Sicherheitsrisiko - IT Wie schütze ich mich vor Angriffen?

Transkript

1 Dr. Manfred Wöhrl Sachverständiger für Informationstechnik R.I.C.S. EDV-GmbH Sicherheitsrisiko - IT Wie schütze ich mich vor Angriffen? 13. Oktober 2010 Vorstellung R.I.C.S. Versuchsanstalt für Datenverarbeitung an der HTBLVA-5, Spengergasse staatlich 1987 privatwirtschaftlich 1998 Research Institute for Computer Science Serverfarm im City-Netz Waidhofen/Ybbs 2000 Stadtbüro in Wien, Zentrale in Wien seit 2003 Trattnerhof 2, A-1010 Wien R.I.C.S. EDV-GmbH 2 1

2 Portfolio Cloud Networking Computing Security Kernkompetenz 2: Sicherer Betrieb von SaaS-Lösungen Firewalls VPN Viruswalls Kernkompetenz 1: Betriebssicherheit Linux OS Support und Entwicklung für sicheres Cloud & XaaS R.I.C.S. EDV-GmbH 3 Die IT-Landschaft heute Viele Begriffe Virtualisierung Serverfarm Verfügbarkeit ThinClient INTERNET Skalierbarkeit Outsourcing und dann noch die böse Welt der Hacker! R.I.C.S. EDV-GmbH 4 2

3 Angriffspunkte PC Lokal im LAN im Internet privat ThinClient Server usw. Notebook z.b: Mailserver oder Fileserver Rechenzentrum z.b.: mit UMTS z.b: Kreditkarte oder Bank R.I.C.S. EDV-GmbH 5 Das Kernproblem der Security Mathematik ist logisch Realität ist subjektiv Computer sind störrisch Menschen sind unberechenbar Menschen sind schwer zu durchschauen Menschen verstehen sich nicht darauf, Risiken zu analysieren. Bruce Schneier Secrets & Lies R.I.C.S. EDV-GmbH 6 3

4 Informationssicherheit.ein vieleseitiges Thema IT Security Organisation & Management Awareness. z.b.: Wie aktuell ist mein Virenscanner? Wer betreut meine EDV? Was ist bei einem Notebook-Verlust zu tun? Wie kritisch sind meine Daten? 7 Awareness Der Bedarf an Sicherheitsmaßnahmen ist unendlich, das Bedürfnis der Benutzer ist gleich Null. Zitate: Meine Daten interessieren niemanden. Ich habe nichts zu verbergen. Ich vertraue meiner EDV (meinem Betreuer). Es trifft immer die Anderen. Anmerkung: bis mir selbst das Handy gestohlen wird oder ich meinen USB-Stick verliere.. R.I.C.S. EDV-GmbH 8 4

5 DDoS starte Abfrage Hacker (ControlCenter) Sinnvoll Abfrage nicht mehr möglich Nicht Ihre Daten, Ihr Rechner ist das Ziel! z.b.: 70 US Dollar: 24 Stunden-Attacke Angriffsziel Distributed Denial of Service R.I.C.S. EDV-GmbH 9 Bots und BotNets Vinton Vint Gray Cerf der Vater des INTERNET gemeinsam mit Robert E. Kahn TCP entwickelt Ein Viertel aller Computer mit Internetzugang Gehören einem Botnetz an. d.h. Mehr als 200 Millionen Rechner weltweit! z.b.: 200 Anfragen/Sec, Rechner mit Bots: 10 Mio Anfragen/sec Wenn 1 Anfrage nur 1kB MB/s 10 GB/s Traffic beim Zielsystem 10 5

6 Security-Kernthemen Vorbeugung gegen Datenverlust Verhindern von Datendiebstahl Keine Probleme als Folge eines Identitäts-Diebstahls Verhindern von Hackangriffen Einhaltung von Bestimmungen & Richtlinien Lösungsansätze: Technisch UND organisatorisch! R.I.C.S. EDV-GmbH 11 Viren & Co. Dieses Thema ist einfach in den Griff zu bekommen: Mindestens 1 Virenscanner Aktuelle Virenpattern Denke-bevor-Du-klickts surfe nicht in auf Negativ-Seiten glaube nicht allen s Wieder ein Awareness-Thema! R.I.C.S. EDV-GmbH 12 6

