Knapp 30 Milliarden Spam-Mails wurden laut einer aktuellen. Security-Services Cloud-Dienste verbessern Spam- und Virenschutz

Transkript

1 Sicherheit - und Virenschutz Foto: Fotolia / santiago silver Security-Services Cloud-Dienste verbessern - und Virenschutz Eine Auslagerung des -Filters an einen Cloud-Service schont Ressourcen. Knapp 30 Milliarden -Mails wurden laut einer aktuellen Symantec-Studie im vergangenen Jahr versendet pro Tag. Obwohl das deutlich weniger sind als noch vor vier Jahren, als nach Berechnungen des Netzwerkausstatters Cisco täglich etwa 400 Milliarden -Mails verschickt wurden, ist das kein Grund zur Entwarnung. Die Erfolgsquoten von nicht gezielten -Aussendungen sind gering. So berichtet Cisco, von einer Million versendeter -Nachrichten würden es nur acht schaffen, den Empfänger dazu zu bringen, einen Virus auszuführen oder auf einen Phishing-Trick hereinzufallen. 99 Prozent der -Mails erreichen nie ihr Ziel und werden von -Filtern aussortiert. Von den nicht erkannten -Mails, die beim Empfänger in der Mailbox landen, werden 3 Prozent geöffnet. Nur jeder zwanzigste, der die Mail geöffnet hat, klickt dann auch auf einen darin enthaltenen Link. Ist es aber erst einmal so weit gekommen, dann fällt auch jeder zweite dieser Empfänger auf den Trick herein und tippt etwa seine Banking-Daten auf einer nachgemachten Finanzseite ein. Die Erfolgsquote herkömmlicher massenhafter -Aussendungen beträgt damit nur etwa 0,008 Prozent. Die Grafik auf Seite 123 zeigt die niedrigen Erfolgsquoten ungezielter -Attacken. Bei gezielten -Attacken ist das ganz anders, sodass sich die Kriminellen immer mehr darauf konzentrieren. Hier beträgt die Erfolgsquote nämlich immerhin 0,2 Prozent, also das 25-Fache. Auch wenn nur wenige -Mails einen nachweisbaren Erfolg haben, sind immer noch mehr als zwei Drittel aller versendeten s unerwünschter Müll oder schlimmer. Wie Symantec im Internet Security Threat Report 2014 schreibt, war im vergangenen Jahr eine von knapp 200 Nachrichten 120 8/2014 com! professional

2 - und Virenschutz Sicherheit mit einem Schädling verseucht, jede vierte enthielt außerdem einen Link, der den Empfänger zum Download von Malware animieren sollte. Während bislang vor allem ausführbare Windows-Dateien als Träger für den Schadcode dienten, sind es nun immer öfter verseuchte Java-Dateien mit den Dateiendungen JAR und CLASS, die mit den s versendet werden. So versuchen die Angreifer, -Filter in Unternehmen auszutricksen, vermuten die Autoren der Symantec-Studie. Die sind meist so eingestellt, dass sie EXE-Dateien blockieren, andere aber durchlassen. Die Administratoren beim Kunden können sich wieder stärker auf ihre Kernaufgaben konzentrieren. Klaus Lenssen Chief Security Officer bei Cisco Deutschland Lokaler versus Cloud-Schutz Viele Firmen installieren Software zum Schutz vor und Viren direkt auf den PCs der Anwender oder auf einem Inhous server. Das erfordert aber einen beträchtlichen Aufwand, wenn der Schutz umfassend und immer aktuell sein soll. So ist es nötig, wiederholt zu kontrollieren, ob die Software korrekt eingestellt und auf dem aktuellsten Stand ist. Gut ausgebildete Spezialisten für diese Aufgabe sind teuer und nicht immer leicht zu finden. Die Alternative sind Cloud-Dienste, bei denen die Mails zunächst über Server geleitet werden, die auf das Erkennen von und Viren spezialisiert sind. Das hat mehrere Vorteile: Wenn der Betreiber des Anti--Dienstes bei einem Kunden eine Bedrohung erkennt, kann er sofort Maßnahmen ergreifen, um auch die anderen Kunden zu schützen. Außerdem kann der spezialisierte Dienstleister seine Filterkapazitäten in der Regel schneller ausweiten als das