Sicherheit von Wireless-LAN- Infrastrukturen 2009

Transkript

1 Sicherheit von Wireless-LAN- Infrastrukturen 2009 Ergebnisse einer empirischen Untersuchung unter deutschen Unternehmen und Behörden Daniel Fischer, Bernd Markscheffel 17. DFN-Workshop, 09./ , Hamburg

2 Agenda Motivation und Zielsetzung Vorbereitung und Durchführung der Untersuchung Ergebnisse der Untersuchung Zusammenfassung und Ausblick Seite 2

3 Ausgangspunkt / Motivation WLAN etablierte Technologie in vielen Unternehmen und Behörden im Einsatz Abhängigkeiten wachsen mehr WLAN-Infrastrukturen mehr Endgeräte mehr Anwendungen Bedarf an Sicherheit nimmt zu WLANs unsicher Sicherheitsmaßnahmen nicht oder nur unangemessen eingesetzt sicherheitskritische Daten und Anwendungen nur unzureichend geschützt jedoch fehlen in der Regel genauere Aussagen über die WLAN-Sicherheit Seite 3

4 Fragestellungen / Zielsetzung Welche Sicherheitsmaßnahmen werden verwendet, welche nicht? Warum werden Sicherheitsmaßnahmen nicht eingesetzt? Welche Zusammenhänge gibt es zwischen unternehmensspezifischen Merkmalen und dem Einsatz von Sicherheitsmaßnahmen? Seite 4

5 Agenda Motivation und Zielsetzung Vorbereitung und Durchführung der Untersuchung Ergebnisse der Untersuchung Zusammenfassung und Ausblick Seite 5

6 Katalog WLAN-spezifischer Sicherheitsmaßnahmen 53 spezielle Maßnahmen zur Erhöhung der Sicherheit in WLANs ( Klasse Maßnahme/Beschreibung Organisatorische Maßnahmen vor der Inbetriebnahme (16 Stk.) Sicherheitskonzept für WLAN-Infrastruktur erstellen 2: Anforderungen an Sicherheitsziele festlegen Inbetriebnahme (Rollout) planen 5: Einsatzorte exakt festlegen und abgrenzen Organisatorische Maßnahmen während des Betriebs (9 Stk.) 17: Einhaltung der Datenschutzbestimmungen regelmäßig überprüfen 18: WLAN durch Netzwerkscans und Auswertungen von Logdateien regelmäßig überwachen Hardware-technische Maßnahmen (5 Stk.) 26: Geeignete WLAN-Technik (Signaltechnik: z. B. OFDM/DSSS) und Standard (IEEE g, etc.) wählen 27: Zentrale Managementkomponente zur Administration und Überwachung verwenden (Wireless Switch) Software-technische Maßnahmen (13 Stk.) Verschlüsselungstechniken benutzen 46: WPA2 bzw. IEEE i-Verschlüsselung Seite 6

7 Hypothesenentwicklung und Datenerhebung Entwicklung von Hypothesen Internet-basierte Befragung Fragebogen: Zeitraum: April bis Juni 2009 Stichprobenumfang 110 Unternehmen des HDAX (DAX, MDAX, TecDAX) 94 Mitglieder des TeleTrusT Deutschland e.v. ca. 100 IT-Sicherheitsbeauftragte der Bundesverwaltungen weitere Aufrufe zur Teilnahme in Zeitschriften (<kes>, DuD) und Internet-Portalen (z. B. Seite 7

8 Befragungsteilnehmer 80 komplett ausgefüllte Fragebögen nach Branche 1,3% 2,5% 3,8% 3,8% 18,8% 16,3% 32,5% 13,8% 6,3% Handel Information und Kommunikation Industrie Dienstleistungen Öffentliche Einrichtung 25,0% 8,8% 8,8% 5,0% 3,8% nach Größe <10 MA 25,0% MA 12,5% MA 13,8% >250 MA 32,5% 8,8% 16,3% nach Position/Stelle des Befragten IT-Fachbereich Nicht-IT-Fachbereich 3,8% 63,8% Geschäftsführung 11,3% Seite 8

9 Agenda Motivation und Zielsetzung Vorbereitung und Durchführung der Untersuchung Ergebnisse der Untersuchung Zusammenfassung und Ausblick Seite 9

