Kontakt: guardian@wickhill.de Ausgabe 01/2011 1.50 The Guardian Wick Hill Kommunikationstechnik GmbH Ihr value added distributor Bildquelle: shutterstock lösungsansatz Absicherung von Web-Anwendungen Seite 2 Essay Menschliches Versagen und Sicherheit in der IT Seite 4 Branchentalk Schwerpunktthema: Virtualisierung Seite 6 Bildquelle: plainpicture Liebe Liebe Guardian- LeserInnen, liebe Freunde von Wick Hill, nicht nur bei unserer Hausmesse Anfang Februar habe ich immer wieder gehört, wie stark der Jahresauftakt für viele gelaufen ist ein gutes Zeichen, es geht voran! Auch wir haben einen rasanten Start ins neue Jahr hingelegt und fünf neue Hersteller ins Wick Hill- Portfolio aufgenommen: IronKey, SEPPmail, Sipera, Reddoxx sowie WebTitan/ SpamTitan. Mit diesen fünf neuen Playern stellen wir uns nicht nur optimal für den Bereich Unified Communications auf, sondern auch für weitere Trendthemen Verschlüsselung, Datensicherung sowie langfristige Archivierung, denn Unternehmen möchten natürlich ihre UC-Anwendungen leicht integrieren, den E-Mail-Server entlasten und E-Mails gesetzeskonform archivieren. (Seite 7) Auch Virtualisierung bleibt ein Dauerbrenner. Dabei wird es mehr denn je darauf ankommen, auf das richtige Konzept zu setzen und sich als Channelpartner permanent Know-how in Sachen Beratung aufzubauen. Ich möchte Ihnen dazu unseren Branchentalk mit Christian Vogt von Fortinet ans Herz legen, zu lesen auf Seite 6. Wie zu Beginn schon erwähnt war unsere Hausmesse ein voller Erfolg und sicherlich ein unvergessliches Erlebnis zu Jahresbeginn. Unsere Gäste nutzten nicht nur die Gelegenheit, sich über die neuesten Trends in der IT-Sicherheit zu informieren, Workshops zu besuchen und wertvolle Kontakt zu knüpfen, sondern genossen es sichtlich, im renommierten Aquarium des Tierpark Hagenbeck zwischen Haien und tropischen Pflanzen den Tag bei unserer Award-Verleihung ausklingen zu lassen. (Seite 5) Nun wünsche ich Ihnen viel Spaß beim Lesen und besuchen Sie uns auf der CeBIT! Sie finden uns in Halle 11, Stand A38! Helge Scherff Sales Director Wick Hill Laut Voraussagen der Analysten steht ein turbulentes Jahr 2011 mit zahlreichen neuen Herausforderungen im Rahmen der IT-Sicherheit bevor. Zu den zehn von WatchGuard identifizierten Gefahrenquellen und Ansatzpunkten gehören insbesondere die Themen Social Media oder der Schutz geistigen Eigentums. Aber auch die wachsende Angriffsfläche von Unternehmensnetzwerken aufgrund des erhöhten Bedarfs der mobilen Datenabfrage via Laptop oder Smartphone rückt in den Fokus. Hier gilt es, den Angreifern stets den entscheidenden Schritt voraus zu sein. Der Siegeszug sozialer Netzwerke ist nicht mehr aufzuhalten. Mehr als zehn Millionen Deutsche nutzen beispielsweise aktuell schon Facebook und die Plattform gewinnt auch im Geschäftsalltag immer mehr an Bedeutung. Zahlreiche Unternehmen präsentieren sich inzwischen selbst über ein eigenes Facebook-Profil. Dabei sollten sie jedoch die damit einhergehenden Sicherheitsbedrohungen von Anfang an im Griff haben. Neben dem Posten von Inhalten durch Mitarbeiter geht vor allem von Apps ein enormes Risiko aus. Mehr als 550.000 stehen allein der blauen Community zur Verfügung. Hinzu kommen Skype, Twitter und weitere Anwendungen, die aktiv Daten durch das Internet schicken und somit auch Malware, Viren oder Trojanern die Türen öffnen. Die Neuentwicklung Application Control als zusätzlicher Dienst der leistungsstarken WatchGuard XTM-Appliances schließt diese Sicherheitslecks: Das Abonnement ermöglicht individuell anpassbare Einschränkungen, welche Applikationen in welcher Form über das Unternehmensnetzwerk anwendbar sind. In Kombination