ein Unternehmen kann, das selbst filtert. Gemanagte Lösungen bieten eine deutlich höhere Skalierbarkeit und mehr Flexibilität als lokal installierte Systeme. Die Administratoren beim Kunden können sich wieder stärker auf ihre Kernaufgaben konzentrieren, so Klaus Lenssen, Chief Security Officer bei Cisco Deutschland. Ähnlich formuliert es Thorsten Steding, Presales Consultant bei Symantec: Cloud-Nutzer können sich auf ihr Business konzentrieren. Warum soll ich als Unternehmen spezielles Security-Wissen aufbauen, wenn es dafür spezialisierte Anbieter gibt? Auf einen weiteren Vorteil weist Christoph Maier hin, PR & Marketing Manager bei Antispameurope: Ein Punkt, der gerne vergessen wird. - und Virenfilter in der Cloud filtern die unerwünschten Nachrichten bereits aus, bevor sie auf dem Unternehmens-Mailserver eintreffen. Der auf dem Mailserver des Kunden ankommende -Strom bestehe so nur noch aus den erwünschten s. Dadurch steigere sich die Leistung des eigenen Mailservers, weil nur noch ein kleiner Teil der s tatsächlich zugestellt wird. Symantec-Mann Steding ergänzt: Durch die Auslagerung in die Cloud sparen sich die Kunden Strom- und Platzbedarf. Außerdem sinken die Betriebskosten der Unternehmen, weil sie sich nicht mehr um Upgrades, Wartung, Hardware-Ausstattung und so weiter kümmern müssen, fügt Klaus Lenssen von Cisco hinzu. Konkrete Kosteneinsparungen lassen sich aber nicht nennen: Sie hängen stark von der Ausstattung und der Größe des Kunden ab, so Lenssen. Aber das ist noch nicht alles: - und Virenfilter in der Cloud stehen den Kunden rund um die Uhr zur Verfügung, sagt Christoph Maier von Antispameurope. Konkret heiße das, dass bei Problemen in der Regel ein 24/7-Support bereitstehe. Hausinterne IT-Abteilungen sind dazu meist nicht in der Lage. Auch die verwendete Hardware weise aufgrund von redundanten Infrastrukturen eine hohe Verfügbarkeit auf, die ein Unternehmen selbst nicht ohne großen Aufwand erreichen könne. Außerdem würden die Daten der Kunden in zertifizierten Rechenzentren in der Regel sicherer aufbewahrt als auf den meistens schwächer bewachten und schwächer gesicherten Server-Räumen der Kunden, kommentiert Thorsten Steding von Symantec. -Anteil am -Verkehr 2013 Mehr als zwei Drittel aller s weltweit waren im vergangenen Jahr also massenhaft versendete, unerwünschte Nachrichten. 70 % 60 % 50 % 58,3 Jan com! 8/14 Quelle: Kaspersky Lab 71,1 70,1 72,2 Feb Mär Apr 69,7 70,7 71,2 Mai Jun Jul Aug 67,6 66,2 Sep 72,5 72,5 73,2 Okt Nov Dez -Kennzeichen Viele -Nachrichten lassen sich schon daran erkennen, dass sie massenhaft versendet werden. Allerdings gilt das auch für erwünschte s, etwa für Newsletter. Einzelne oder nur in geringer Zahl verschickte Nachrichten mit schädlichem Inhalt lassen sich durch das Massen-Mail-Kriterium dagegen nicht ausfindig zu machen. Weil -Nachrichten sich laufend ändern, sind ständige Filter-Updates nötig. Denn der beste Filter taugt auf Dauer nicht viel, wenn er nicht fortwährend aktualisiert wird. com! professional 8/

3 Sicherheit - und Virenschutz -Mails treten meist in Wellen auf, die zwischen wenigen Minuten und einigen Stunden dauern können. Das bedeutet, dass ein Filter-Update wirkungslos ist, wenn es erst nach der Welle heruntergeladen und aktiviert wird. Deswegen ist es auch so wich - tig, dass -Filter laufend aktualisiert werden. Anti--Anbieter behelfen sich meist mit mehreren Stufen: Zunächst greifen automatische Maßnahmen, die der Welle die Spitze nehmen sollen. Erst in einem zweiten Schritt erstellen die Unternehmen dann neue Regeln, die sofort auf den Servern eingespielt werden und dann die Welle gezielt bekämpfen. Dieser Prozess muss oft