Virenschutz auf mehreren Ebenen

Transkript

1 Virenschutz auf mehreren Ebenen David Mitchell und Katherine Carr, Sophos, Oxford, UK Juni 2002 ÜBERSICHT Dieses White Paper erläutert die verschiedenen Ebenen der IT-Infrastruktur eines Unternehmens und untersucht die Notwendigkeit für einen Virenschutz an jedem einzelnen Zugriffspunkt. Es werden außerdem die Faktoren beleuchtet, die ein Unternehmen während des Entscheidungsprozesses über die Investition in eine Antiviren-Software berücksichtigen muss. Die IT-Infrastruktur Die IT-Infrastruktur eines Unternehmens kann man in 4 Ebenen strukturieren: 1. Arbeitsplatzrechner: Diese Ebene bildet den Kern eines Unternehmens und besteht aus den einzelnen Desktops, Laptops und anderen Endbenutzergeräten, die von den Mitarbeitern verwendet werden. 2. Lokale Fileserver: Diese Ebene befindet sich über den Computern der Benutzer und enthält Daten sowie Anwendungen, die von Desktops im gesamten Unternehmen verwendet werden Server: Diese Ebene befindet sich an den Schnittstellen zwischen Unternehmen und Außenwelt und ist der Kanal für den gesamten -Verkehr, der zum Unternehmen gelangt und aus dem Unternehmen versendet wird. 4. Managed Services: Dies ist die äußerste Ebene der IT-Infrastruktur. Sie kann sich innerhalb oder außerhalb des Unternehmens befinden, aber in beiden Fällen wird die Software, die als Teil der Services installiert ist, von einem Dritten, z. B. einem ISP (Internet Service Provider), verwaltet..

2 2 SOPHOS WHITE PAPER Die Merkmale jeder Ebene Ebene 1: Arbeitsplatzrechner Diese Ebene ist der anfälligste Bereich in einem Unternehmen, da der Großteil der Kontrolle über den Desktop beim Benutzer liegt. Administratoren können die Kontrolle von Desktops zwar bis zu einem gewissen Grad einschränken, besonders unter Windows 2000 und Mac OS X, bei Windows 95/98 und früheren Versionen von Macintosh hat der Administrator jedoch weit weniger Kontrolle. Was Desktops und Laptops wirklich anfällig macht, ist der Umstand, dass alle Arten von Daten dort empfangen werden - nicht nur von einem Fileserver oder einem - Server, sondern auch HTTP-basierter Internet-Verkehr, FTP-basierter Dateitransfer, CD-ROMs, Daten von synchronisierten PDAs (Personal Digital Assistant) usw. Arbeitsplatzrechner sind am schwierigsten zu verwalten, einfach aufgrund der immensen Anzahl von Rechnern. Für viele Unternehmen ist es sogar schwierig anzugeben, wieviele Computer sie eigentlich haben. Ebene 2: Fileserver Die meisten Unternehmen haben weit weniger Fileserver als Benutzercomputer. Administratoren haben bei Fileservern mehr Kontrolle darüber, was sich auf jedem Server befindet, da die Zugriffsmöglichkeiten für End-User auf diese Rechner viel effektiver geregelt werden können. Obwohl sie auf die freigegebenen Daten zugreifen können, haben End-User keine Kontrolle über die Einstellungen. Zu den gängigsten Betriebssystemen für Fileserver gehören Unix, Windows NT/2000 und NetWare. Ebene 3: -Server -Server befinden sich am Gateway und verarbeiten den -Verkehr, der in ein Unternehmen gelangt oder von dort verschickt wird. Sie unterstützen sowohl Protokolle wie SMTP (Simple Mail Transfer Protocol) als auch - Produkte wie Lotus Notes/Domino und Microsoft Exchange. Eine im Zeitraum Januar bis März 2000 durchgeführte Studie für Message Manager von Pitney Bowes hat herausgefunden, dass der durchschnittliche Mitarbeiter in einem Fortune-1000-Unternehmen 50 s pro Tag (1) bearbeitet. Große Unternehmen erreichen schnell ein Volumen von s pro Tag, einige sogar in Höhe von einer Million s. Laut IDC (International Data Corporation) werden im Jahre Billionen s täglich versandt. (2) Mit dieser Dichte an -Verkehr, kombiniert mit der Weiterentwicklung von -fähigen Viren, werden s aller Wahrscheinlichkeit nach zum Hauptverbreitungsweg, über den Viren in Unternehmen gelangen. Unternehmen können so zahlreiche - oft hunderte - Viren täglich am Gateway stoppen. Ebene 4: Managed Services Managed Services haben in den letzten Jahren immer mehr zugenommen und bilden die letzte der vier IT-Ebenen. Im Wesentlichen steht dieser Begriff für ein Drittunternehmen, dass mehrere Funktionen und Software in einem Service bündelt oder Hardware zur Verfügung stellt, die es für ein anderes Unternehmen verwaltet. Ein Unternehmen, das diese Art Managed Service nutzt, gibt damit einen Großteil des Verwaltungsaufwands ab. Ein Beispiel für ein Unternehmen, das Managed Services anbietet, sind ISPs (Internet Service Provider). Ein Unternehmen kann seine s über einen ISP leiten, der ISP überprüft die s auf Viren, Spam, pornografische Inhalte etc.

