Kaspersky. Hosted Security. Services WHITEPAPER. Funktionsprinzip von Kaspersky Hosted Security

Transkript

1 Hosted Security Kaspersky Services WHITEPAPER Funktionsprinzip von Kaspersky Hosted Security

2 1 PHILOSOPHIE DER KASPERSKY HOSTED SECURITY SERVICES FUNKTION VON KASPERSKY HOSTED SECURITY VIREN-ABWEHR SPAM-ABWEHR SICHERHEITS-POLICIES NACHRICHTEN-ZUSTELLUNG STEUERUNG UND REPORTS... 7 KASPERSKY LAB

3 1 Philiosophie der Kaspersky Hosted Security Services Aktuelle Antiviren- und Anti-Spam-Software schützt Firmenkunden effektiv vor den unterschiedlichsten Bedrohungen. Die Produkte von Kaspersky nehmen dabei eine Spitzenposition ein, wie viele unabhängige Tests zeigen. Die meisten Attacken erreichen Unternehmen über das Internet, neue Malware verbreitet sich in immer kürzeren Zeiträumen über die ganze Welt. Große Virenausbrüche erfordern das Eingreifen der Systemadministratoren, die aufgrund des immer umfangreicheren Aufgabenfeldes oft nicht die Zeit und Expertise für diese Aufgabe besitzen. Überlastungen und Ausfälle des Firmennetzes sind dabei nur die harmlosesten Folgen. Genau hier setzen die Kaspersky Hosted Security Services (KHSS) an: Bereits bevor Viren und Spam über , das Web oder Instant Messenger das Unternehmensnetz erreichen, werden sie im Kaspersky-Datenzentrum durch bewährte, hocheffiziente Algorithmen ausgefiltert. Diese Vorgehensweise birgt viele Vorteile. So können beispielsweise drei Viertel aller eintreffenden s sicher als Spam oder viren behaftet identifiziert und in Quarantäne verschoben werden die Last auf den Gateway- Servern sinkt enorm. Dabei sind die Systeme automatisch immer auf dem neuesten Stand, Spezialisten von Kaspersky mit langjähriger Sicherheitserfahrung übernehmen deren Pflege. Der Integrationsaufwand für diese Lösung ist minimal. Kosten für eigene Security-Spezialisten sowie die sonst nötige Hardware für den Betrieb eines Gateway-Filters können durch Kaspersky Hosted Security Services eingespart werden. Kaspersky Hosted Security Services eliminieren Bedrohungen im eingehenden Datenstrom bereits im Kaspersky-Datenzentrum, noch vor dem Gateway- Server des Kunden (hier am Beispiel von Kaspersky Hosted Security). Kaspersky Hosted Security Services sind in kürzester Zeit einsatzbereit und bieten Schutz vor Gefahren, die über das Internet (per , Web oder IM) in Firmennetze eindringen. Es muss weder Software noch Hardware installiert werden, und die Leistungen der Services sind mit Garantien (Service Level Agreements) hinterlegt. So werden wertvolle interne IT- Ressourcen frei, und Ihre Mitarbeiter müssen sich nicht mit der Administration der IT-Security-Lösung beschäftigen. 2 Funktion von Kaspersky Hosted Security Das KHSS-Modul Kaspersky Hosted Security hält als -Firewall das Kunden-Gateway frei von Spam, Phishing, Viren und anderen Schadprogrammen sowie DoS- und DHA-Attacken auf den -Server. Kaspersky Hosted Security ist erhältlich als reines Anti-Spam-Modul sowie in Kombination mit einem Anti-Viren-Modul für maximalen Schutz vor unerwünschten Nachrichten und gefährlichen Anhängen. KASPERSKY DATENZENTRUM QUARANTÄNE (Spam, Viren) INTERNET KUNDEN MAILSERVER ABSENDER 3