7 Die Phasen der Notebook-Security Der Standalone - Notebook Arbeiten an kritischen Daten unterwegs (mit Daten auf USB-Stick?) Der mobile Notebook im INTERNET Per GPRS oder UMTS ins Netz (läuft die lokale Firewall?) Der flexible Arbeitsplatz zu Hause Anbindung per WLAN oder xdsl oder Kabel (oft derselbe Arbeitsplatz wie in der Firma) Das Small-Office-Home-Office Ein eigenes kleines LAN mit und ohne Notebook (Wer administriert mein SOHO?) 13 Der Notebook außerhalb der Firma Diebstahl (aus dem PKW?) Verlust (vergessen im Zugsabteil?) Fremder Zugriff (Familienmitglieder?) Service (Einsendung zum Hersteller) Übergabe an Mitarbeiter Entsorgung Sensible Daten? 14 7

8 Datenverschlüsselung am Notebook Verschlüsselung einzelner Dateien Aufwendig, aber sicher z.b Password-Safe (OpenSource) Erstellen von Crypto-Disks Virtuelle Laufwerke, z.b. TrueCrypt (OpenSource) oder PGP (PGPDISK) Vollständige Verschlüsselung von Laufwerken Es bleiben keine Daten frei lesbar Pre-Boot-Authentication Code Abfrage VOR dem Start des Betriebsystems (meist kombiniert mit Verschlüsselung aller Laufwerke) Einsatz von spezieller Hardware ( Token ) z.b. als USB-Stick 15 Datenverschlüsselung Freie Software z. B.: Truecrypt Einfache Verschlüssung auf virtual disks und full encryption Kommerzielle Software z.b.: PGP/Symantec DriveLock/CenterTools Abspeichern kritischer Information und Zusatztools 16 8

9 Notebook & Firewall Personal Firewall Externe Firewall Software-FW Hardware-FW Microsoft Internet dediziert z.b. Symantec Im Router (ISP) dediziert ( BOX ) ev.inkl.wlan Internet WLAN - Security ROAD-Warrior War-Driver WEP ist nicht genug Surft auf Ihre Kosten Hackt in Ihrem Netz WLAN Firewall Internet ISP 18 9

10 WLAN - Security Tunneltechnik (VPN) WLAN (+WPA+MAC-Check) DMZ Internet ISP Firewall 19 Soziale Netze 21. Juli 2010: User 25. Juli 2010: User Jänner 2010: ! User Hacking? Faking? Identitätsdiebstahl? August2010: User 25. Juli 2010: User Der Mensch hat das Glück, vergessen zu können! INTERNET vegißt NICHTS! R.I.C.S. EDV-GmbH 20 10

11 PC-Schutz Risken: Schnittstellen: USB-Anschluss WLAN Bluetooth Software: Schadprogramme Nicht lizensierte Software Spiele Kontrolle mobiler Datenträger Verschlüsselung von Daten Full Disk Encryption Netzwerk-Profile Auditing Verschlüsselung für Windows Mobile Application Launch Filter R.I.C.S. EDV-GmbH 21 Authentication mittels Token etoken 22 11

12 Creditcard & INTERNET Risiko 1: Von welchem Rechner? Risiko 2: Verschlüsselung eingeschaltet? Risiko 3: Mit welchem Server? Risiko 4: Creditkartendaten werden im Internet verwendet, stammen aber von woanders. Risiko 5: Hacker greifen Repositories an. The Cloud Die Straße in die Zukunft? Zündfaktoren: Bandbreite& Webifizierung R.I.C.S. EDV-GmbH 24 12

