Vortrag: Gefahren und Risiken im Unternehmensnetzwerk

Transkript

1 Vortrag: Gefahren und Risiken im Unternehmensnetzwerk Hacker, Online Betrüger und andere Gefahren und

2 Vorstellung 8com GmbH & Co. KG Götz Schartner Geschäftsführer Penetrationstester Aufgaben IT-Sicherheitsanalysen IT-Sicherheitsforschung IT-Security Awareness Vorträge 2

3 Inhalte 3

4 LIVE-Demo LIVE-Demo! Wer von Ihnen hat ein Handy dabei?... oder besser einen Blackberry! 4

5 LIVE-Demo Handy & Co. Firmware Updates i.d.r. kostenfrei auf Herstellerwebseite) installieren Bluetooth ausschalten oder unsichtbar MMS von unbekannten Absendern nicht öffnen Vertraulichkeit kein GSM sondern UMTS Handy, kein Smartphone verwenden 5

6 Digitale Kriminalität Digitale Kriminalität Presseberichte Schadensfälle in Deutschland Opfer & Täter 6

7 Digitale Kriminalität Google Inc. gehackt Januar 2010 chinesische Hacker überwinden die Schutzfunktionen von Google Verursacher war eine Sicherheitslücke im Internet Explorer! 7

8 ... Die Schweizer waren's! Credit Suisse Februar 2010 Der Bundesregierung werden gestohlene Daten von 1500 Steuerhinterziehern angeboten! 8

9 ... eine war s Emissionshandel Februar 2010 "Hochprofessioneller Angriff Betrüger haben in einer an mehrere europäische sowie einige japanische und neuseeländische Unternehmen eine Mitteilung der Deutschen Emissionshandelsstelle (DEHSt) in Potsdam vorgetäuscht. Darin habe es geheißen, zur Abwehr drohender Hackerangriffe müssten sich die Empfänger neu registrieren. Anschließend hätten die Täter Emissionsrechte auf Konten vor allem in Dänemark und Großbritannien übertragen. Von dort seien sie rasch weiterverkauft worden. 9 "Der Angriff war hochprofessionell", sagte ein DEHSt-Mitarbeiter dem Blatt.

10 ... jetzt wird s professionell Stuxnet Trojaner August 2010 Datendiebstahl und Manipulation Ein neuartiger professionell programmierter Trojaner befiel gezielt Siemens Steuerungs-anlagen, spähte Daten aus und leitete diese weiter. Ziel: Siemens Simatic WinCC und PCS 7 Industrial Automation Software Weiteres: Das BSI hat den Trojaner analysiert und über Funktionen entdeckt. Was diese Funktionen bewirken, ist noch nicht bekannt! 10

11 Digitale Kriminalität Lebensmittelhersteller 11

12 Lebensmittelhersteller Das Unternehmen Lebensmittelhersteller Standorte einige Mitarbeiter über 2500 Prüfauftrag nach Unstimmigkeiten bei B2B Online Portal 12

13 Lebensmittelhersteller Problem Prüfung einer externen Revisionsgesellschaft deckte folgendes auf: bei einzelnen Online Bestellungen eines kleineren Großhandelskunden im B2B-Portal des Lebensmittelherstellers stimmten die Bestellpreise nicht Abweichungen von bis zu ,-- pro Bestellung wurden aufgedeckt Der Großhändler hatte eine Möglichkeit gefunden, verdeckte Manipulation in der Preisdatenbank vorzunehmen (SQL-Injection) 13

14 Lebensmittelhersteller finanzieller Schaden geschätzt seitens der Unternehmensführung etwas über ,-- durch manipulierte Bestellungen 14

15 Digitale Kriminalität Sondermaschinenbau 15

16 Maschinenbau Frühjahr 2008: Prüfauftrag Mittelstandunternehmen (250 Mitarbeiter) Kunde hat eine vernünftige Basissicherheit Firewall Antivirus Software Updates werden regelmäßig eingespielt Benutzer haben i.d.r. keine Admin- oder Hauptbenutzerberechtigungen private Benutzung der EDV ist vertraglich verboten 16

17 Maschinenbau... Fortsetzung: bei einer Netzwerkdatenanalyse fielen 2 IP-Adressen auf, an die ungewöhnliche Daten gesendet worden sind Ziel waren 2 Server in China, Absender waren 3 interne Notebooks des Kunden nach dem Schließen von Dokumenten wurde von den Notebooks eine HTTPS-Verbindung zu den 2 Servern aufgebaut die gespeicherten Dokumente wurden übertragen 17

18 Maschinenbau... Fortsetzung: ein Notebook-Benutzer war geschäftlich in Hongkong und hatte nach seinem Aufenthalt ein Video über ein stilvolles chinesisches Abendessen per zugesandt bekommen das Video hatte er sich dann angesehen und dann an 2 Kollegen weitergeleitet in dem Video war ein Trojanisches Pferd versteckt, welches sich nur mit Benutzerrechten auf dem Computer installierte. vertrauliche Daten wurden an damit Wettbewerber gesendet