4 Die Integration von Kaspersky Hosted Security in die bestehende Infrastruktur ist äußerst einfach, es muss lediglich der MX-Record im DNS geändert werden. Damit werden alle ein- und ausgehenden s des Kunden über ein Hochleistungs-Rechenzentrum von Kaspersky geleitet und dort auf Spam, Viren und andere unerwünschte Inhalte überprüft. Dabei kommen verschiedene Antiviren- und Anti- Spam-Techniken zum Einsatz, unter anderem das Heuristikmodul Kaspersky BitHunt. Jede überprüfte erhält einen bestimmten Status, etwa saubere Nachricht, Spam oder schädlicher Code. Saubere Nachrichten werden ohne Verzögerung oder Modifikation an den Kunden weitergeleitet. Mit den restlichen Mails kann unterschiedlich verfahren werden. Zum einen ist es möglich, die s mit Änderungen im Betreff oder im Header an den Kunden weiterzuleiten, damit dieser selbst über das weitere Vorgehen entscheiden kann. Zum anderen können s in die Quarantäne verschoben werden, wo sie bis zu 15 Tage lang aufbewahrt werden. Wenn nötig, kann jede beliebige Nachricht aus der Quarantäne wiederhergestellt und an den Adressaten gesendet werden. Die Konfiguration und der Zugriff auf die Reports und Statistiken erfolgen über ein komfortables Web-Interface im Rahmen einer gesicherten Verbindung (SSL). Hier die wichtigsten Komponenten von Kaspersky Hosted Security im Überblick: 2.1 Viren-Abwehr: Durch eine Kombination verschiedener Systeme zur Erkennung schädlicher Programme werden sowohl bereits bekannte als auch neue Viren, -Würmer, trojanische Programme und andere Schadsoftware erkannt und blockiert. 2.2 Spam-Abwehr: Unerwünschte s (Spam) werden gefiltert und können zurückgehalten werden. Sie werden 15 Tage in einem Speicher auf bewahrt, auf den wenn nötig zugegriffen werden kann. 2.3 Sicherheits-Policies: Unerwünschte Anhänge (zum Beispiel Archive, MS-Office-Dokumente, Bilder, Musik-Dateien) im elektronischen Postverkehr werden sowohl anhand der inneren Dateistruktur als auch anhand der Dateiendung erkannt und blockiert. 2.4 Nachrichten-Zustellung: Alle an die -Adresse des Kunden gesendeten Nachrichten, die zur Weiterleitung freigegeben wurden, werden ohne merkliche Verzögerung zugestellt. 2.5 Steuerung und Reports: Ein Web-orientiertes Verwaltungs-Interface ermöglicht den Zugriff auf Konfigurationstools, Statistiken und Reports. In den folgenden Abschnitten werden diese Komponenten nun etwas genauer vorgestellt. 2.1 Viren-Abwehr Das Filtern von Bedrohungen aus dem Internet weit vor dem Firmen-Gateway sorgt für ein erhöhtes Sicherheitsniveau: Aggressive Trojaner, Spyware- Programme und andere bösartige Attacken gelangen erst gar nicht zum Kunden. Dazu überprüft Kaspersky Hosted Security sämtliche s anhand verschiedener Antiviren-Technologien auf bekannte und unbekannte Schädlinge: Im Prescan werden solche Massenmails aussortiert, die teilweise in abgewandelter Form in hoher Zahl in den Kaspersky-Datenzentren eintreffen. Der Kunde ist so geschützt vor DoS- und DDoS-Attacken und benötigt auch weniger Ressourcen, um das eintreffende Mailvolumen zu bewältigen. Der Format-Filter erkennt rund 80 Dateiformate zuverlässig nicht nur an der Dateiendung, sondern anhand der internen Struktur der Daten. So kann unerwünschter Content wie Videos oder ausführbare Dateien geblockt werden. Drei unabhängige Antiviren-Engines sorgen für eine höchstmögliche Erkennungsrate und erfüllen auch die Anforderung vieler Firmen, am Gateway eine andere Engine einzusetzen als auf den Workstations und Fileservern. Dank hervorragender Reaktionszeiten auf neue Bedrohungen und ständiger Updates durch Experten von Kaspersky Lab sind die Schutzsysteme immer auf dem neuesten Stand. BitHunt ist ein System zur proaktiven Erkennung von Bedrohungen, das bis zu 95 Prozent aller neuen schädlichen Programme erkennt. Damit ist es wesentlich leistungsfähiger als Heuristiken in Standardprodukten (etwa Antiviren-Software für Workstations oder Fileserver). Da BitHunt sehr ressourcenhungrig ist, kann es nur auf der hochspezialisierten Hardware in den Kaspersky- Datenzentren in vollem Funktionsumfang zum Einsatz kommen. Dadurch profitieren Kunden der Kaspersky Hosted Security Services exklusiv von dieser zusätzlichen Sicherheitsstufe, gleichzeitig können Virenschreiber ihre neuen Kreationen vorab nicht auf eine Erkennung durch BitHunt testen. Die Kombination all dieser Technologien garantiert die bestmögliche Malware-Erkennung bei einer minimalen False-Positive-Rate. Alle Nachrichten, in denen schädlicher Code entdeckt wurde, können entweder gelöscht oder in einen speziellen Speicher verschoben werden, aus dem jede beliebige auf gesonderte Anfrage des vom Kunden autorisierten Administrators wiederhergestellt werden kann. 4

