IT-Sicherheit heute. Probleme - Herausforderungen - Lösungen. NetUSE AG WS15/16 FH-Kiel Cumputermuseeum

Transkript

1 IT-Sicherheit heute Probleme - Herausforderungen - Lösungen Dr. Roland Kaltefleiter rk@netuse.de WS15/16 FH-Kiel Cumputermuseeum 1

2 Über die Seit 1992 am Markt Seit 1994 IT-Security 2 eigene RZs in Kiel Zugriff auf RZ mit ISO 27001: 2013 Zertifizierung 70 Mitarbeiter 2014/2015: ca. 12,5 Mio Umsatz 2

3 Agenda Angriffe und Probleme Lösungen IT-Sicherheitsgesetz Safe-Harbor-Abkommen ungültig Was nun? 3

4 4

5 5

6 Quelle: 6

7 Dann war da noch. Der Bundestagshack In der Kurzfassung. Klassischer Angriff mit Spear-Phishing-Mail und folgend Drive-By-Download von Malware 7

8 Noch ein paar Zahlen aus einem Test der 1. Frage: Wer von ihnen hat einen Linux-Server, der mit Login/Passwort erreichbar ist, im Internet stehen? 2. Frage: Lesen sie dort auch mal die Systemlogs? Grundrauschen sind laufende Passwordscans aus Bot- Netzen ca. 1 Versuch / Sekunde => am Tag => 32 Mio. im Jahr Das sind Bots, die das Netz kartographieren! 8

9 Angriffsszenarien Massenangriffe im Privat-Bereich: Nachricht von DHL (etc.) Mail mit zip Nachricht von ihrer Bank Erstaunlich da bin ich ja gar nicht Kunde Woher wissen die, dass ich da Kunde bin: Beispiel: Die Postbank hat sich mit heute über 14 Millionen Kunden zur mit Abstand größten und aussichtsreichsten Privatkundenbank Deutschlands entwickelt. => ca jeder 6. hat ein Konto dort... 9

10 Ansatz Durch Social Engineering oder auch Layer- 8 wird versucht, sie zu einer Aktion, z.b. Ausführen eines Programms Öffnen eines Dokuments (PDF, Office, etc) Zugriff auf eine Website zu bewegen... 10

11 Security-Bugs (Auswahl) Flash: 9 kritische Bugs bisher in 2015 Aktuell Windows ( ): Quelle: Veröffentlichte Bugs, z.b. unter: 11

12 Beispiel: Komplexer gezielter Angriff Recherche liefert die Info, SIE arbeiten mit einem Coach X (Freiberufler) zusammen. Wer betreute die Webseite: Agentur Y in Klein Dorf Geziele Malware auf die (kleine) Agentur Ziel: PCs verseuchen, Keylogger installieren Zugangsdaten zu Webseite des Coaches abgreifen Webseite des Coaches vorbereiten für gezielten Malware-Download 12

13 Beispiel: Fortsetzung Spear-Phishing -Mail in Form eines Web- Newsletters an Führungspersonen Ihres Unternehmens vom Server des Coaches Bitte hier Klicken für mehr Infos... und schon kommt die Malware AV wird scheitern, weil die Malware unique ist Reputation wird scheitern, weil IP im Prinzip gut Malware war nur kurz auf dem Server Quelle: 13

14 Lösungen Nachdenken und lieber NEIN sagen! Das ist wie bei kleinen Kindern: Geh nicht mit Fremden mit, egal was man Dir verspricht! 14

15 Auch immer gerne genommen! Gratis-Software Ist die Quelle wirklich vertrauenswürdig? Brauche ich die wirklich? Kommerzielle Software, die es hier und heute als Schnäppchen oder umsonst gibt... APPs: Welche Zugriffe gebe ich der APP? Ist die APP vertrauenswürdig? 15

16 Praktische Tips: Flash deaktivieren Ad-Blocker aktivieren Immer in der Sicherheitsstufe Hoch Unbekanntes nicht öffnen oder darauf zugreifen Aktive Firewall und AV-Software Backup (!) 16

17 IT-Sicherheitslösungen Wer hat im Einsatz, übliche Verteilung: Gateway-Firewall (auch Next Generation) Anti-Virus und Personal-Firewall IDS IPS DLP? Network Access Control - NAC? VPN mit 2FA? Threadanalysis (Sandboxing)? Mobile-Security Data@Rest-Encryption SIEM 17

18 Management IT-Security Grundregel: Der Security-Breach wird kommen, bei jedem! Das ist wie im Straßenverkehr, sie können immer in einen Unfall verwickelt sein! Frage: Sind Sie auf solche Incidents vorbereitet? 18

19 Management IT-Security Awareness schaffen Offene Informationskultur Es kann jeden Mitarbeiter erwischen! Es gibt keine dummen Fragen! Security-Policy Muss verständlich sein! Maximal 50 Seiten! Jeder Mitarbeiter muss diese kennen und leben! 19

20 Management IT-Security Updates sofort einspielen! Auf allen Geräten! Trennung der IT in Zonen internes Firewalling Haben sie schon mal einen Angriff simuliert und den Umgang damit geübt? 20

21 Management IT-Security Bei einem KMU ist der monatliche Aufwand für die Security-Infrastruktur weniger als eine volle Stelle. Das Know-How muss immer aktuell sein! Eine Reaktion muss sofort erfolgen. Personal muss verfügbar sein (mind. 3 Personen, ggf. mehr) Hat das Personal praktische Erfahrung? => Ist das wirtschaftlich? 21

22 IT-Sicherheitsgesetz Trifft mich das? JA! Wer hat eine eigene Website/Homepage? Haben sie dort ein Kontaktformular? Hat der Server SSL? (Grundlage: Erhöhte Sicherheitsanforderungen für Telemedienanbieter ( 13 Abs.7 TMG n.f.): Telemediendienstanbieter, z.b. Betreiber von Webservern für Online-Shops, haben erhöhte Anforderungen an die technischen und organisatorischen Maßnahmen zum Schutz ihrer Kundendaten und der von ihnen genutzten IT-Systeme.) 22

23 IT-Sicherheitsgesetz Erster Schritt: Konkrete Anforderungen an Betreiber von KRITIS- Infrastruktur und Telekommunikationsanbieter Quelle: 23

24 IT-Sicherheitsgesetz Weitere Branchen können durch Rechtsverordnung folgen! => Holschuld Grundlagen für einen Mindeststandard > Wird sich auch in der Rechtsprechung (Schadensersatz) wiederfinden bzw. bei der Abgrenzung von Vorsatz und Fahrlässigkeit! Kettenreaktion: KRITIS-Firmen werden auch ihre Dienstleister verpflichten. 24

25 Safe-Harbor-Abkommen ungültig Was nun? Microsoft Office 365? Hmmm Microsoft: Deutsche Rechenzentren für Daten in der Cloud: Nicht erst seit Safe Harbor gibt es einen Markt für Clouddienste, bei denen die Daten nicht auf die ganze Welt verteilt werden. Microsoft will das mit zwei deutschen Rechenzentren und einem nicht unbekannten Datentreuhänder realisieren. (Anm: Telekom) Quelle. Heise, : 25

26 Safe-Harbor-Abkommen ungültig Was nun? Sie brauchen mit ihrem Anbieter eine Auftragsdatenverarbeitunsgvereinbarung gemäß den Anforderungen des BDSG. 26

27 Vielen Dank für ihre Aufmerksamkeit! Fragen? FH-Kiel WS15/16 Computermuseum 27