Cybersicherheit im Fokus des Mittelstandes: Aktuelle Schadensszenarien und moderne Angriffsstrategien.

Transkript

1 Cybersicherheit im Fokus des Mittelstandes: Aktuelle Schadensszenarien und moderne Angriffsstrategien. Prof. Dr.-Ing. Ulrich Greveler Labor für IT-Sicherheit Hochschule Rhein-Waal März 2015

2 Restrisiken? Einleitende Fragen: Was kann uns eigentlich noch passieren, wenn wir an den richtigen Stellen Virenscanner und Firewall einsetzen? Warum müssen wir technische Komponenten absichern, für die sich unsere IT gar nicht zuständig fühlt? Was kann einem Mittelständler wie uns, für den sich keiner interessiert, schon passieren?

3 Haustechnik, Gebäudeleittechnik Angriffe auf: Manipulation von Heizung, Klima, Abschattung (Idee: Nicht Server sondern Serverraum angreifen) Störung der Frischluftversorgung Eingriff in die Regelung bei selbststabilisierenden Systemen (z. B. starke Überhitzung / Überfeuchtung von Lagern, IT-Räumen, Produktionsstätten). Störung von Zufahrt, Zugang zum Gebäude für Kunden und Mitarbeiter, Abschottungen innerhalb der Gebäude, Toren. Störung der Energieversorgung (Strom), Wasser- und Gasversorgung Manipulation von Zeitsteuerungen

4 DoS-Angriffe über Haustechnik Für einen Angreifer, der (Server-)Systeme außer Betrieb nehmen will, ist der Umweg über eine Haustechnik u. U. der einfachere Weg: Stromversorgung des Racks kappen USVen manipulieren Überlastung der Stromversorgung provozieren Zuordnung von Schaltern zu Stromkreisen ändern Überhitzung des Raums provozieren Zutritt des externen Servicepersonals blockieren Rauchsensoren / Brandmeldeanlage auslösen Safe mit Backupbändern blockieren

5 Bsp.: Raumüberwachung Insbesondere im geschäftlichen Umfeld kommt dem Phänomen Raumüberwachung eine besondere Bedeutung zu. Geräte verfügen über Mikrofon, Kamera, Sensoren und können als Wanze missbraucht werden. Smartphones Pads Notebooks Telefonanlagen Spielzeuge / Gadgets mit Voice-Steuerung Smart-TVs

6 Szenario: Verfälschung einer Banküberweisung Ausgangspunkt: Im Unternehmen existiert ein historisch gewachsener Workflow, bei dem Zahlungsaufträge aus einem System (Beschaffungslogistik) generiert werden und nach Freigabe durch Prokuristen als Textdatei (mit XML-Elementen) in ein anderes System (Finanzbuchhaltung) importiert werden. Für einen gewissen Zeitraum (Minuten, Stunden) liegt diese Datei auf einem Netzlaufwerk vor. Malware auf Gerät im WLAN scannt nach Dateien, findet IBAN über regulären Ausdruck und ändert das Überweisungsziel. Folge: Falls falsches Überweisungsziel vom Mitarbeiter bei Übertragung an die Bank nicht erkannt wird, ist der finanzielle Schaden gegeben.

7 Szenario: Verfälschung einer Banküberweisung (2) Behauptung: Daten liegen nur kurz (ggf. nur Sekunden) ungeschützt vor. Täter muss unrealistisch rasch handeln. Entkräftung: Der Täter handelt nur vorbereitend; die Malware ist 24x7 einsatzbereit. Behauptung: Der Vorgang ist unternehmensspezifisch und einzigartig. Gegen Insider hilft ohnehin nichts. Entkräftung: Formatierte Daten (z. B: IBAN als ASCII- Text) können unabhängig von technischen Abläufen ohne Insider-Hilfe identifiziert und verändert werden. Behauptung: Mitarbeiter würden es bei letzter Sichtung bemerken, wenn große Summen an falsche Konten fließen. Entkräftung: Vielleicht (!) würden sie das. Aber kontrollieren sie nicht eher den Ausdruck zuvor?!