3 JUNI 2002 VIRENSCHUTZ AUF MEHREREN EBENEN 3 Der ISP entscheidet dann, welche Maßnahmen getroffen werden, z.b. ob die entsprechende weitergeleitet wird oder nicht. Der ISP stellt dem Unternehmen diesen Service in Rechnung. Eine andere Art Managed Services besteht in Hardware oder einer Appliance. Dabei handelt es sich um einen speziellen Server an der Außengrenze des Netzwerks, der den -Verkehr aus dem Unternehmen und in das Unternehmen steuert. Dieser Service ist abgeschlossen und kann neben Antiviren-Software auch andere Software, wie z. B. eine Firewall, enthalten. Normalerweise kann ein Unternehmen keine eigene Software zu der Hardware hinzufügen. Die Hardware wird von fern durch das Unternehmen verwaltet, das die Hardware verkauft. Effizienz von Virenüberprüfungen auf jeder Ebene Ebene 1: Arbeitsplatzrechner Die Desktop/Laptop-Ebene ist die wichtigste Ebene in Bezug auf Virenüberprüfungen. Nur hier können alle Daten aus allen möglichen Quellen gelesen werden. Auf dieser Ebene können Dateien auf CD-ROMs, in PDAs während der Synchronisation und auf Disketten usw. auf Viren überprüft werden. s und ihre Attachments können hier überprüft werden. Für den Fall, dass es am Gateway keine Antiviren-Software gibt oder diese nicht aktuell ist, können Viren am Desktop immer noch daran gehindert werden, das Netzwerk zu infizieren. HTTP-Verkehr aus dem Internet kann auch auf dem Desktop überprüft werden. (Einige Unternehmen installieren noch einen weiteren Schutz für HTTP/FTP- Verkehr, z. B. am Gateway, aber wenn sie die damit verbundenen Leistungseinbußen mit der aktuellen Bedrohung durch Viren vergleichen, die eigentlich gering ist, verlassen sich viele lieber auf die Virenüberprüfung am Desktop.) Ein weiterer wichtiger Grund für Antiviren-Software am Desktop ist, dass nur hier verschlüsselte Daten, die z. B. das SSL (Secure Socket Layer) Protokoll für sichere internetbasierte Transaktionen verwenden, überprüft werden können. Verschlüsselte Dateien können von keiner Antiviren-Software überprüft werden, solange sie nicht entschlüsselt wurden. Die Schwierigkeiten bei der Überprüfung auf dieser Ebene in der IT-Infrastruktur ergeben sich aus der Administration von Benutzercomputern. Wie zuvor erläutert, ist diese Aufgabe aufgrund der hohen Anzahl an Computern anfällig für Fehler. Sofern der Administrator keine strenge Kontrolle anwendet und diese konsequent anwendet, können Benutzer mit Einstellungen herumspielen und so die Netzwerksicherheit beeinträchtigen. Es ist auch keine Neuigkeit, dass Antiviren-Software nur dann effektiv arbeitet, wenn Sie immer up to date ist. Ebene 2: Fileserver Überprüfungen auf dem Fileserver sind um einiges einfacher, da es normalerweise weniger Server als Desktops gibt und sie von einem Administrator einfacher kontrolliert werden können. Bis vor Kurzem haben sich viele Unternehmen auf zeitgesteuerte Überprüfungen auf dem Server verlassen. Sie wussten, dass bei einem Virus, der auf den Server gelangt ist, durch die Überprüfung des Arbeitsplatzrechners die infizierte Datei nicht geöffnet werden kann. Neue Virentypen, wie z. B. W32/Nimda - ein Windows 32-Virus, der sich aggressiv über Netzwerkfreigaben sowie und Websites verbreitet - haben die Entscheidung über On-Access-Überprüfungen auf dem Server schwieriger gemacht. Während in der Vergangenheit einige Unternehmen auf ihren Servern nur On-Demand- und zeitgesteuerte Überprüfungen durchgeführt haben, wird nun die On-Access-Überprüfung als