mehrfach wiederholt werden, weil -Mails auch innerhalb einer Welle immer wieder verändert werden. Das ist dann wie ein Katz-und- Maus-Spiel. - und Virenfilter in der Cloud filtern die unerwünschten Nachrichten bereits aus, bevor sie auf dem Unternehmens-Mailserver eintreffen. Christoph Maier PR & Marketing Manager bei Antispameurope Voranalyse Üblicherweise führen die Anbieter noch vor der Zustellung einer neuen Mail zunächst eine Voranalyse durch. So prüfen sie etwa die Adresse des Servers, von dem die Nachricht zugestellt werden soll. Taucht sie in einer Blacklist auf, dann wird die Mail verworfen und gar nicht erst angenommen. Stammt die Mail dagegen nicht von einem unerwünschten Mailserver, dann prüft der Anbieter die Header-Daten der Nachricht nach bekannten -Mustern. Durch diese und andere Checks ist es möglich, bereits 95 Prozent der -Nachrichten abzulehnen, bevor sie überhaupt zugestellt werden. Die Tests in der Voranalyse dürfen aber nicht zu rigide sein, damit keine erwünschten Mails aussortiert werden, nur weil etwa durch einen Konfigurationsfehler ein Übermittlungsstandard nicht eingehalten wurde. Aktive Analyse Mails, die im Rahmen der Voranalyse nicht aussortiert wurden, werden vom Mailser - ver des Cloud-Anbieters angenommen und anschließend der sogenannten aktiven Analyse übergeben. Der Mailserver des Versenders erhält eine Bestätigung, dass die Mail zugestellt wurde, beziehungsweise eine Fehlermeldung, wenn die Mail abgelehnt wurde. Server- Betreiber haben dadurch die Möglichkeit, den Cloud-Anbieter zu kontaktieren und um eine Änderung der Blacklist zu bitten. Im Rahmen der aktiven Analyse wird der Inhalt der Nachricht nach verschiedenen Kriterien bewertet. Dazu werden Marktübersicht: - und Virenschutz in der Cloud Hersteller Antispameurope Avira Cisco Cyren (ehem. Eleven) McAfee Produktname Managed filter Managed Cloud Security Service Security Firmensitz Hannover Tettnang San José, Hallbergmoos Expurgate Security Expurgate Antivirus Rechenzentren in Deutschland Deutschland USA und Europa Deutschland k. A. Auf dem Markt seit Anzahl Kunden k. A. k. A. k. A. k. A. in Europa Anzahl Kunden weltweit k. A. k. A k. A. Kontaktinfos für Kunden Technische Angaben Täglich verarbeitete s Verfügbarkeit Filterdienste in Prozent Erkennungsrate in Prozent Erkennungsrate Viren in Prozent False-Positives in Prozent Speicherdauer erkannter -Nachrichten Kosten pro Jahr und Nutzer 0511/ vertrieb@antispam europe.de europe.com 07542/500-0 info@avira.de / DE/local_offices/ local_home.html Berlin 030/ sales@cyren.com 16,7 Millionen k. A. k. A. mehr als 1 Milliarde k. A. 99,99 99,9 99, k. A. 99,99 99,9 99 > 99 > 99 99, ) 100 1) > ) 0,0001 0, , ,00001 k. A. 90 Tage k. A. 30 Tage 15, 30 oder 60 Tage k. A. SaaS Protection & Continuity Santa Clara, Unterschleißheim 0800/ ,60 bis 36,00 Euro auf Anfrage auf Anfrage auf Anfrage auf Anfrage Alle Angaben sind Herstellerangaben 1) bezogen auf bekannte Malware 122 8/2014 com! professional

4 - und Virenschutz Sicherheit Kein Erfolgsmodell: Ungezielte -Attacken erreichen nur selten die Adressaten 99 Prozent aller -Mails bleiben in -Filtern hängen und werden aussortiert, bevor sie auf den Rechner des Empfängers gelangen. Vom verbleibenden Prozent wiederum werden nur 3 Prozent geöffnet. 