5 2.2 Spam-Abwehr Der Spam-Filter vereint in sich bekannte formale Spam-Erkennungsmethoden mit einer Content- Filterung, mit deren Hilfe Spam auf Grund von inhaltlichen Kriterien und einer heuristischen Suche nach Key-Words sowie eines ungefähren Abgleichs mit Muster- s erkannt wird. Durch diese unterschiedlichen, hintereinander geschalteten Analyseschritte erreicht das Anti-Spam-Modul eine sehr hohe Trefferquote bei der Spam-Erkennung, gleichzeitig wird die Fehlerrate minimiert: Listen. Absenderadresse und IP-Adresse des Absenders werden mit Blacklists abgeglichen, die von Providern oder verschiedenen öffentlichen Organisationen geführt werden (so genannte RBL Real-Time Black Lists). Der Systemadministrator hat die Möglichkeit, eigene Whitelists mit Adressen anzulegen, von denen s grundsätzlich angenommen werden. Formale -Merkmale. Zu den typischen Merkmalen von Spam zählen unter anderem das Fehlen einer gültigen Absender- oder Empfängeradresse beziehungsweise eine unangemessen große Empfängerzahl, das Fehlen einer IP-Adresse im Domain- Name-System (DNS) und vieles mehr. Überdies werden bei der Spam-Filterung auch Größe und Format der Nachricht berücksichtigt. -Inhalt. Die s werden auf Spam-typische Merkmale untersucht, etwa die Verteilung spezifischer Wortverbindungen innerhalb der Nachricht. Der Spam-Filter analysiert nicht nur den Text im -Body selbst, sondern auch den Inhalt angehängter Dateien. Signaturen (Muster). Für jede Spam-Mail wird automatisch eine so genannte lexikalische Signatur erstellt, mit deren Hilfe diese Nachricht zukünftig selbst mit geringfügigen Modifikationen erkannt werden kann. Modul zur Erkennung von grafischem Spam. Dieses Modul analysiert Mails, deren Text in Bilddateien eingebettet ist. Die Bemühungen der Spammer, auf diese Weise herkömmliche Spam-Filter zu umgehen, haben bei Kaspersky Hosted Security keinen Erfolg. Urgent Detection System (UDS). Kann eine nicht eindeutig als Spam oder als sauber eingestuft werden, so erfolgt eine Anfrage an den UDS- Server, der Daten zu den letzten Massenversendungen enthält. Informationen über neuen Spam werden unmittelbar nach Entdeckung durch die Spam-Analytiker hinzugefügt. Der Spam-Filter zeichnet sich insbesondere dadurch aus, dass er unerwünschte Nachrichten mit Hilfe einer inhaltlichen Analyse erkennt. Die s werden auf der Grundlage einer sinnbezogenen Analyse automatisch in verschiedene Kategorien eingeteilt. UPDATE-SERVER ANTIVIREN-LABOR PRESCAN FORMAT- FILTER AV-ENGINE 1 AV-ENGINE 2 AV-ENGINE 3 BITHUNT QUARANTÄNE (Abb. Viren-Erkennung) 5

