IT-Sicherheit aktuelle Tendenzen und drohende Gefahren

Transkript

1 IT-Sicherheit aktuelle Tendenzen und drohende Gefahren Dr.-Ing. Rainer Ulrich 1 Aktuelle Tendenzen - Ständigzunehmende Zahl mobiler IT-Geräte (Laptops, PDAs, MDAs, Handys, USB-Sticks) - Zunehmende Vernetzung; fast jeder Rechner hat Internetanschluss - Vernetzung nicht nur über Kabel, sondern auch drahtlos (WLAN, Bluetooth, IrDa) - Durch Heap-Überlauf können auch Bilder oder Videos Schadsoftware enthalten - Hacking für zweifelhaften Ruhm ist out, besser Geld verdienen mit gekaperten Rechnern 2

2 Anforderungen und Bausteine Verfügbarkeit Integrität Vertraulichkeit Authentzität IT- Sicherheit Hardware Software Richtlinien Schulung 3 Die größte Gefahr für ein Firmennetz ist nicht der Hacker aus dem Internet, sondern der nicht genügend geschulte Mitarbeiter! Das mangelnde Sicherheitsbewusstsein der Mitarbeiter und das damit verbundene unabsichtliche Fehlverhalten der Mitarbeiter sind Aspekte, die in den meisten Unternehmen deutlich unterschätzt werden. 4

3 Virenscanner und Firewall sind notwendig, ergeben aber noch lange keinen IT-Schutz! 5 Die zehn Gebote sicherer IT 1. Verhindern, dass Daten unbefugt gelesen, verändert oder gelöscht werden können Siehe auch IT-Grundschutzhandbuch des BSI 2. Die Sicherheit des Rechnernetzes weder durch unzulässiges Handeln noch durch Untätigkeit gefährden 3. Schutzeinrichtungen stets aktualisieren 4. Schutzeinrichtungen nicht außer Kraft setzen 5. Kein Rechnerzugang für Unbefugte 6. Wichtige Daten regelmäßig sichern und ggf. archivieren 7. Nur freigegebene, legale Software einsetzen 8. Sinnvolle Notfallpläne vorbereiten 9. Schonender Umgang mit den Ressourcen 10. Hirn einschalten 6

4 Passworte - Passworte sind Zugangsschutz zu Rechner und Netzwerk, daher sicherheitskritisch! - Regeln für sichere Passworte beachten - Für unterschiedliche Sicherheitsstufen verschiedene Passworte verwenden, niemals ein Passwort für Alles!!! - Firmen-Passworte nicht für externe Zugänge verwenden (Web-Foren, Web-Mailer, Ebay, ) - Passworte niemals weitergegeben, kompromittierte Passworte sofort ändern - Passworte hinterlegen (verschlossene Umschläge im Safe) 7 Rechnerzugang - Unbefugten Personen Zugang zu Rechner und Netzwerk verwehren! Darum: - eingeloggte Rechner nie unbeaufsichtigt lassen! - beim Verlassen des Arbeitsplatzes Konsole sperren! - Account-Daten nicht an andere Personen weitergeben - Für Teamarbeit und Vertretung gibt es Alternativen zur Account-Weitergabe 8

5 Rechnernutzung und Software - Äußerste Vorsicht bei Verwendung von Software aus unsicheren Quellen! - Keine Verwendung von Programmen, die unkontrollierbar Daten ins Internet schicken (sog. Adware, Spyware): Browser-Toolbars, Internet-Optimierer, Screensaver, Programme zum verteilten Rechnen (z.b. seti@home), - Alle gesetzlichen Vorschriften sind einzuhalten; speziell: - Lizenzrecht (keine Hacks, Cracks, Warez,...) - Urheberrecht (kein Umgehen von Kopierschutz, kein Filesharing, keine Tauschbörsen,...) - Nicht unnötig mit Administrator-Rechten arbeiten 9 Umgang mit - Allgemeines - Mailadresse zurückhaltend weitergeben: Spamgefahr! - Möglichst Signatur und Verschlüsselung verwenden - Automatische Weiterleitung von s auf externe Accounts ist problematisch! - Mailserver nicht als Relay konfigurieren 10