13 Paradigmenwechsel Gartner-Analyst Daryl Plummer vergleicht das Potenzial von Cloud Computing mit den Auswirkungen der ersten industriellen Revolution. "Cloud Computing hat das Potenzial, unser Verständnis über die Bereitstellung und die Nutzung von IT-Services grundlegend zu ändern, in der Wirkung womöglich vergleichbar mit der Einführung des Personal Computers vor 25 Jahren". R.I.C.S. EDV-GmbH 25 Die Chancen für EPUs Auslagerung von Hardware, Software & Dienstleistungen In dercloud kannaucheinepu mehrfachprofitieren Als Kunde Als Dienstleister M.R. Nelson, Georgetown University: The internet-revolution will be as disruptive as the print press but much faster, totally global and more unpredictable. This revolution ist just 15% ready. InduKodukula, executive vice president SunGuardAvailability Services: Our customers want to reduce the time spent integrating and maintaining technology so they can concentrate on more strategic tasks R.I.C.S. EDV-GmbH 26 13

14 Der Beginn: Outsourcing (1) INTERNET Wie sicher ist der Zugriff? Wo liegen die Daten? Wer ist der Partner?... R.I.C.S. EDV-GmbH 27 Der Beginn: Outsourcing (2) Provider INTERNET Total Outsourcing Supplier Partial Outsourcing Service Desk Fernwartung SystemChecks usw. R.I.C.S. EDV-GmbH 28 14

15 Cloud? Nicht Neues Ziel: Plattenplatz Ziel: Rechenleistung Sie starten mit 1 GB kostenlosen Speicher. Falls Sie mehr benötigen, können Sie Speicher kaufen oder ertauschen, indem Sie freien Speicherplatz auf Ihrer Festplatte zur Verfügung stellen. SETI@home ist ein wissenschaftliches Experiment, welches mit dem Internet verbundene Computer für die Suche nach außerirdischer Intelligenz einsetzt. Sie können daran teilnehmen, indem Sie ein kostenloses Programm installieren, das Radioteleskopdaten herunterlädt und analysiert. R.I.C.S. EDV-GmbH 29 Cloud-Struktur (Theorie) IaaS Serverfarm Alternativen Serverfarm PaaS Platform Serverfarm SaaS Software Infrastructure 30 15

16 Software as a Service Keine hohen Erstinvestionen keine eigene Hardware keine hohen Einmal-Lizenzen Sie bezahlen, was Sie benutzen geringe monatliche Kosten ROI in wenigen Wochen Einfach in der Bedienung Sie verwenden Ihren gewohnten Browser Sie haben nur Menüpunkte, die Sie brauchen Keine Betreuungskosten Datensicherung im Hintergrund Updates und Security durch den Betreiber R.I.C.S. EDV-GmbH 31 Cloud-Services DaaS Desktop as a Service Thin Client Internet Alternativen Services: Office Mailing Buchhaltung z.b. 80.-/Monat/PC (auf 2 Jahre) 32 16

17 Cloud-Services HaaS Hacking as a Service konstruktiv Ethical Hacking Security-Checks Schwachstellenanalyse destruktiv D D o S Auftrags-Angriff von Hackern Beispiel For US$34 ( 20), a new cloud-based hacking service can crack a WPA (Wi-Fi Protected Access) network password in just 20 minutes. 33 Cloud-Security (Daten) Kritische Daten IaaS Serverfarm Alternativen Serverfarm Serverfarm? Wo sind die Daten 34 17

18 Cloud-Security (Daten) Fragen an die Wolke.. Kann ich den Lageort der Daten beeinflussen Wie ist der Fremdzugriff unterbunden Wie ist der Cloud-interne Zugriff geregelt Was beinhalten die LOG-Files Wer hat Zugriff auf die Log-Files Wer kann LOG-Files verändern Auf welcher Ebene werden Daten verschlüsselt Welche Verschlüsselung wird eingesetzt Wer verwaltet die Verschlüsselungs-Keys Wie lösche ich Daten/Datensätze Wer ist dafür verantwortlich (siehe DSG) Wie bekomme ich Daten aus der Wolke heraus R.I.C.S. EDV-GmbH 35 Datensicherheit Backup und Redundanz Hohe Verfügbarkeit durch Redundanz Redundanz als Ersatz für Backup? Problem: Was bedeutet LÖSCHEN VON DATEN? Nachweispflicht in der Wolke? (DSG 27, Recht auf Richtigstellung oder Löschung) 36 18