mit den XCS-Lösungen lässt sich auch kontrollieren, welche Inhalte via Web und Mail im fokus Facebook, VoIP & Co. WatchGuard zückt gegenüber Gefahrentrends 2011 gezielt die Waffen nach außen gelangen. Denn der Wert vieler Unternehmen liegt schon lange nicht mehr allein in physikalischer Form wie bei Produkten vor, sondern versteckt sich in digitalen Informationen, die leicht via moderner Kommunikationsmöglichkeiten nach draußen gelangen. Hier können über die XCS-Appliances Vorkehrungsmaßen entlang der Policy einfach umgesetzt und vertrauliche Informationen geschützt werden. Für die Weiterentwicklung von Sicherheitsrichtlinien ist ein funktionierendes Reporting elementar. Bewegungen beim Datenverkehr bildet WatchGuard mit seinen Lösungen in übersichtlicher Form ab und ermöglicht jederzeit Auswertungen zu den Daten und Anwendungen, aber auch Gefahren, die im Unternehmensnetzwerk eine Rolle spielen. So können Sicherheitsmaßnahmen gegebenenfalls bedarfsorientiert erweitert werden für einen optimalen Schutz der Netzwerke auf dem neuesten Stand der Technologie. /watchguard REDDOXX E-Mails gesetzeskonform, TÜV-geprüft und sicher archivieren Unternehmen sehen sich im Geschäftsalltag zunehmend Risiken gegenüber, die das Kommunikationsmedium E-Mail trotz aller Vorteile mit sich bringt... WatchGuard Erfolgsrezept: Extrem einfach und extrem sicher... weiter auf Seite 4 WatchGuard integriert über SecureMail ab sofort E-Mail-Verschlüsselung. Der Schutz vertraulicher Informationen......weiter auf Seite 3 Kaspersky Lab Kaspersky Open Space Security Version 8.0 Optimaler Schutz für dynamische Netzwerke... Fortinet Absicherung von Web-Anwendungen...weiter auf Seite 3 Web-Anwendungen nutzt nahezu jeder wie selbstverständlich und es ist ebenso selbstverständlich......weiter auf Seite 2 Wick Hill Wick Hill auf CeBIT 2011 Nach dem erfolgreichen Messeauftritt im letzten Jahr hat......weiter auf Seite 6
2 Wick Hill Guardian Ausgabe 01/2011 Absicherung von Web-Anwendungen Schutz von Portalen, Shops & Co. - Autor: Jörg von der Heydt, Fortinet Web-Anwendungen nutzt nahezu jeder wie selbstverständlich und es ist ebenso selbstverständlich, dass sie auch funktionieren. War in der Vergangenheit oft nur die Rede von reinen Business-Anwendungen für Mitarbeiter wie E-Mail-Portalen, CRM-Portalen etc., so ist das Thema inzwischen in vielen Lebensbereichen mehr oder minder für jeden Internetnutzer relevant. Provisioning-Portale unterstützen das Einrichten und Verwalten von Mobilfunk- oder Festnetz-Konten. Das Gleiche gilt für private E-Mail-Konten, die Verwaltung des eigenen Nutzerprofils beim Online-Shopping, behördliche Formulare, Universitäts- und Schüler-Portale. B2B Web-Anwendungen nicht wegzudenken Innerhalb von Unternehmen kommunizieren inzwischen Abbildung 1 ebenfalls nahezu alle Applikationen auf Basis von XML, einer MarkUp-Sprache, die den einheitlichen Austausch von Daten zwischen völlig unterschiedlichen Anwendungen ermöglicht. Mithilfe XML-basierender Webservices können so auf einfache Weise Daten zwischen ERP-, CRM-, Office-, CMS- oder Produktionssystemen ausgetauscht werden. Die Manipulation eines solchen Dienstes hätte für ein Unternehmen u.u. fatale Folgen. Kurz: Fast jeder nutzt auf irgendeine Weise (oft unbemerkt) Web-Anwendungen und glaubt (oder hofft), dass seine (oft sehr sensiblen) Daten dort auch sicher sind. Sicherheitslücken vorprogrammiert Natürlich bemühen sich die Online-Portale, -Shops und sonstigen Unternehmen mit Online- Diensten und -Zugängen um Sicherheit, doch diverse Faktoren beeinflussen entweder die Sicherheit der Benutzerdaten selbst oder aber die Funktionsfähigkeit der jeweiligen Web-Applikationen. Nicht