahmen 11

12 Schulung leider noch immer unterschätzt Formen der Weiterbildung im Bereich Sicherheit Quelle: Umfrage des NEG; Bereitstellung der Daten durch das ECC-Handel in Köln Informationssicherheit Technische Maßnahmen MECK-Stufenkonzept zur Informationssicherheit Quelle: MECK veröffentlicht im KMU-plus Magazin Anti-Spam Anti-Dialer Anti-Spyware Betriebssystem-Updates Sicherung des Netzwerks Firewalls Abwehr von Viren, Würmer & Trojaner Datensicherung Backup

13 Informationssicherheit: Das Gesamtkonzept + Zugriffsregelung + Verschlüsselung +D Dokumentation ti u.v.m. veröffentlicht im Best Practice-IT Handbuch 2006 Eine umfassende Lösung ist wichtig! Sicherheitsrisiko Drucker 13

14 Aufbau einer IT-Sicherheits-Richtlinie Allgemeine Regelungen Speicherung der eigenen Daten (Ort, Umfang, Name ) Einhaltung der Bestimmungen des BDSG Umsetzung anderer Gesetzte im Unternehmen (Bsp.: Jugendschutz) Persönliche Regelungen Private Nutzung von Firmenressource, besonders WWW und Regelmäßiger Besuch von Schulungsveranstaltungen EDV-orientierte Regelungen Umgang mit ( Was darf Wer Wann per senden?) Verschlüsselung Umgang mit Viren/Würmern/Trojanern Installation/Konfiguration von Hard- und Software Umgang mit dem eigenen Laptop Sicherstellung, dass alle Programme aktuelle gehalten werden Firewall so schützen Sie Ihr Netzwerk ACCESS TO HEAVEN DENIED Quelle: cartoon2.shtml 14

15 Der Gedanke hinter einer Firewall Internet Filter Gateway FIREWALL Firmennetzwerk Zwicky, E.; et al.: Einrichten von Internet Firewalls. O Reilly Port Definition des Begriffes Port Eintrittsmöglichkeit in Ihren Rechner Englisch für Anschluss, Kanal oder Öffnung In der Regel ist damit der physischer oder logischer Anschluss in einem Netz gemeint. TCP/IP-Anwendungen adressieren den Kommunikationspartner zum einen über die IP-Adresse, zum anderen über eine Port-Nummer, die den Dienst auf dem Zielrechner spezifiziert. Quelle: 15

16 Über wie viele Ports verfügt ein PC? 500? 100? 1.000? ? Wie viele sind es wirklich? !! 16

17 Welche Ports sollte man kennen? 7 Ping-Befehl (20) 21 FTP 22 SSH 23 Telnet 25 SMTP 53 DNS 80 HTTP 110 POP3 119 NNTP (News) Windows-Remote-Desktop Quake 194 IRC zwischen ICQ Einordnung und Klassifizierung Die Ports von 0 bis sind die so genannten "Well Known Ports" oder System-Ports. Die Ports von bis sind registrierte Ports. Die Ports von bis sind die dynamischen und/oder privaten Ports, die frei verfügbar sind. Quelle: 17

18 Firewall Anforderungsanalyse Zwingend notwendig sind Was nie passieren darf mobil Furcht einflößend Pausen immer konsequent und wachsam abschreckend Ablenkung Personal Firewalls Auf jedem Client muss eine eigene Firewall installiert werden Dezentrale Lösung Programmgröße: ca. 3 MB Eng mit dem Betriebssystem verbunden Keine umfassende Sicherheit garantiert! 18

19 HILFE Mein Rechner wird angegriffen! Übersicht Personal Firewall ZoneAlarm Norton Personal Firewall McAfee Personal Firewall Outpost Firewall Pro Tiny Personal Firewall Sygate Personal Firewall und viele mehr... 19

20 Bewertung Personal Firewalls Quelle: Was ist eigentlich TCP / IP? IP Internet Protocol Internet TCP Transport ControlProtocol 1976 vom US Department of Defence eingeführt Alternative: UDP User Datagramm Protokoll 20

21 Beispielkonfiguration anhand der Protokolle Beschreibung Für wen gilt diese Regel? In welche Richtung? TCP UDP ANY Für welche (Web-) Adressen gilt diese Regel? Zu welchem Zeitpunkt ist diese Regel gültig? Erlaubnis/Verbot? Protokollierung Beispielkonfiguration anhand der Programme Erlaubnis Programmliste noch nicht definiert Verbot 21

22 Meldungen & Feedback Tiny Firewall Zone Alarm Was muss man erlauben? # 22: SSH: Aufbau eines verschlüsselten l Datenaustauschs für den externen Zugriff. # 80: WWW: Der Web-Server kann auf diesem Port vom Internet erreicht werden und antworten. # 3.389: Windows-Remote-Desktop: Hier kann eine verschlüsselte Remote-Desktop- Verbindung hergestellt werden. Für den Rest sollte gelten: DENY ALL 22