19 Maschinenbau... Fortsetzung: erste Angebote des chinesischen Wettbewerbers sind bei Kunden eingetroffen Ingenieure unseres Kunden sind sicher, dass die Angebote zu 100% auf den gestohlenen Daten basieren geschätzter finanzieller Schaden (Geschäftsleitung) 2008: 5 bis 10 Millionen 19

20 Digitale Kriminalität mittelständisches Produktionsunternehmen 20

21 Produktionsunternehmen Das Unternehmen Produktionsunternehmen Standorte 1x Baden-Württemberg Mitarbeiter

22 Produktionsunternehmen Problem Umsatzanteil in der russischen Föderation rund 30% ab 2008 Umsatzrückgang aus der RF auf 2% bei einer Überprüfung stellten wir Spionageprogramme fest alle Angebote und Ausschreibungen des Unternehmens wurden nach Russland übertragen Seit Entdeckung werden wieder normale Umsätze erzielt! 22

23 Digitale Kriminalität Steuerberater 23

24 Steuerberater Das Unternehmen Steuerberater Standorte 1x Hessen Mitarbeiter 15 Prüfauftrag nach Erpressung (März 2008) 24

25 Steuerberater Problem Trojaner auf 12 PCs alle Tastatureingaben alle s Screenshots alle Office Dokumente wurden an eine IP in Russland übertragen mit Androhung der Datenveröffentlichung erreichte die Kanzlei im März 2008 Forderung ,-- Euro Zahlung auf ein Konto in Argentinien 25

26 Prüfungsstatistik 2009 Erpressung / Datendiebstahl 2008 professionelle Spionage oder Manipulationssoftware 2007 destruktive Schadsoftware 2006 Audits "Privatwirtschaft"

27 Evolution der Digitalen Kriminalität hochlukrativ Die Durchführung solcher Straftaten sind leider technisch sehr einfach Die Kriminellen müssen nicht Vor- Ort sein, also keine klassische Präsenzkriminalität In den seltensten Fällen wird eine Strafverfolgung eingeleitet Organisierte Kriminalität Die Kriminellen sind keine langhaarigen bekifften pizzaessenden Jugendlichen, sondern werden heute der Organisierten Kriminalität zugerechnet auch große Drogenkartelle steigen sukzessive in diese Branche ein! Diese Form der Kriminalität wird extrem wachsen! 27

28 ... wie schützen Sie Ihr Unternehmen? Schutz 28

29 oder das Versagen einer Antivirus Software AV-Schutz 29

30 oder das Versagen einer Antivirus Software

31 Live Hacking 31

32 seriöse Webseiten LIVE Hacking 1. einfache Wörterbuchattacken VPN-Zugänge SMB-Shares

33

34 seriöse Webseiten LIVE Hacking 1. Drive-By Infection Haftungsrisiken

35

36

37 37

38 LIVE Hacking s 1. Mitlesen von fremden s 2. Versenden von s in anderen Namen 3. Achtung: Anlagen 38

39 Inhalte 39

40 Datenschutz 40

41 Datenschutz Wenn Sie eine der folgenden Fragen mit JA beantworten, sollten Sie sich mit dem Thema Datenschutz dringend beschäftigen: 1. Erfassen, speichern und verarbeiten Sie Daten von Personen, deren Inhalt mehr als Name und Anschrift aussagen? 2. Sind diese Daten sensibel (z.b. Gesundheitsdaten, Finanzen..)? 3. Haben in Ihrem Hause mehr als 9 Personen (inkl. GF, Minijobs und externe Kräfte) Zugriff auf personenbezogene Daten? 4. Übermitteln Sie personenbezogene Daten an Dritte?

42 Jugendschutz Sie sind verpflichtet, im Unternehmen den Jugendschutz auch für das Internet zu gewährleisten! 1. Können Minderjährige in Ihrem Unternehmen im Internet surfen? 2. Haben Sie ausreichende Schutzmaßnahmen ergriffen, um den Zugriff von Minderjährigen auf z.b. pornographische Webseiten zu unterbinden?

43 Schutzmaßnahmen 43

44 Die 10 Gebote der Internetsicherheit Tipps und Tricks Finden Sie im Handout! 10 Gebote der Internetsicherheit 10 Gebote der Netzwerksicherheit

45 Schutzmaßnahmen ENDE

46 ... in kurzer Zeit, habe ich Ihnen viele Informationen übermittelt! Gerne stehe ich Ihnen auch nach dem Vortrag persönlich für Fragen zur Verfügung! Sollten Sie keine Zeit haben, freue ich mich auch über einen Kontakt per Telefon oder per !

47 KONTAKT Sparkasse Neuwied - Electronic Banking Hermannstr Neuwied Telefon 02631/ Fax 02631/ ebanking@sparkasse-neuwied.de 47