umsonst sind immer noch zahllose Online-Shops mit einfachen Mitteln manipulierbar und können (auch große) Online-Portale leicht gestört und für die Betreiber des einen oder anderen hohe Kosten verursacht werden. Die Ursache hierfür liegt in der Programmierung von Web-Anwendungen, die in der Regel auf bestimmte Funktionalität und auf eine möglichst schnelle Verfügbarkeit bei geringen Kosten abzielt. Das Einbinden der notwendigen Sicherheits-Algorithmen erfordert jedoch einen mit zunehmender Komplexität der Anwendung immens steigenden Programmieraufwand, was wiederum Kosten erhöht und die Auslieferung verzögert. Gleiches gilt für die ständigen Updates der Anwendung, die nur noch selten statisch und unverändert bleibt. Security in eine Web-Applikation einzubinden, stellt somit eine große Herausforderung dar und wird daher in den meisten Fällen schlicht vernachlässigt oder nur oberflächlich umgesetzt. Betrachtet man Abbildung 1 wird deutlich, wie eng ein harmlos wirkendes Portal mit der internen Infrastruktur des Unternehmens verzahnt ist. Ein erfolgreicher Angriff hat somit offensichtlich nicht nur Auswirkungen auf die Verfügbarkeit und Funktionsweise des Portals selbst, sondern unmittelbar auch auf wesentliche interne Daten und Prozesse. Auch ein Online-Shop ist oft direkt mit internen Prozessen für Fertigung, Bestellwesen, Logistik und Datenbanken für Artikelstämme, Fertigungsteile und natürlich Kunden- und deren Bank- und/ oder Kreditkartendaten verknüpft. Viele kleine und auch große Unternehmen machen sich nicht bewusst, wie stark die eigenen Umsätze von der Verfügbarkeit der beschriebenen Portale, Shops oder anderer Anwendungen abhängen. Auch die eigentliche Produktionsumgebung oder Kernkompetenz Dienstleistung verfügbar sind, kann ein Ausfall beim Bestellwesen (Shop), der Auftragsabwicklung (Logistik, Kundendatenbanken) oder der Fertigungssteuerung katastrophal enden und große Verdienstausfälle nach sich ziehen. Zudem sind Unternehmen zum Beispiel im Bankenbereich auch aus Compliance-Gründen zum Einsatz von diversen Security Lösungen wie einer Web Application Firewall mit entsprechendem Reporting und Schwachstellen-Management der Applikationen verpflichtet. Das regelt der PCI DSS (Payment Card Industry Data Security Standard), der Kreditkartentransaktionen schützen soll. Er wurde als Konsequenz auf die zunehmenden Angriffe auf Web-Anwendungen und -Services eingeführt. Angriffe erkennen Eine normale Firewall auch wenn sie über IPS und Applikationskontrolle verfügt ist nicht in der Lage, Web-Service-basierende Angriffe zu erkennen und abzuwehren. Web Services sind die den Web-Applikationen zugrundeliegenden Funktionen, welche oft von mehreren Anwendungen gleichzeitig genutzt werden. Diese Web Services bedienen sich einer eigenen Beschreibungssprache (WSDL) und eines eigenen Protokolls (SOAP). Sowohl WSDL als auch SOAP beinhalten keinerlei Security-Mechanismen, beschreiben bzw. übertragen aber alle Parameter eines Web-Dienstes transparent. Es ist klar, dass Manipulationen dieser Services somit sehr leicht möglich sind. Ein Beispiel hierfür sind XDoS-Attacken, die auf nur einem einzigen System mit wenigen Byte Code erzeugt werden können, da in XML rekursive Strukturen erlaubt sind. Mit einem simplen Eingriff ist so beispielsweise eine Endlosschleife programmierbar die denselben Effekt hat, wie ein normaler DoS-Angriff, für den in der Regel mehrere tausend Systeme manipuliert und fremdgesteuert werden müssten. Ein weiterer typischer Angriff auf Web-Anwendungen und -Seiten ist das Verändern von Dateien, die Teil der Applikation oder der Website sind. Derartige Veränderungen erkennt eine