23 Schwächen einer Personal Firewall Wird auf dem zu schützenden Rechner betrieben Schützt nur einen PC Kann relativ einfach umgangen werden Interaktion mit dem Betriebssystem notwendig Verbraucht Systemressourcen Nutzer hat gesteigertes Sicherheitsgefühl und wird evtl. leichtsinnig Warnmeldungen werden zu schnell ignoriert Bewertung der Microsoft-Firewall Quelle: 23

24 Heute Absicherung des WLAN Früher Stichwort: WAR CHALKING Wie stark ist mein WLAN? Berechnet wird die effektive isotrope Strahlungsleistung (EIRP) (in dbm) eines WLAN-Gerätes: + elektrische Sendeleistung (dbm) + Verstärkung eines zusätzlichen Verstärkers (db) (falls vorhanden) Dämpfung der Kabel (db/m Länge) Dämpfung der Stecker (db) (meist vernachlässigbar) Dämpfung eines Blitzschutzadapters (db) (falls vorhanden) + Gewinn der Antenne (dbi) = Äquivalente isotrope Strahlungsleistung Quelle: 24

25 Wo wird WLAN verwendet? Einsatzgebiete für Funknetze (Quelle: Cisco-Studie) Hardware für ein WLAN Internet Access Gateway Router (Foto: NETGEAR) (Foto: Toshiba) WLAN-PC-Karte (802.11b-WLAN-Anbindung mit 11 MBit/s) (Foto: ALLNET) Wireless-PCI-Adapter Quelle: Zeidler 25

26 Aufbau einer umspannenden Infrastruktur Quelle: Zeidler Mögliche Störquellen Material Beispiele Dämpfung Holz Möbel, Decken, Zwischenwände gering Gips Zwischenwände ohne Metallgitter gering Glas Fensterscheiben gering Mauersteine Wände mittel Wasser feuchte Materialien, Aquarium mittel Beton Außenwände hoch Gips Zwischenwände mit Metallgitter hoch Metall Aufzugsschächte, Brandschutztüren sehr hoch Quelle: Zeidler 26

27 Störquellen Fresnel Zone Im Freien sollten 80% der Fresnel-Zone frei von Hindernissen sein. Besonders Wasseranteile spielen hier eine Rolle: z. B. Bäume (Blätter), da Wasser im 2,4-GHz-Band Energie besonders absorbiert. Quelle: Zeidler Aktuelle Schreckensmeldung Dt Datum: 07. November 2008 Überschrift: Experten wollen WPA geknackt haben Inhalt: - Verschlüsselungsstandard WPA bei WLANs mittlerweile Standard weil sicher - Erste Gerüchte über den ersten erfolgreichen Angriff machen die Runde - Umstellung von WEP aus WPA kurzfristig gestoppt - Wie sicher ist nun WPA2? Quelle: 27

28 Auf was Sie unbedingt achten müssen - Die Übertragung der SSID muss verhindert werden - Umbenennung der vorgegebenen SSID!Dabei unbedingt die Komplexität des Passwortes beachten! - MAC-Adresse Ihrer Computer im Router eintragen - Verschlüsseln Sie unbedingt die Übertragung! -WEP (alt/unsicher) -WPA (aktuell/rel. sicher) -WPA2 (Zukunft) - Einstellung des WLAN Sendebereiches - Die Sendeleistung entsprechend justieren - Das WLAN muss nicht immer in Betrieb sein - DHCP im WLAN-Router deaktivieren - Das WLAN-Router darf nur kabelbasiert konfiguriert werden - Beachten Sie bitte, dass es auch für diese Produkte Updates gibt! Komplexität des Passwortes Jaiss$Jbd09111 Jetzt arbeite ich schon seit drei Jahren bei der SAGEG J a i s s d J b d S Transformation der Zahlen J a i s s 3 J b d Transformation der Sonderzeichen J a i s s $ J b d

29 Angebot des NEG: Studie im Bereich Social Engineering Wir testen Ihr Unternehmen in drei Schritten: 1. Zutritt in Ihr Firmengebäude 2. (Freies) Bewegen im Gebäude 3. Netzwerkzugang Hacking Wir suchen 100 Unternehmen in ganz Deutschland, die sich dazu bereit erklären, an dieser Studie mitzuwirken. Download der Teilnahmebedingungen Bitte passen Sie auf! 29

30 Sicherheit, h it Firewall und kabelloses Internet Vielen Dank für Ihre Aufmerksamkeit Andreas Gabriel MECK Würzburg gabriel@meck-online.de