Sicherheitsrisiko Mitarbeiter: Die 10 wichtigsten Gebote

Transkript

1 Sicherheitsrisiko Mitarbeiter: Die 10 wichtigsten Gebote Markus Klemen Secure Business Austria

2 Secure Business Austria Industrielles Kompetenzzentrum (K-Ind) für IT- Sicherheit Schnittstelle zwischen Universitäten und Wirtschaft TU Wien, TU Graz, Universität Wien Angewandte IT-Sicherheitsforschung für und mit industriellen Partnern Rund 35 vollzeitäquivalente Mitarbeiter [2]

3 Motivation If you think technology can solve your security problems, then you don t understand the problems and you don t understand the technology. Bruce Schneier, Applied Cryptography [3]

4 Wichtigster Managementfehler Number 1: Assign untrained people to maintain security and provide neither the training nor the time to make it possible to do the job. [4]

5 Zeitaufwand für Informationsgewinnung more than 4 hours 13% 0.5 to 2 hours 58% 2 to 4 hours 29% [5] Quelle: SecurityFocus

6 [6] Wer ist für IT-Sicherheit in Unternehmen verantwortlich? Chief Security Officer Information Security Architecture Access control Single Sign-On (Federal Identity, Authentifizierung) Security Assessment Certification of Web sites Security Internet Security Routers and firewalls

7 CSO - 2 Network operating system security Threats and vulnerabilities Penetration testing EDI/EFT LANs, WANs, MANs, VANs Public switched networks Microwave technology Wireless LAN technology Physical security [7]

8 CSO - 3 Social engineering Classification methodologies Encryption Public key infrastructures TCP/IP security Mainframe Distributed architecture security Remote access authentification Anti-virus [8]

9 CSO - 4 Neural networks Backup and recovery procedures Disaster recovery planning Business continuity planning Ethics Law and regulation Industrial espionage Software piracy Software copyright compliance [9]

10 Wer hat einen CSO / CIO? Großbetriebe Universitäten Öffentlicher Dienst [10]

11 Österreich Land der KMU Anteil in % an der Gesamtzahl der Unternehmen in Österreich ,5 0, KMU Großbetriebe [11]

12 Österreich Land der KMU Unternehmensstruktur in Österreich % Anteil aller Unternehmen % Anteil Erwerbstätige MA (Kleinst) MA (Klein) MA (Mittlere) [12]

13 IT in KMU Drei verbreitete Varianten: Betreuung nebenbei durch einen Mitarbeiter/Sohn/Tochter, der/die sich mit Computern gut auskennt. Betreuung durch einen Mitarbeiter, der für die gesamte IT hauptverantwortlich ist Betreuung durch einen externen Partner [13]

14 Kernprobleme Informationssicherheit in KMU kein Thema Wir haben ohnehin nichts zum Verstecken! Wir haben eh eine Firewall! Wir haben eh Virenschutz installiert! Keine Richtlinien für Informationssicherheit Wenig oder keine Schulung der Mitarbeiter Wenig Bewusstsein für Gefahren zumindest solange nichts passiert! [14]

15 Bedeutung der verschiedenen Gefahrenbereiche [15] Quelle: KES-Microsoft-Studie, 2006

16 Was sollte immer geregelt werden? Private Nutzung von Diensten, die eine starke Systembelastung erzeugen Vorsätzliches Umgehen von Sicherheitsvorkehrungen Umgang mit Webseiten und privaten s Aufruf bedenklicher Inhalte Unbefugte Installation von sowie Veränderungen an der Hardware Einhaltung von Lizenzbestimmungen [16]

17 und Webzugriff [17] Quelle: Is your PC virus-free? Get it infected here!, Didier Stevens, 2007

18 Drive-By Downloads Drive-by Downloads rasant im Zunehmen neuinfizierte Webseiten / Tag 2007: 5.000, Q1/08: (Quelle: Sophos) Sicherheitsmängel bei anderen gefährden eigene Sicherheit Dient v.a. der Verbreitung von Trojanern / Botnetzwerke Auch seriöse Webseiten können betroffen sein Infektion durch Multimediadateien möglich Hat viren als Hauptgefahr abgelöst [18]

19 Botnetzwerke PCs ahnungsloser User werden für illegale Aktivitäten aller Art missbraucht Angriffe können gegen die User selbst (z.b. Telebankingbetrug) oder gegen andere Opfer (z.b. DoS Attacken) zielen Vermietung von Botnetzwerken: einträgliches illegales Geschäft, professional geführt Hacker haben hohe Motivation, soviele Rechner wie möglich unter ihre Kontrolle zu bekommen Das Finanzvolumen von kriminellen Aktivitäten im Internet übersteigt mittlerweile den weltweiten Drogenhandel (> US$ pro Jahr) [19]

