Fernzugriff auf die Unternehmens-EDV: Grenzenlose Flexibilität oder hohes Sicherheitsrisiko? Tobias Rademann

Transkript

1 Fernzugriff auf die Unternehmens-EDV: Grenzenlose Flexibilität oder hohes Sicherheitsrisiko? it-trends Trends Sicherheit, Bochum, 23. März 2010 Tobias Rademann

2 Kurzprofil Name: Tobias Rademann, M.A. (MBSS, MCPS, MCNPS, STS, SSE, ASE) Funktion: Geschäftsführer R.iT-Solutions GmbH Firma: mehrfach zertifiziert Schwerpunkte: - it-beratung und Konzeption - Kommunikation (CRM, Exchange, Mobility) 2

3 Ziel / Agenda Was bedeutet Fernzugriff? Welche Risiken sind damit verbunden? Schwerpunkte: Firewall Zugriffsoptionen Authentifizierung e u 3

4 1. Irrglaube "Firewall = Unser Netz ist dicht!" 4

5 Wie dicht sind Firewalls? offene Ports für Standardanwendungen Tunnelung bei http & https-datenverkehr Konfigurationsprobleme 5

6 2. Irrglaube "Firewall = Firewall" oder: "Wir haben eine Firewall" 6

7 Unterschiede bei "Firewalls" für Kunden: der Preis ;-) technisch: Funktionalitäten Paketfilter / Stateful Inspection Application Layer Firewall Security Appliance [DSL-] Router mit NAT 40, ,00+ 7

8 Firewall: Basisfunktionalität Eine Firewall erlaubt / unterbindet bestimmte Kommunikationsbeziehungen basierend auf Absender- & Zieladressen bzw. Diensttypen lediglich rudimentäre Sicherheitstechnik NICHT: Erkennen / Verhindern von Angriffen 8

9 Firewall vs. Security Appliance Zusatzmodule: IDS / IPS -sicherheit (Filter, Viren, Verschlüsselung) Web-Sicherheit (Contentfilter, Malware, IM/P2P) Berichte & Protokolldateien t Astaro,

10 Vorteile: Vorteile Security Appliance vereinfachte Bedienung durch zentrale Konfigurationsoberfläche einheitliche Bedienkonzepte umfassende Auswertung modular aufgebaut / erweiterbar 10

11 Worauf Sie achten sollten: Überprüfung eingesetzter Firewall-Technologie Einspielen von Sicherheits- & Firmwareupdates Vereinheitlichung erwägen Auswertung der Berichte Garantiestatus & Austauschregelungen Backups der Konfiguration 11

12 3. Irrglaube "Wir greifen nur per VPN auf unser Netz zu" 12

13 Fernzugriffsoptionen ohne VPN Moderne Server bieten: RWW (Remote Webarbeitsplatz) RDP (Remote Desktop Protocol) OWA (Outlook Web Access) ggf. weitere Applikationen (int. Websites, etc.) 13

14 RWW Remote Webarbeitsplatz 14

15 OWA Outlook Web Access 15

16 4. Irrglaube "Nur ausgewählte Personen nutzen diese Zugänge" 16

17 Wirklich exklusiv? oft als Standardfunktionalität aktiviert Testen Sie's doch einfach mal 17

18 5. Irrglaube "Wenn die geknackt würden, da ist nichts zu holen " 18

19 Wirklich nichts zu holen? (OWA) ( ) R.iT-Solutions, 2010 it-trends Sicherheit, 23. März

20 Wirklich nichts zu holen? (RWW) ( ) R.iT-Solutions, 2010 it-trends Sicherheit, 23. März

21 Worauf Sie achten sollten: Gruppenmitgliedschaften aller Benutzer (v.a. für Fernzugriff, OWA & Co.) überprüfen 21

22 6. Irrglaube "VPN ist sicher!" 22

23 Warum gibt es VPN? VPN-Gedanke zuerst: Komfort ("Ich will arbeiten, als wäre ich in der Firma!") dann: Sicherheit (="nur" verschlüsselte Kommunikation!) VPN ist nicht per se sicher 23

24 VPN-Optionen Optionen für VPN-Zugänge: PPTP (Windows) L2TP/IPSec TLS (zuvor: SSL) Drittanbieterlösungen 24

25 Welches Protokoll nutzen Sie? 25

26 Worauf Sie achten sollten: Überprüfung der VPN-Technologie Einsatz von IPSec Lösungen Überprüfen der Konfiguration (Split-Tunneling) Passwortqualität (v.a. PPTP) regelmäßige Sicherheitsupdates h it t bewusster Umgang mit Zertifikaten 26

27 7. Irrglaube "Wir nutzen nur komplexe Kennworte unsere Zugänge sind sicher!" 27

28 Sicherheitsprobleme bei Kennworten erraten / stehlen weitergeben cracken (brute force) aufschreiben abspeichern seltene Änderung (da oft nicht trivial) 28

29 Sicherheitsrisiko Kennwort Kennwort in EDV: nur 1 Faktor etwas das man weiß Probleme: "Menge" schwer kontrollierbar Sobald Kennung & Kennwort bekannt sind: it erkennt falsche Identität nicht Bei Fernzugriff ist korrekte Identität zentral! wie lassen sich Fernzugriffe gegen Identitätsdiebstahl absichern? 29

30 2-Faktor Authentifizierung Was ist das? Token-basiertes Sicherheitssystem 30

31 Funktionsweise 2-F.-Authentifizierung Änderung Einlog-Routine: Benutzername und Kennwort plus: Passcode pers. PIN-Nummer + Einmalkennwort durch Token 31

32 Was sollten Sie beachten? Absicherung der Fernzugriffsoptionen durch 2-Faktor Authentifizierung erwägen Passwortlänge und -komplexität überprüfen Passworte regelmäßig ändern 32

33 Herausforderung g/ Résumée Absicherung des Fernzugriffs ist nicht trivial Fachkenntnisse zur Konfiguration Zeit & klarer Kopf Sicherheit bei Fernzugriffen Verschlüsselung und Zugriffsschutz / Authentifizierung 33

34 Offene Fragen / Diskussion Bei Rückfragen wenden Sie sich gerne an: Kortumstraße 76, Bochum Tobias Rademann a R.iT-Solutions GmbH Tel.: (0234) , Fax: (0234)

35 35