normale Firewall und meist auch die Applikation selbst nicht, weil sie in der Infrastruktur an einem anderen Punkt im Netzwerk integriert ist. Eine Web-Applikation-Firewall befindet sich meist direkt vor der entsprechenden Web Server Farm und kann somit auch direkt Files auf den Servern untersuchen und Veränderungen an Dateien sofort erkennen (Anti-Defacement). Die Liste der möglichen Angriffe ist lang und erinnert in der Namensgebung an bekannte Attacken aus der klassischen Infrastruktur- und Applikations-Welt. Zu den bekanntesten Attacken zählen sicher Cross-Site-Scripting oder SQL-Injection. Performance sichern Schließlich gilt es, neben einer ausreichenden Sicherheit auch die Performance von Web-Applikationen sicherzustellen. Die Zahl der Transaktionen nimmt ständig zu und die Schnelligkeit bei den Antwortzeiten bestimmen über die Nutzung und den Erfolg oder Misserfolg der jeweiligen Anwendung. Der Nutzer steigt oft sehr schnell auf einen anderen Anbieter um, wenn eine Applikation zu langsam reagiert oder sogar für einen Zeitraum nicht verfügbar ist, denn für nahezu alle Online- Angebote gibt es inzwischen leicht auffindbare Alternativen. Gründe für schlechte Reaktionszeiten einer Web- Anwendung liegen häufig in einer nicht mehr den Anforderungen entsprechenden Dimensionierung der Web Server Farm. Zudem stellt jeder einzelne Web-Server Dienste bereit, die die Leistungsfähigkeit der Hardware mitunter stark beeinträchtigen. Dazu zählen rechenintensive Services wie SSL- oder XML Encryption und -Decryption ebenso wie XML-Security-Validierung. Durch das Bereitstellen des notwendigen Zertifikats auf der vorgeschalteten Web Firewall, kombiniert mit diversen weiteren Optimierungs-Routinen wie Load Balancing oder XML-based Routing, kann eine externe Appliance die Web-Server signifikant entlasten. Das resultiert in mehr möglichen Transaktionen und kann sogar zu einer Reduktion der benötigten Server führen. Schwachstellen automatisch identifizieren Web-Applikationen werden unter Zeitdruck entwickelt und sind ferner durch häufige Updates/Patches und Erweiterungen sehr fehleranfällig. Manchmal kann der Anwender erkannte Schwachstellen auch durch Neu-Konfiguration oder Patchen der Anwendung abstellen. An dieser Stelle sind Hilfsmittel gefragt, die kontinuierlich und automatisiert die eingesetzten Web-Anwendungen auf Sicherheitsdefizite hin scannen und entsprechende Reports generieren. Lösungsansätze Eine gewissenhafte Analyse von Abhängigkeiten zwischen kritischen Geschäftsprozessen und den dahinterliegenden Web-Diensten ist enorm wichtig. Häufig kommt es dann zu einem mehrstufigen Ansatz: Einsatz einer Web Application Firewall, dedizierter Schutz von XML-Services und Beschleunigung der Web-Anwendungen. Aus Sicht des Anwenders sind hier integrierte Lösungen ideal, die die genannten Schutz- und Optimierungs- Maßnahmen kombiniert zur Verfügung stellen. Dies erspart Zeit für Einarbeitung und Konfiguration, da nur eine einzige Benutzeroberfläche und Nomenklatur zu erlernen ist. Überdies gewährt eine nahtlose Integration der verschiedenen Module höhere Transparenz auch hinsichtlich der Wirksamkeit der Maßnahmen, bessere Performance und deutlich geringere Kosten für Betrieb und Updates. Fortinet schützt Web-Anwendungen Fortinet verfügt über jene integrierten Web-Security Appliance-Lösungen mit unterschiedlichen Leistungsdaten aber einheitlichem Feature-Set für Unternehmen jeder Größe, Application Service Provider (ASPs) und SaaS-Anbieter. FortiWeb stellt neben den Modulen Web Application Firewall, XML Firewall und Web Traffic Optimizer auch ein Applikations-basierendes Load Balancing und einen leistungsfähigen