10 Hypothese 1: Unternehmen und Behörden setzen zur Sicherung ihrer WLAN-Infrastrukturen eher auf technische als auf organisatorische Maßnahmen. T O P F L O P Maßnahme Klasse Einsatzhäufigkeit 5: Einsatzorte exakt festlegen und abgrenzen Org. Maßnahme 67,5% 1: Notwendigkeit, Ziele und Anwendungszweck der WLAN- Org. Maßnahme 62,5% Infrastruktur begründen 31: Werkseitige Grundeinstellungen an WLAN-Komponenten Techn. Maßnahme 61,3% ändern 2: Anforderungen an Sicherheitsziele festlegen Org. Maßnahme 58,8% 21: Administration der Access Points nicht über WLAN- Org. Maßnahme 56,3% Schnittstelle bzw. unsichere Administrationszugänge vollziehen 15: Administratoren schulen Org. Maßnahme 55,0% 52: Intrusion Detection Systems zur Überwachung des Techn. Maßnahme 13,8% WLANs einsetzen 29: Signalkapselung durch bauliche Maßnahmen erreichen (z. B. Techn. Maßnahme 12,5% Abschirmung) 41: Open-System-Authentifizierung Techn. Maßnahme 10,0% 39: Block-Intra-BSS-Traffic in öffentlichen Bereichen verwenden Techn. Maßnahme 6,3% 30: Registrierte WLAN-Karten über eine Ausleihe ausgeben und Techn. Maßnahme 5,0% regelmäßig austauschen 44: WEP-Verschlüsselung Techn. Maßnahme 5,0% Ø Einsatzhäufigkeit org. Maßnahmen = 44,0% Ø Einsatzhäufigkeit techn. Maßnahmen = 25,6% Seite 10

11 Hypothese 2a: Unkenntnis ist ein Hauptgrund für den Nichteinsatz von Sicherheitsmaßnahmen. Wie viel Prozent der Sicherheitsmaßnahmen sind den Befragungsteilnehmern bekannt? 55,4% 44,6% Sicherheitsmaßnahmen (Klassen) Org. Maßnahmen vor der Inbetriebnahme Org. Maßnahmen während des WLAN-Betriebs Hardware-techn. Maßnahmen 24,5% 38,2% 47,3% 48,0% 68,9% 62,4% bekannt eingesetzt bekannt unbekannt Software-techn. Maßnahmen 44,9% 25,9% 0% 20% 40% 60% 80% 100% Bekannte/eingesetzte Sicherheitsmaßnahmen in Prozent Ø 44,6% der Sicherheitsmaßnahmen nicht bekannt nur Ø 59,1% der bekannten Maßnahmen eingesetzt Seite 11

12 Bekannte vs. eingesetzte technische Sicherheitsmaßnahmen (Auswahl) Sicherheitsmaßnahmen WEP-Verschlüsselung 5,0% 46,3% bekannt eingesetzt Registrierte WLAN-Karten über eine Ausleihe ausgeben und regelmäßig austauschen 5,0% 36,3% Intrusion Detection Systems zur Überwachung des WLANs einsetzen 13,8% 43,8% SSID im Broadcast abschalten 20,0% 50,0% 0% 20% 40% 60% 80% Bekannte/eingesetzte Sicherheitsmaßnahmen in Prozent Seite 12

13 Hypothese 2b: Hoher Implementierungs-/Betriebsaufwand und eine zu geringe Wirkung sind weitere Hauptgründe für den Nichteinsatz von Sicherheitsmaßnahmen. Warum setzen die Befragungsteilnehmer bekannte Sicherheitsmaßnahmen nicht ein? 43,1% 27,4% 19,2% 8,1% in Planung zu hoher Implementierungs-/ Betriebsaufwand zu geringe Wirkung andere Nutzung von Maßnahmen nimmt in naher Zukunft signifikant zu Seite 13

14 Gründe für den Nichteinsatz nach Maßnahmenklassen Sicherheitsmaßnahmen (Klassen) Org. Maßnahmen vor der Inbetriebnahme 49,0% 28,6% 14,8% in Planung Org. Maßnahmen während des Betriebs 51,0% 31,9% 7,0% zu hoher Implementierungs-/ Betriebsaufwand zu geringe Wirkung Hardware-techn. Maßnahmen 24,7% 52,7% 15,0% andere Software-techn. Maßnahmen 40,0% 19,4% 28,0% 0% 20% 40% 60% 80% 100% Einsatz weiterer organisatorischer Maßnahmen in Planung zu hoher Implementierungs-/ Betriebsaufwand vor allem bei Hardware-techn. Maßnahmen Seite 14