6 Umgang mit - Verschlüsselung - Verschlüsselung obligatorisch bei vertraulichen oder Personen bezogenen Informationen. - ZIP-Dateien mit Passwort gelten nicht als Verschlüsselung! - Zwei Standardverfahren: S/MIME und PGP/GnuPG Beide sind von den Algorithmen her ähnlich sicher, unterscheiden sich aber in der Zertifikatserzeugung. - Achtung, Fallstrick bei PGP: Anhänge müssen separat verschlüsselt werden! 11 Umgang mit Viren, Würmer, Trojaner - ist mittlerweile das Haupteinfalltor für Schädlinge wie Viren, Trojaner, Würmer usw. - Zweistufiger Mailschutz empfohlen: - Virenscanner am Mailserver - Stets aktueller Virenscanner auf jedem lokalen Rechner - ACHTUNG: Täglich treten neue Viren auf: Daher keine Garantie, dass eine unmarkierte Mail virenfrei ist! 12

7 Umgang mit Viren erkennen - Vorsicht bei Mails mit Anhängen, auch von bekannten Absendern! Absenderadressen sind leicht zu fälschen! - Alarmstufe rot bei: weitere Informationen sind dem Anhang zu entnehmen! - Seriösen Firmen versenden niemals Virenscanner, Patches oder ähnliches per ! - Misstrauen, wenn der vermeintliche Absender plötzlich in einer anderen Sprache als sonst mailt! 13 Virusmail (1) Gefälschte Absenderadresse Scheinbar unverdächtiges Dateiformat. Sieht aus wie txt, ist aber pif!!! Das ist der Köder! 14

8 Virusmail (2) Das ist der Köder! Scanner bestätigen nicht die Abwesenheit von Viren! 15 Umgang mit Viren vermeiden - Sichere Mailclients in aktueller Version verwenden: Mozilla, Thunderbird - HTML für Mails deaktivieren - Nachladen von Bildern abschalten (schützt auch vor Spam) - Aktive Inhalte und JavaScript in Mails abschalten - Vorsicht bei Links in s (Phishing-Gefahr; s.u.) - Misstrauisch sein; Vorsicht bei Mailanhängen! - Bei vermutetem Virenbefall: Keine eigenen Rettungsversuche! Rechner isolieren und Spezialisten benachrichtigen. 16

9 Umgang mit Hoaxes - Hoax: Scherz- , keine direkte Schadfunktion - Merkmal: Aufforderung, Mail schnell an große Zahl von Empfängern weiterzuleiten oder Gewinn / Erbschaft Siehe auch: - Typische Inhalte: Urban Legends, Virenwarnungen, Millionenerbschaft ( Nigeria-Connection ) - NIEMALS Anweisungen befolgen und z.b. Dateien auf Rechner löschen - NIEMALS solche Mails weiterleiten (auch nicht im Haus!) - NIEMALS auf Nigeria-Mails antworten 17 Umgang mit SPAM - SPAM: (Spiced Porc and Ham), unerwünschte Mail - Quelle: Häufig per Trojaner gekaperte Rechner - Typische Inhalte: billige Werbung, Nigeria-Connection Siehe auch: - Vermeidung: Eigene adresse nicht auf Websites eintragen oder in Newsgroups verwenden - Filterung: Mozilla und Thunderbird haben selbstlernenden Spamfilter - NIEMALS antworten, auch nicht auf Opt-Out 18