Schwachstellen-Scanner bereit. Mit der Möglichkeit des Auto-Learning ist es überdies möglich, den Traffic zu Web-Anwendungen regelmäßig zu analysieren und entsprechende Security-Profile automatisiert zu erstellen ohne Eingriff in die vorhandene Netzwerkinfrastruktur oder die zu schützende Applikation. Ein Policy Wizzard sowie voreingestellte Regelwerke erleichtern den Einsatz und die Inbetriebnahme der FortiWeb Appliances ebenso wie die verschiedenen Anwendungsszenarien als Transparent Inspection, Reverse oder True Transparent Proxy, sowie Offline. Damit gelingt die Absicherung von Web-Portalen spielend. Weitere Informationen unter www.fortinet.com. /fortinet
Wick Hill Guardian Ausgabe 01/2011 3 Kaspersky Open Space Security Version 8.0 Optimaler Schutz für dynamische Netzwerke Mit den kürzlich vorgestellten neuen Unternehmensprodukten weitet Kaspersky Lab den mehrstufigen Schutz der Kaspersky Open Space Security auf weitere Plattformen aus - darunter Mac OS, Blackberry und EMC-Celerra-Server. Auch die Performance der Antiviren-Engine wurde erfolgreich verbessert. Kaspersky Open Space Security ist ein integriertes Sicherheitspaket, das nahtlos über alle Plattformen hinweg funktioniert. Es bietet zuverlässigen Schutz vor allen Arten von IT-Gefahren für das gesamte Unternehmen. Workstations, Notebooks, Datei- und Mail-Server, Internet-Gateways sowie Smartphones im Netzwerk sind umfassend geschützt egal, ob im Büro, zuhause oder unterwegs. Dabei wurde berücksichtigt, dass viele Firmennetze aus komplexen Strukturen bestehen, in denen eine Vielzahl unterschiedlicher Hardware- und Betriebssysteme zum Einsatz kommt. Linux, FreeBSD, Mac OS Symbian, Windows Mobile, Blackberry Novell NetWare Microsoft Exchange Server Microsoft ISA Server und Forefront TMG Lotus Domino Ferner wurde die Lösung als Citrix ready und VMware ready zertifiziert. Besonderes Augenmerk wurde auch auf den Schutz mobiler Mitarbeiter gelegt: Da diese außerhalb des geschützten Firmennetzes agieren, können spezielle Richtlinien für die mobile Nutzung eingerichtet werden. Neben Laptops mit Windows oder Linux und den immer beliebteren Smartphones können jetzt auch Mac-Notebooks mit Kaspersky-Software abgesichert werden. Einfache und zentrale Steuerung Um den Roll-out und den Betrieb der Schutz- Komponenten möglichst einfach zu gestalten und jederzeit einen schnellen Überblick über den Sicherheitsstatus des Netzwerks zu bekommen, können über das kostenlose Kaspersky Administration Kit bequem alle Komponenten zentral gesteuert und verwaltet werden. So sieht der Administrator zum Beispiel auf einen Blick, wie viele Office-Pakete im Umlauf sind, welche Versionen eingesetzt werden, und welche SAP- Clients ein Update benötigen. Solche Endpoint- Management-Fähigkeiten liefern auch wichtige Informationen für die Anbindung an ein unternehmensweites Network-Access-Control-System. Kaspersky Lab unterstützt hier sowohl Cisco NAC als auch NAP von Microsoft. Kaspersky Endpoint Security für Smartphones Umfassende Schutzlösung für Windows Mobile, Symbian und jetzt auch Blackberry-Geräte, inklusive verbessertem Diebstahl-Schutz mit GPS- Ortung. Kaspersky Anti-Virus für Windows Server Enterprise Edition Schutz für Hochleistungs-Server mit neuer, verbesserter Antiviren-Engine, jetzt auch mit Unterstützung von Microsoft Windows Server 2008 R2. Kaspersky Anti-Virus für Linux File Server Schutz für Datei-Server unter Linux und FreeBSD mit Unterstützung des Samba-Servers und der neuen Kaspersky Web Management Konsole. Kaspersky Anti-Virus für Microsoft ISA Server und Forefront TMG Standard Edition Schutz für Microsoft ISA Server und Forefront TMG und Unterstützung von