15 Hypothese 3: Unternehmen aus der IuK-Branche setzen im Vergleich zu Unternehmen aus anderen Branchen und Behörden mehr Sicherheitsmaßnahmen ein. Sicherheitsmaßnahmen (Klassen) Org. Maßnahmen vor der WLAN-Inbetriebnahme Org. Maßnahmen während des WLAN-Betriebs 55,6% 66,5% Information und Kommunikation Dienstleistungen Öffentliche Einrichtungen/Behörden Industrie Handel Hardware-technische Maßnahmen 36,0% Software-technische Maßnahmen 41,1% 0% 20% 40% 60% 80% Eingesetzte Sicherheitsmaßnahmen in Prozent Seite 15

16 Hypothese 4: Größere Unternehmen und Behörden setzen im Vergleich zu kleineren mehr Sicherheitsmaßnahmen ein. Größe der Institutionen Große Institutionen (> 250 Mitarbeiter) 43,1% 73,1% bekannt eingesetzt Mittlere Institutionen ( Mitarbeiter) 34,0% 59,5% Kleine Institutionen (10-50 Mitarbeiter) Kleinstinstitutionen (< 10 Mitarbeiter) 40,8% 49,0% 67,4% 72,4% 0% 20% 40% 60% 80% 100% Bekannte/eingesetzte Sicherheitsmaßnahmen in Prozent Seite 16

17 Sicherheitsmaßnahmen, deren Einsatz stark von der Größe der Unternehmen und Behörden abhängt (Auswahl) Sicherheitsmaßnahmen Datei- und Ressourcenfreigaben restriktiv einschränken Zentrale Managementkomponente verwenden (Wireless Switching) 17,6% 26,3% 52,2% 62,5% Große Institutionen (> 250 Mitarbeiter) Mittlere Institutionen ( Mitarbeiter) Kleine Institutionen (10-50 Mitarbeiter) Kleinstinstitutionen (< 10 Mitarbeiter) Pflege der Dokumentation regelmäßig durchführen 44,4% 69,6% Messplanung durchführen (Ermittlung der Signalstärke) 15,0% 53,8% 0% 20% 40% 60% 80% Eingesetzte Sicherheitsmaßnahmen in Prozent Seite 17

18 Hypothese 5: Unternehmen und Behörden, die ein IT- Sicherheitsmanagement besitzen, setzen mehr Maßnahmen ein, als Institutionen ohne IT-Sicherheitsmanagement. Unternehmen und Behörden mit IT-Sicherheitsmanagement 29,7% 36,3% 60,6% 51,2% Organisatorische Maßnahmen vor der WLAN-Inbetriebnahme Organisatorische Maßnahmen während des WLAN-Betriebs ohne IT-Sicherheitsmanagement 32,0% 29,6% 20,0% 35,5% Hardware-technische Maßnahmen Software-technische Maßnahmen 0% 20% 40% 60% 80% Eingesetzte Sicherheitsmaßnahmen in Prozent Ø Einsatzhäufigkeit mit IT-Sicherheitsmanagement = 45,5% Ø Einsatzhäufigkeit ohne IT-Sicherheitsmanagement = 32,0% Seite 18

19 Agenda Motivation und Zielsetzung Vorbereitung und Durchführung der Untersuchung Ergebnisse der Untersuchung Zusammenfassung und Ausblick Seite 19

20 Zusammenfassung mehr organisatorische als technische Maßnahmen im Einsatz Hauptgründe für den Nichteinsatz: Unkenntnis, hoher Implementierungs-/Betriebsaufwand und zu geringe Wirkung häufig Nutzung weiterer Maßnahmen in Planung IuK-Unternehmen nicht mehr führend beim Einsatz von Maßnahmen Wissen über Maßnahmen in kleinen und großen Unternehmen und Behörden vergleichbar Einsatz einzelner Maßnahmen signifikant abhängig von der Größe der Institution intensiverer Maßnahmeneinsatz in Unternehmen und Behörden mit IT-Sicherheitsmanagement, insbesondere mehr org. Maßnahmen Seite 20

21 Fazit und Ausblick detaillierte Aussagen über WLAN-Sicherheit in deutschen Unternehmen und Behörden Zusammenhänge zwischen unternehmensspezifischen Merkmalen und dem Einsatz einzelner Maßnahmen keine Zufallsstichprobe (explorative Resultate) keine Berücksichtigung der Wirkung von Sicherheitsmaßnahmen Wiederholung der Untersuchung (Trendanalysen) Weiterentwicklung des Maßnahmenkataloges (Wirkung der Maßnahmen) Seite 21

22 Vielen Dank für Ihre Aufmerksamkeit! Dr. Daniel Fischer, Dr.-Ing. Bernd Markscheffel Technische Universität Ilmenau PF Ilmenau {daniel.fischer