1 Millionen -Mails 99 % werden durch -Filter aussortiert 3 % werden geöffnet in 5 % werden enthaltene Links angeklickt jeder Zweite fällt auf den Trick herein com! 8/14 Quelle: Cisco -Mails erreichen Empfänger geöffnete -Mails Anwender besuchen Phishing-Websites Anwender werden Opfer Panda Security Retarus Symantec Trendmicro Websense Cloud Protection Managed Services Antivirus.Cloud Antispam.Cloud Hosted Security Cloud Security and Content Control Bilbao, Duisburg München München Tokio, Hallbergmoos San Diego, München k. A. Deutschland drei in Europa (Frankfurt, k. A. k. A. Amsterdam, London) k. A. k. A. k. A. k. A. k. A. k. A Firmen mit 10 Millionen Benutzern 02065/961-0 sales@de.pandasecurity. com germany 089/ de/ -security-cloud k. A. 0811/ sales_info@trendmicro.de 089/ k. A. k. A. 8,4 Milliarden k. A. k. A. k. A. 99,99 99,99 99,99 99,99 k. A. 99,96 99, k. A. 99,99 99,99 k. A. k. A. k. A. 0,0001 0, ,003 k. A. 15 Tage 60 Tage 14 Tage k. A. k. A. auf Anfrage auf Anfrage auf Anfrage auf Anfrage auf Anfrage com! professional 8/

5 Sicherheit - und Virenschutz statische, heuristische und sprachliche Analysen durchgeführt und in Mails enthaltene Links ausgewertet. In der Regel erfolgt in dieser Stufe auch ein Viren-Check, etwa wenn die Mail Anhänge enthält. Manche Anbieter lassen darüber hinaus eine OCR-Prüfung (Optical Character Recognition) über Bildinhalte laufen und werten dann deren Ergebnisse aus. Kommentar Rechtliche Aspekte beim Auslagern von Services In rechtlicher Hinsicht ist bei der Auslagerung der -Systeme eines Unternehmens an einen Dienstleister eine Vielzahl von Aspekten zu beachten: Sie reichen von einer Vereinbarung über eine Auftragsdatenverarbeitung (ADV) über die vertragliche Haftung bis zum Beendigungsmanagement. Die ADV-Thematik und die sich Dr. Hajo Rauschhofer Rechtsanwalt und Fachanwalt für IT-Recht für den Auftraggeber daraus ergebenden Verpflichtungen sowie Bußgeld- und Strafandrohungen sind meist bekannt. Aber es bedarf zusätzlich dezidierter Regelungen für das Ausfiltern von s. Es besteht nämlich die Gefahr, dass wichtige s beispielsweise mit Geschäftsabschlüssen als herausgefiltert werden, sodass ein wirtschaftlicher Schaden entsteht. Es empfiehlt sich daher, genaue vertragliche Regelungen vorzusehen, die die Verantwortlichkeit für die Filtereinstellung festlegen. Dies beinhaltet insbesondere auch die technische Möglichkeit, mit Whitelists zu arbeiten. Dabei handelt es sich um Listen mit erlaubten -Adressen und Domains. Meist werden auch zusammen mit dem Kunden Regeln für unerwünschte Dateianhänge festgelegt. Viele Firmen untersagen es etwa ihren Mitarbeitern, ausführbare Dateien am Arbeitsplatz zu empfangen. Manche der Filter sind aber auch zu restriktiv eingestellt. So wurde bei der Recherche für diesen Artikel eine angehängte Datei im RTF-Format wiederholt von einem Cloud-Filter entfernt. Erst nach einer Umwandlung in das PDF-Format konnte der Anhang zugestellt werden. Normalerweise gelten RTF-Dateien als weitgehend ungefährlich, weil sie keine Makros enthalten. Whitelists Obwohl die Anbieter niedrige Quoten für False-Positives, also fälschlicherweise aussortierte, aber eigentlich erwünschte Nachrichten, nennen, heißt das angesichts der Masse an versandten Nachrichten, dass immer wieder auch legitime Mails ausgefiltert werden. Für solche Fälle haben praktisch alle Anbieter sogenannte Whitelists im Programm. Mit ihnen können die Empfänger erwünschte Absenderadressen festlegen, die nie gefiltert werden sollen. Das kann zum Beispiel nötig sein, wenn Kontaktpartner private Mail-Adressen verwenden, die über Mailserver gesendet werden, die bekannt dafür sind, als -Relays missbraucht zu werden. Besonderheiten Aussortierte s löschen die Cloud-Anbieter in der Regel nicht gleich, sondern sie verschieben sie in eine Quarantäne. Die Empfänger erhalten dann eine Nachricht, in der alle aussortierten Mails aufgelistet sind. Einzelne Mails lassen sich per Klick auf einen Link doch noch zustellen. Mails in der Quarantäne werden aber nicht unbegrenzt lange gespei- Es besteht