19 Cloud-Security (Partnerwechsel) S L A Service Level Agreement (SLA) Eine Vereinbarung zwischen einem Service Provider und einem Kunden. Das SLA beschreibt den jeweiligen Service, dokumentiert SL-Ziele und legt die Verantwortlichkeiten des Service Providers und des Kunden fest. Ein einzelnes SLA kann mehrere Services oder mehrere Kunden abdecken. - Service-based SLA - Customer-based SLA - Multi-level SLAs Operational Level Agreement (OLA) Eine Vereinbarung zwischen einem Service Provider und einem anderen Teil derselben Organisation. Ein OLA unterstützt die Bereitstellung von Services durch den Service Provider für den Kunden. Underpinning Contract Zulieferervertrag und/oder Verträge zwischen Lieferanten ACHTUNG: Zugang über Access-Provider ist oft underpinning! 38 19

20 Vision Unbeschränkte IT-Ressourcen Der Preis: Unbegrenzte Abhängigkeit? Der gläserne Mensch wird zunehmend Realität Es entsteht auch das gläserne Unternehmen Risiko: Die Macht globaler Player als Besitzer (nicht Eigentümer! ) von Information und Methoden Kommt eine Cloud-Rating-Agentur? Wer bietet seriös an Ansatz für Unternehmen: Der PC-Nebel als eigene Cloud Aspekt: Welche Trends sind nicht mehr umkehrbar? R.I.C.S. EDV-GmbH 39 Ein Blick über den grossen Teich Business Process Review Project Management Data Import Configuration and Customization Report and Dashboard Design End User Training Microsoft Access Conversion On Going Daily Administration R.I.C.S. EDV-GmbH 40 20

21 Neue IT-Job-Profile Cloud - Broker Vermittlung von Services Cloud Integrator Lösungen für den Kunden zusammenstellen II-Architekt Planung der IT-Landschaft unter Berücksichtigung o Technolgie, Anwendungen, Partner o Security, Compliance, SLA Cloud - Aggregator kombiniert Cloud-Services und bildet neue Services Cloud Escrow/Key Escrow Datensicherheit in der Wolke R.I.C.S. EDV-GmbH 41 EPU Situation speziell hoch flexibel Konzern KMU Wissen Verfügbarkeit Projektgröße EPU universell individuell abhängig von Faktoren limitiert 42 21

22 EPU Situation Lösung: Kooperation von EPUs Virtuelle KMU Problem: CI, Haftung zum Kunden Outsourcing Abgabe von konkreten Detailaufgaben z.b. Security-Fragen an KMU oder nutzen von Cloud-Services Basis: Konkrete Vereinbarung mit Rollendefinition und SLA R.I.C.S. EDV-GmbH 43 Conclusio Der Paradigmenwechsel erfolgt nachhaltig und im Hintergrund. Verbunden damit ist eine Revolution im IT-Bereich mit derzeit noch nicht absehbaren Folgen. So wie der Strom unser tägliches Leben beeinflusst werden wir in Zukunft noch wesentlich stärker als heute von Information abhängig sein wer diese besitzt, hat die Macht über uns! R.I.C.S. EDV-GmbH 44 22

23 Conclusio IT-Wetterlage: Leichte Bewölkung mit vereinzelt auftretenden Gewittern man sollte den Regenschirm nicht vergessen wir haben noch welche auf Lager! Wenn Wolken aufziehen, kommt irgendwann auch ein Sturm! Sind Sie darauf vorbereitet? R.I.C.S. EDV-GmbH 45 Danke für Ihre Aufmerksamkeit! Trattnerhof 2, A-1010 Wien, Tel.: , Fax: Wir stehen gerne für Ihre Anfragen zur Verfügung! 46 23