20 Botnetzwerke - Hauptgefahren Trojaner und Botsoftware, die von Anti- Virenprogrammen nicht erkannt werden Root-Kits Beispiel aus der Praxis [20]

21 Phishing [21]

22 Phishing Die Zahl der Phishing- s ist in den letzten sechs Monaten um mehr als 80 Prozent gestiegen. 2006: 4% aller s USA 2006: 50 Milliarden Dollar (!) Schaden Verleitet Benutzer zur Bekanntgabe vertraulicher Informationen z.b. mit Mails von vertrauenswürdigen Quellen Link zu einer authentisch wirkenden Web Seite Kombinationen aus Schadsoftware und Phishing ( Blended Threats ) [22] Quelle: Symantec Consumer Internet, Security Threat Report, 2006

23 Indikatoren für Phishing Schlechte Grammatik und/oder Rechtschreibfehler Fehlende Umlaute Zertifikatsfehler Allerdings: Phishing-Mails werden immer professioneller! Differenzen in den Webadressen (URLs) URLs kontrollieren Dabei helfen Tools: z.b. Quero [23]

24 International Domainnames Internationale Sonderzeichen nunmehr möglich Auch Mischung innerhalb eines Wortes möglich Einfaches Beispiel: G00gle Kyrillische Buchstaben als Substitut beliebt Erschweren visuelle Kontrolle der Domänennamen [24]

25 Quero [25] Quelle:

26 Patchen, patchen, patchen [26]

27 Passwörter - 1 Bei einer Umfrage von Infosecurity Europe in London wurde folgende Frage gestellt: Wie lautet Ihr Passwort? Der Anreiz zur Beantwortung der Frage war eine Belohnung in Form einer Tafel Schokolade. 37% der Befragten gaben direkt ihr Passworte bekannt. Weitere 34% gaben Ihr Passwort durch einfachste Social Engineering Techniken bekannt [27]

28 Passwörter : Namen von Ehepartner und Kindern (15%), Fußballmannschaft (11%), Namen der Haustiere (8%). 2003: password (12%) Eigener Name (16%) Fußballmannschaft (11%) Geburtsdatum (8%) [28] Quelle: Infosecurity Europe, 2003, 2004

29 Passwörter % aller Befragten würden ihr Passwort bei einem Anruf vom IT-Support bekanntgeben 55% würden es ihrem Chef verraten. 2/3 aller Befragten verwenden das selbe Passwort privat und beruflich. [29] Quelle: Infosecurity Europe, 2003, 2004

30 Schwache Passwörter weniger als acht Zeichen kann in einem Wörterbuch gefunden werden ein leicht zu erratendes Wort, z.b.: Der Name eines Freundes, ein Geburtstag, der Firmenname, etc. auch Abwandlungen, z.b.: nachgestellte Ziffer, Rückwärtsschreiben, etc. sind hiervon betroffen [30]

31 Gute Passwörter 3 of 4" Großbuchstaben Kleinbuchstaben Ziffern Sonderzeichen Passwortlänge mindestens 8 Stellen Passwortkomplexität kann zu schwachen Passwörtern führen! [31]

32 Gute Passwörter Anfangsbuchstaben eines Satzes: Der Audi RS6 hat einen 450 PS Lamborghini Motor. Passwort DARS6he450PLM. Memnonische Phrasen Passphrasen: ganze Sätze leicht zu merken schnell einzugeben große Passwortlänge Passwortalter und Passwortähnlichkeit (Bildungsgesetz geheim halten) [32]

33 Angriffe auf Passwörter Brute Force Attacken Wörterbuchattacken Rainbow Tables Angriffe auf Passwörter der Chefs Haben erfahrungsgemäß die schlechtesten Passwörter Haben erfahrungsgemäß die meisten Rechte am Computer [33]

34 Die 10 wichtigsten Gebote 1. Investieren Sie in die EDV Ausbildung Ihrer Mitarbeiter! 2. User Awareness ist wichtig sie bewahrt vor Social Engineering Attacken! 3. Definieren Sie klare Regeln für den Umgang mit s und Webzugriff! 4. Entwerfen Sie eine Passwortregelung! 5. Investieren Sie in Sicherheitsmaßnahmen! [34]

35 Die 10 wichtigsten Gebote 6. Investieren Sie in Redundanz! 7. Halten Sie Ihre Software immer am neuesten Stand! 8. Nutzen Sie Sicherheitsvorfälle, um Ihre Gesamtsituation strategisch zu überdenken! 9. Tragen Sie Sicherheitsbemühungen aktiv mit! 10.Halten Sie sich selbst an die gleichen Spielregeln! [35]

36 Nachsatz Phishing is a major problem because there really is no patch for human stupidity Mike Danseglio, program manager in the Security Solutions group at Microsoft, April 4, 2006 The user is going to pick dancing pigs over security every time. Bruce Schneier, Author of Applied Cryptography [36]

37 Vielen Dank für Ihr Interesse! [37]