Windows 2008 R2, mit Mailscan auf POP3 und SMTP. Kaspersky Anti-Virus für Storage-Lösungen Echtzeit-Schutz von EMC-Celerra-Speichersystemen. /kaspersky GroSSer Schutz für kleine Unternehmen: Ebenfalls neu ist Kaspersky Small Office Security ein Sicherheitspaket für kleine Betriebe mit bis zu fünf PCs und einem Datei-Server. Modular ausbaufähig schützen die Unternehmenslösungen von Kaspersky Lab alle Knoten in Unternehmensnetzen Kaspersky Open Space Security schützt daher alle wichtigen Plattformen: Windows und Windows Server Folgende Lösungen sind neu im Produktportfolio der Kaspersky Open Space Security hinzugekommen oder wurden grundlegend überarbeitet: Kaspersky Endpoint Security für Mac Zuverlässiger Schutz für Apple-Rechner. Neben Mac-Malware werden auch Windows- und Linux-Schädlinge erkannt und an einer Verbreitung über das Firmennetzwerk gehindert. Kaspersky Endpoint Security für Linux Schutz für Linux-Workstations mit neuer, verbesserter Antiviren-Engine. Kaspersky Security für Microsoft Exchange Server Schutz für Microsoft Exchange Server 2007 und 2010 mit neuer, verbesserter Anti-Viren- und Anti-Spam-Engine sowie kundenspezifischen Black/Whitelists. Kaspersky Anti-Virus für Lotus Domino Schutz für Lotus Domino 8.0 und 8.5 für Windows und Linux mit neuer, verbesserter Anti-Viren-Engine. Version 8.0 der Kaspersky Open Space Security: Neue, verbesserte Antiviren-Engine Zentrales Management Support von Server-Clustern On-Demand-Scans und Echtzeit-Schutz Unterstützung aller wichtigen Plattformen Bis zu sieben Mal höhere Performance Erfolgsrezept: Extrem einfach und extrem sicher WatchGuard integriert über SecureMail ab sofort E-Mail-Verschlüsselung Der Schutz vertraulicher Informationen rückt auf der Agenda von Unternehmen weltweit immer höher. Die Herausforderung besteht vor allem darin, eine funktionierende E-Mail-Verschlüsselungstechnologie in bestehende Sicherheitskonzepte einzubinden, ohne dass der Kommunikationsfluss zwischen Kollegen, Kunden und Partnern beeinträchtigt wird. Diesem Problem hat sich WatchGuard gestellt und bietet ab sofort SecureMail für alle Produkte der XCS-Reihe. Mit der neuen Verschlüsselungsfunktion werden ausgehende Mails direkt über die XCS-Plattform chiffriert. Der Clou daran ist, dass mit der neuartigen Identitity Based Encryption ein zusätzlicher Kodierungsserver oder spezielle Software beim Anwender überflüssig sind. Die entsprechende Nachricht bleibt solange vor unerlaubten Zugriffen geschützt, bis sie beim gewünschten Empfänger angekommen ist und durch einen einfachen Authentifizierungsprozess wieder dekodiert wurde. Und so funktioniert s Der Mitarbeiter schickt wie gewohnt seine E-Mail ab. Diese trifft zunächst auf die WatchGuard XCS- Appliance, wo Inhalte über Muster- und Datenerkennung mit den vordefinierten Sicherheitsrichtlinien automatisch abgeglichen werden. Ist laut Policy eine Verschlüsselung notwendig, generiert der Cloud-basierte SecureMail-Service entsprechende Kodierungsschlüssel, die auf den Mail-Adressen von Sender und Empfänger basieren. Die Nachricht selbst wird als HTML-Attachment via E-Mail übermittelt und lässt sich vom adressierten Empfänger über jeden Webbrowser öffnen selbst auf mobilen Geräten wie dem Smartphone. Weitere Software ist nicht erforderlich. Doch damit nicht genug: Sowohl Mitarbeiter als auch Administrator können jederzeit den Status der individuell verschlüsselten Informationen einsehen. Darüber hinaus gehören der Nachrichtenrückruf oder die Definition eines Ablaufdatums der Information zum Repertoire der neuen Lösung. Selbst E-Mails mit Datenvolumina von 20 bis 100 MB sind kein Problem. Somit ist SecureMail die optimale Ergänzung der bestehenden Funktionalität der Content-Security-Plattformen von WatchGuard ganz im Sinne der Kunden. /watchguard