6 Dank seiner hochspezialisierten Rechenzentren können die Kaspersky Hosted Security Services auch Technologien zum Schutz vor Spam und Malware anbieten, die in Standard produkten nicht einsetzbar sind sei es, da sie besonders ressourcenintensiv sind oder zusätzliche Hardware erfordern. Das führt gegenüber traditionel len Systemen zu einer verbesserten Arbeitsqualität. 2.3 Sicherheits-Policies Neben der Filterung von Malware und Spam bietet Kaspersky Hosted Security die Möglichkeit, bestimmte Dateiformate zu blockieren. Der Dateityp wird dabei sowohl über die innere Struktur der Datei als auch über die Dateinamens erweiterung bestimmt. Die Blockierung bestimmter Dateitypen gewährleistet ein höheres Maß an Sicherheit und ermöglicht die effektive Umsetzung der vom Unternehmen festgelegten IT-Sicherheits-Policy. Folgende Formate werden unterstützt: Anwendungen (EXE, SYS, DLL und andere) Microsoft-Office-Dokumente (DOC, DOT, XLS, XLT, PPT, PPS und andere) RTF-Dokumente Archive (RAR, ARJ, ZIP und andere) Videodateien (AVI, MPG) Musikdateien (MP3, OGG) 2.4 Nachrichten-Zustellung Treten beim -Server des Kunden Probleme auf, werden die versandbereiten Nachrichten in eine spezielle Warteschleife eingereiht (FailSafe). Der Administrator des Kunden kann diese s jederzeit einsehen. In regelmäßigen Abständen versucht FailSafe, sich mit dem -Server des Kunden zu verbinden. Sobald dies gelingt, werden die zurückgestellten Nachrichten erneut gesendet. 2.5 Steuerung und Reports Die Konfiguration der Services erfolgt über ein komfortables Web-Interface, auf das der Administrator nach entsprechender Authentifizierung über eine gesicherte SSL-Verbindung zugreifen kann. Dort können auch unterschiedliche Berichte erstellt werden. Folgende Berichtstypen stehen dabei zur Auswahl: Empfangene s: Informationen zu empfangenen s in jeder Domain des Kunden sowie zum Anteil der unerwünschten Korrespondenz am gesamten -Verkehr innerhalb eines bestimmten Zeitraums Gesendete s: Anzahl der gesendeten s pro Domain und Anwender Spam: Anzahl, Umfang und wichtigste Quellen von Spam Malware: Anzahl und Umfang der überprüften Dateien, am weitesten verbreitete Schadprogramme zum Zeitpunkt der Berichtserstellung Top 10: Die jeweils zehn populärsten Schadprogramme, Spam-Quellen, aktivsten Adressaten und so weiter Hauptbericht: Zusammenfassende Informationen für alle Domains des Kunden, beinhaltet alle oben genannten Daten in einem Dokument Executive Report: Knapper Bericht für die Unternehmensleitung UPDATE-SERVER ANTISPAM-LABOR BLACK- LISTS DNSBL-, SPF-, SURBL- ATTRIBUT- HEURISTIK- SIGNATUR- GRAFIK- SPAM- BITHUNT QUARANTÄNE (Abb. Spam-Erkennung) 6

7 Kaspersky Lab Kaspersky Lab reagiert im weltweiten Vergleich von Antivirus-Herstellern meist am schnellsten auf IT- Sicherheitsbedrohungen wie Viren, Spyware, Crimeware, Hacker, Phishing-Attacken und Spam. Die Produkte des global agierenden Unternehmens mit Hauptsitz in Moskau haben sich sowohl bei Endkunden als auch bei KMUs, Großunternehmen und im mobilen Umfeld durch ihre erstklassigen Erkennungsraten und minimalen Reaktionszeiten einen Namen gemacht. Neben den Stand-Alone-Lösungen des Security- Experten ist Kaspersky-Technologie Bestandteil vieler Produkte und Dienstleistungen führender IT- Sicherheitsunternehmen. Kontakt Kaspersky Labs GmbH Steinheilstr Ingolstadt Telefon: +49 (0) Telefax: +49 (0)