8 Szenario: Zugriff auf Kundendatenbank Ausgangspunkt: Im Unternehmen greift eine businesskritische proprietäre Applikation auf ein Datenbank-Backend im internen Netz zu. Sensible Kundendaten werden so verwaltet. Eine Malware in einem USB-Gerät simuliert ein Keyboard, nimmt Zugriff auf das LAN und leitet über ARP-Spoofing den Netzverkehr im Segment um. Als Man-in-the-Middle kann die Malware nun die Kommunikation zur DB mitlesen und automatisiert Passwörter und Tabellennamen ermitteln. Folge: Der Gesamtdatenbestand wird über einen längeren Zeitraum ausgelesen und über das Internet zum Angreifer übertragen Erpressung Bekanntwerden sensibler Daten

9 Szenario: Zugriff auf Kundendatenbank (2) Behauptung: Wir lassen keine Smart Devices ungeprüft ins interne produktive Netz. Entkräftung: Politik deckt oft USB-Geräte, Bluetooth, Firewire, Keyboards u. a. nicht ab. Behauptung: Angreifer kennen unsere selbstgestrickte Applikation nicht. Entkräftung: Datenbankschnittstelle folgt Standards. Der Angriff berücksichtigt keine spezifische Applikation. Behauptung: Wir würden doch bemerken, wenn der Netzwerkverkehr umgeleitet wird. Entkräftung: Performance-Einbußen machen sich vielleicht bemerkbar. Aber eine forensische Untersuchung wird wohl kaum durchgeführt, wenn Benutzer über ein langsames Netz klagen.

10 Bsp.: Kassensysteme, Buchungssysteme Eine Beeinträchtigung von Buchungs- und Kassensystemen kann zu erheblichen Ablaufstörungen führen. Over-the-Counter-Verkäufe nicht mehr möglich Finanztransaktionen werden unterbrochen Warenwirtschaft bricht zusammen Buchungsstau, Leerstände, Unterauslastung mit erheblichen Folgen für Cash-Flow und Ansehen des Unternehmens Sabotage über Verfälschung von Transaktionsdatensätzen: Z.B. Provokation teurer Fehler bei Warenwirtschaft, Fehlüberweisungen, -abbuchungen, extremer Überbuchung

11 Security-Incident Schadensfall Vorfälle im Bereich der IT-Sicherheit verursachen erhebliche Schäden für das Unternehmen, die hohe Kosten bewirken: Rekonstruktion und Wiederherstellung der Daten Schadensersatzansprüche Dritter wegen Vertraulichkeits- und Datenschutzverletzungen Betriebsunterbrechung Aufklärung des Vorfalles, IT-Forensik Sicherheitsberater oder PR-Berater Umsatzverluste/ Reputationsschaden Erpressungsgeld, Belohnungen Vertragsstrafen/ Bußgelder Cyber-Risiken werden nicht oder unzureichend über Haftpflicht-, Sach- oder Vertrauensschadenversicherungen abgedeckt.

12 Schadensbeispiel Betrieb mittlerer Größe mit hohem Anteil von Onlinehandel ist Opfer von Datendiebstahl geworden. Über mehrere Monate konnten sich Hacker rechtswidrigen Zugang zum Portal verschaffen. Während dieser Zeit kopierten die Hacker über Kundendaten. Entstandene Kosten: Diverse forensische Arbeiten Rechtsberatung und Rechtsbeistand Gesetzliche Informationspflichten Medien und PR Vermögensschaden (Payment Card Industry) Gesamtkosten Traditionelle Versicherung deckt hier nur einen Teil der forensischen Arbeiten ab, ggf. wurden Vermögensschäden gesondert versichert. Quelle: Erichsen, 2014

13 Maßnahmen für KMUs Unternehmen sollten einen Informationssicherheitsprozess ins Leben rufen, um Restrisiken fortlaufend zu minimieren. Die Geschäftsführung hat dazu die Ziele und den Stellenwert der Informationssicherheit für das Unternehmen zu definieren. Penetrationstests und technische Untersuchungen ausgewählter Bereiche stellen keine sinnvollen ersten Schritte dar. Der Katalog nach IT-Grundschutz und die Zertifizierung nach ISO 2700n bieten ein umfassendes Maßnahmenpaket, das KMUs jedoch vor sehr hohe Hürden stellt. Die VdS-Richtlinie 3473 ermöglicht KMUs eine Bestätigung eines angemessenen Sicherheitsniveaus unterhalb der hohen Aufwände, die mit einer ISO-Zertifizierung einhergehen. Insbesondere für eine beabsichtigte Indeckungnahme von Restrisiken durch Versicherer bietet das Zertifikat eine unabhängige Bestätigung des Status Quo.

14 Vielen Dank! Fragen? Meinungen? Kontakt: Prof. Dr.-Ing. Ulrich Greveler Labor für IT-Sicherheit Hochschule Rhein-Waal