4 4 SOPHOS WHITE PAPER effektive Maßnahme angesehen, mit der man früh gewarnt wird, sollte ein Virus in ein Unternehmen gelangt sein, und die die schnelle Verbreitung im Netzwerk verhindert. Das Problem bei der Überprüfung am Fileserver ist, dass nicht alle Daten überprüft werden können. Dateien von CD-ROMs und DVDs sowie HTTP/FTP- Verkehr gehen direkt zum Desktop. Ebene 3: -Server Seit dem Auftreten des Word-Makrowurms WM97/Melissa im März 1999 ist die Zahl der -fähigen Viren und Würmer stark angestiegen. Zu den bedeutenden Beispielen gehören der W32/Magistr Virus, Visual Basic Script Würmer, wie der LoveLetter (VBS/Loveletter) und VBS/Kakworm und der Windows 32- Wurm W32/Klez. Diese Viren und Würmer versuchen sich auf verschiedenen Wegen zu verbreiten, am häufigsten über -Attachments, die sie an einige oder alle Adressen im Adressbuch des Anwenders senden. Auf diese Weise können innerhalb kürzester Zeit die Computer hunderttausender Anwender infiziert werden. Aufgrund der Geschwindigkeit, mit der sich solche Viren verbreiten, und ihrer großen Zahl ist die Überprüfung am Gateway inzwischen fast genauso wichtig geworden wie die Überprüfung am Desktop. Mit einer Überprüfung am Gateway kann ein Unternehmen einen Virus stoppen, noch bevor er zum Desktop gelangt. Dies bedeutet eine extreme Zeitersparnis für den Administrator, da er sich mit dem Problem nur an einer Stelle - am - Server - befassen muss, und nicht an jedem einzelnen Desktop. Wenn verhindert wird, dass ein Virus in ein Netzwerk gelangt, werden außerdem die Ausfallzeiten für das Unternehmen kürzer - der erste Ausbruch von Würmern, wie LoveLetter, hat Unternehmensnetzwerke zum Stillstand gebracht und alle Geschäftsaktivitäten erst einmal gelähmt. Andere Würmer, wie W32/Sircam, haben auch noch Dokumente weitergeleitet, die sie auf der Festplatte gefunden haben, und so die Integrität und Vertrauenswürdigkeit sowie den Ruf des Unternehmens beschädigt. Antiviren-Software für Gateways überprüft s und ihre Attachments in dem Moment, in dem die in das Unternehmen gelangt (oder dieses verlässt). -Produkte verfügen auch über Funktionen zum Überprüfen von Datenbanken und Mailboxen, d.h., auch wenn ein Virus bei der ersten Echtzeit- Überprüfung nicht erkannt wurde - wenn beispielsweise die Antiviren-Software nicht aktualisiert worden war - wird der Virus bei einer nachfolgenden zeitgesteuerten Überprüfung oder bei einer On-Demand-Überprüfung entdeckt. Aus Zeit- und Kostengründen sowie um des guten Rufes willen wird das Überprüfen von s beim Eintritt in ein Unternehmen und beim Versenden von s aus dem Unternehmen empfohlen. Wir weisen aber noch einmal darauf hin, dass am Gateway nicht alle Daten gesehen werden können, und benutzerbasierte Medien und verschlüsselte s am Desktop überprüft werden müssen. Ebene 4: Managed Services Der bedeutende Vorteil bei der Nutzung eines Drittunternehmens für die Verwaltung beim Schutz Ihrer Daten an den Schnittstellen zur Außenwelt liegt in der Zeitersparnis für den Administrator. Die Kosten eines Virenschutzes auf dieser Ebene sind weit besser vorauszusehen als beim Virenschutz auf den anderen Ebenen. Diese Vorteile müssen jedoch gegen die potentiellen Nachteile abgewogen werden, die eine Auslagerung des gesamten Prozesses weg von der Kontrolle des Unternehmens/des Administrators nach sich ziehen. Das Unternehmen ist dann