die Gefahr, dass wichtige s als herausgefiltert werden, sodass ein wirtschaftlicher Schaden entsteht. Der Auftraggeber muss außerdem die Einhaltung der datenschutzrechtlichen Bestimmungen beachten. Innerhalb der EU ist etwa eine ADV für ausgelagerte Dienste erforderlich. Bei außerhalb der EU gelagerten Diensten bedarf es dagegen der sogenannten EU-Standardvertragsklauseln. Für die USA kann zudem das Safe-Harbour-Abkommen anwendbar sein. Schließlich sollte jedes Unternehmen im Bereich Technologie überlegen, eine Ende-zu-Ende-Verschlüsselung für vertrauliche s einzuführen. -Report: Viele Cloud-Anbieter senden ihren Kunden einmal täglich eine , die alle aussortierten Mails auflistet /2014 com! professional

6 - und Virenschutz Sicherheit So funktioniert s: und Virenschutz in der Cloud Die Cloud-Dienstleister setzen in der Regel ein mehrstufiges Verfahren aus Voranalyse und aktiver Analyse ein. Als eingestufte Mails landen in der Quarantäne und werden dort nach einer bestimmten Frist gelöscht. Neue Zustellung Voranalyse IP-Blacklist-Check Verbindungsaufbau-Analyse Denial-of-Service-Protection kein Aktive Analyse Statische Analyse Dynamische Analyse OCR-Check Viren-Check kein Quarantäne Übersicht per Zustellung auf Wunsch Befristete Speicherung Freigabe durch Nutzer com! 8/14 Quelle: Antispameurope (bearbeitet) chert. Die Speicherfrist beträgt bei den meisten Anbietern zwischen zwei Wochen und drei Monaten. Viele Anbieter versuchen sich außerdem durch Zusatzdienste von der Konkurrenz zu unterscheiden. So ist es beispielsweise möglich, Verschlüsselungs- und Archivierungsdienste hinzuzubuchen, die Webzugriffe der Mitarbeiter über Server des Dienstleisters zu leiten oder die per Service Level Agreement (SLA) festgelegte Ausfallsicherheit an die Wünsche des Kunden anzupassen. Wechsel in die Cloud Die Umleitung der Firmen-Mails auf die Server eines Cloud- Weitere Infos antispamstrategien.html Anti--Studie des BSI : A Shadow History of the Internet Finn Brunton, MIT Press, Cambridge 2013, ISBN Anbieters ist mit geringem Aufwand verbunden. Es genügt meist, den MX-Record (Message Exchange) zu ändern, mit dem festgelegt wird, welcher Server für den Empfang von s einer Domain zuständig ist. Der MX-Record muss also statt wie bisher auf den hausinternen Mailserver in Zukunft auf den Mailserver des Dienstleisters zeigen. Um den Rest kümmert sich der Cloud-Anbieter. Er nimmt die Mails in Empfang, filtert sie und leitet die als harmlos beziehungsweise als erwünscht erkannten Mails anschließend an den Kunden weiter. Zusätzlich ist es möglich, die Firewall des Kunden so einzustellen, dass sie nur noch Mails akzeptiert, die vom Mailserver des Anti--Dienstleisters zugestellt wurden. Damit wird verhindert, dass -Versender ihren Werbemüll einfach direkt beim Mailserver der Firma abliefern. Außerdem sind meist noch eigene -Security-Richtlinien festzulegen und der Cloud-Service ist dementsprechend zu konfigurieren. Die Tabelle auf Seite 122 gibt einen Überblick über in Deutschland aktive Anbieter von Cloud-Filtern. Die meisten sind Tochtergesellschaften amerikanischer Unternehmen, die ihre Cloud-Dienste weltweit über das Internet anbieten. Nur einige wenige wie Antispameurope und Retarus stammen aus Deutschland. Ein weiteres deutsches Unternehmen, Eleven, gehört seit Anfang des Jahres zum amerikanischen Sicherheitsspezialisten Cyren. Für welchen Anbieter sich ein Unternehmen letztlich auch entscheidet: Wenn es den Schutz vor - und Viren-Mails in die Cloud auslagert, dann können sich die IT-Mitarbeiter wieder stärker auf andere wichtige Aufgaben konzen- Andreas Th. Fischer afi@com-professional.de trieren. com! professional 8/