10 Umgang mit Pishing - Kunstwort: Password Fishing - Merkmal: Aufforderung, Accountdaten (z.b. Bank, Kreditkarte, EBay, ) in ein Webformular einzutragen Siehe auch: - Vorgetäuschte Gründe: z.b. Fehler im Rechenzentrum, Verifikation des Accounts, Probleme mit Datenbank, - Webformular oft täuschend echt der wirklichen Seite nachempfunden - Umleitung auf fremde Webadressen oft nicht erkennbar - NIEMALS auf solche Aufforderungen reagieren; im Zweifelsfall Beratung einholen! 19 Phishing-Mail Eine echte Bank würde ihre Kunden mit Namen ansprechen Technisch unsinnige Erklärung, warum man Konto, PIN und TAN braucht Gefälschter Link auf gefälschte Seite 20

11 Umgang mit dem Internet - Selbstschutz - Gefahren meiden: keine zweifelhaften Seiten (z.b. mit Hacks, Cracks, Warez, ) besuchen! - Nie selbst Beweismaterial sammeln, sondern nur Adresse melden! - Sichere und aktuelle Browser verwenden - Auf ActiveX, Java, JavaScript möglichst verzichten - Niemals in einem Popup-Fenster OK oder JA eingeben: Dialer, Kosten bis zu 30 pro Einwahl, Gefahr besonders für Laptops und Heimrechner! 21 Typisches Dialer-Popup-Fenster 22

12 Datensicherheit Schutz vor Verlust - Niemals Daten nur lokal auf dem Rechner halten, wichtige Daten gehören auf einen Server (Backup!) - Bei längerem Arbeiten ohne Netzzugang lokale Datensicherung durchführen (z.b. CD, USB-Devices, ) - Vor dem Löschen von Daten nachdenken - ACHTUNG: (Langzeit-) Archivierung und Backup sind nicht das gleiche! 23 Datensicherheit Schutz vor Ausspähen - Weitergabe oder Entsorgung von Datenträgern nur nach vollständigem und sicherem Löschen! (Gilt für alle Datenträger, auch für Festplatten!!!) - Bei mobilen Rechnern (Laptops usw.) müssen vertrauliche Daten oder der ganze Datenträger verschlüsselt werden! - Keine Office-Dokumente weitergeben (Dokumentenhistorie enthält vertrauliche Daten!), besser PDF! 24

13 Datensicherheit Schutz vor Schadsoftware - Aktueller Virenscanner auf jedem Rechner - Änderung der Einstellungen oder Abschalten ist für Mitarbeiter verboten! - Externe Datenträger vor Benutzung scannen! - Auf Laptops und Rechnern mit direktem Internet-Zugang Firewall einsetzen. - Ständig Sicherheitspatches und Updates einspielen 25 Netzwerknutzung - Keine Fremdrechner an das Firmennetz anschließen. - Rechner dürfen niemals gleichzeitig mit zwei Netzen verbunden sein (z.b. Modem, WLAN, Ethernet) - Keine eigenen WLAN-Accesspoints einrichten! 26

14 Datenübergabe beim Ausscheiden - Es hat eine sorgfältige Dokumentation und Übergabe der Daten an den Betreuer zu erfolgen - Bei verschlüsselten Daten sind die Schlüssel an eine Vertrauensperson zu übergeben, ebenso PKI-Schlüssel sowie ggf. gesetzte BIOS- und Festplatten-Passworte u.ä. 27 Protokollierung und Überwachung - Im Rahmen der administrativen Aufgaben ist es erforderlich, Protokolldaten z.b. über Datenverkehr, installierte Software usw. zu erstellen und zu speichern. - Spagat zwischen unzulässiger Überwachung von Mitarbeitern und Protokolldatenerfassung zum Schutz der IT-Infrastruktur. 28

15 Notfallpläne - Wie wird ein Notfall erkannt? - Wer muss alarmiert werden? - Welche Sofortmaßnahmen hat der Betroffene zu ergreifen? - Wie lässt sich ein Ausbreiten des Schadens begrenzen? - Wie können verloren gegangene Daten zeitnah wieder aufgespielt werden? 29