5 JUNI 2002 VIRENSCHUTZ AUF MEHREREN EBENEN 5 nahezu komplett abhängig von den Einstellungen, Entscheidungen und der Effizienz des ISP oder eines anderen Services. Sollten praktische Probleme auftreten, z. B. beim Netzwerk-Routing, kann das Unternehmen selbst wenig tun. Aspekte der Vertraulichkeit sind ebenso in Betracht zu ziehen, da Personen außerhalb Ihres Unternehmens Einblick in Informationen innerhalb von s erhalten. Mehr Kontrolle gibt es, wenn der Service über eine Applicance zur Verfügung gestellt wird, aber auch hier liegt die Verwaltung immer noch in den Händen Dritter. Wahl der Antiviren-Lösung Bei den Faktoren, die eine Entscheidung über eine Antiviren-Lösung beeinflussen, gibt es einen fließenden Übergang zwischen den beiden Extremen der maximalen Sicherheit und der minimalen Kosten. Schutz auf Ebene 4, den Managed Services, minimiert die Kosten, und Schutz auf Ebene 1 maximiert die Sicherheit. Es wäre sinnvoll, wenn alle Unternehmen einen Schutz auf Ebene 1 haben, auf den Arbeitsplatzrechnern. Die Vorgehensweisen der einzelnen Antiviren-Hersteller sind verschieden, aber bei Sophos z. B. ist in den Lizenzen für die Desktops automatisch der Schutz für die Fileserver, also Ebene 2, enthalten. Wenn die Ebenen 1 und 2 geschützt sind, sollte ein Unternehmen überlegen, ob es die Ebenen 3 und/oder 4 - abhängig von den Kosten und dem jeweiligen Sicherheitsanspruch - ebenfalls schützen möchte. Eine Antiviren-Software auf Ebene 3, am Gateway, gibt einem Unternehmen viel mehr Kontrolle und einen besseren Schutz für vertrauliche Daten. Das Übergeben dieser Aufgabe an einen Managed Service Provider (auf Ebene 4) ist eventuell die bessere Lösung für ein Unternehmen, in dem Kosten der hauptsächliche Faktor sind. Einige Unternehmen verwenden zwei Anbieter - einen für die Ebenen 1 und 2 und einen anderen für die Ebenen 3 und 4. Tatsächlich bieten alle führenden Antiviren- Hersteller denselben hohen Grad bei der Virenerkennung und es besteht eine Zusammenarbeit zwischen ihnen, die sicherstellen soll, dass dies auch so bleibt. Die Unterschiede zwischen den Herstellern liegen vielmehr in dem Umfang und der Qualität des jeweils angebotenen Supports. Die Entscheidung, ob ein Unternehmen zwei Anbieter verwendet, basiert - wie andere zuvor diskutierte Aspekte auch - auf einem Kompromiss. In diesem Fall ist es ein Kompromiss zwischen einem ruhigen Gewissen durch doppelte Sicherheit und den Kosten für zwei verschiedene Produkte und dem doppelten administrativen Support-Aufwand. Quellen 1 Pitney Bowes messaging study highlights differences in communications strategies among workers in small, medium and large businesses, Pressemitteilung, 21. August SOPHOS PTY LTD Sydney, Australien SOPHOS SARL Paris, Frankreich SOPHOS GMBH Mainz, Deutschland SOPHOS KK Yokohama, Japan SOPHOS SRL Mailand, Italien SOPHOS ASIA Singapur7 SOPHOS PLC Oxford, UK SOPHOS AMERICAS Boston, MA, USA