4 Wick Hill Guardian Ausgabe 01/2011 Essay Menschliches Versagen und Sicherheit in der IT Oder: Was Adam und Eva mit verschlüsselten USB-Sticks zu tun haben. Von Julia André Bildquelle: shutterstock Seit Adam und Eva tritt menschliches Versagen immer wieder in der einen oder anderen Form auf. Haben Sie sich schon einmal von einem Internetcafé aus in Ihr Firmennetzwerk eingeloggt? Dann haben Sie IT-technisch bereits in den verhängnisvollen Apfel gebissen. Im Gegensatz zu Adam, der nur einer überschaubaren Anzahl an Versuchungen widerstehen musste, stehen Mitarbeiter von Unternehmen unzähligen Technologien gegenüber, die alle versprechen, die Arbeit schneller, besser und smarter zu machen. Mal ehrlich: Die Mehrheit der Mitarbeiter denkt nicht wirklich ernsthaft über die IT-Sicherheitsrisiken nach, bevor sie sich mit ihrem Gerät vom Zug nach Hause aus in das firmeneigene Netzwerk einklinken, um den Berg von E-Mails zu bearbeiten, der ihren Posteingang verstopft. Falls also Unternehmen damit leben müssen, dass ihre Mitarbeiter nicht zuverlässig bei jeder Aufgabe an die IT-Sicherheit denken bedeutet das dann auch, dass das Bankkonto der Datenschutzbehörde überquillt, wenn alle Unternehmen, die nachlässig oder vorsätzlich die Regeln des Datenschutzes verletzen, mit Geldstrafen in Höhe von mehreren Hunderttausend Euro belegt werden? Diese Möglichkeit besteht durchaus. Der finanzielle Schaden, der durch menschliches Versagen angerichtet Die Mehrheit der User denkt nicht wirklich über die IT-Sicherheitsrisiken nach - wenn bemerkt wird, dass der Apfel sauer war, ist es meist schon zu spät... werden kann, ist jedoch noch deutlich höher Sie kennen sicher Berichte über Unternehmen, die Opfer von Bankbetrügereien wurden. Bedenkt man die Gefahren menschlichen Versagens und die potenziellen Auswirkungen auf ein Unternehmen, so mag es überraschend erscheinen, dass ein Lösungsansatz für dieses Problem in Gestalt eines verschlüsselten USB-Sticks daherkommt. USB-Sticks wurden bislang allgemein eher als Risiko für die IT- Sicherheit betrachtet. In Wirklichkeit aber können diese kleinen Geräte Unternehmen die Möglichkeit bieten, ihren Mitarbeitern eine sogenannte trusted compute platform zur Verfügung zu stellen das bedeutet, dass die kleinen Datenträger viel mehr können als nur Daten speichern und portabel zu machen. Das Sicherheitsrisiko, das bislang dem mobilen Mitarbeiter anhefetete, wird mit verschlüsselten USB-Sticks rapide eingegrenzt. Mit dem Attribut veschlüsselt erhält der einst so verschmähte USB- Stick eine neue Daseinsberechtigung im Unternehmensumfeld dass der kleine Datenträger praktisch ist, stand im Grunde immer ausser Zweifel. Welche Technologie steckt nun dahinter? Ein verschlüsselter USB-Stick kann zentral gemanagt werden. So behält die IT-Abteilung die Kontrolle darüber, welche Zugriffe möglich sind und kann darüber hinaus auch die neueste Desktop-Virtualisierungstechnologie einsetzen. Durch die Absicherung der Anwendungen, Daten und damit verbundenen Workspace- Ressourcen des Nutzers, stellt diese Lösung einen effektiven Ansatz für Unternehmen dar, um den mobilen Mitarbeitern eine äußerst sichere Rechenumgebung zur Verfügung zu stellen. Das sogenannte Trusted Virtual Computing ist ein idealer Weg zur Sicherstellung von Business Continuity und Telearbeit und ermöglicht die sichere portable Virtualisierung auch bei Verbindungsabbrüchen oder beschränkter Bandbreite. Solche Lösungen kommen auch mit den schwersten Sicherheitsproblemen zurecht, inklusive Schutz vor Rootkits und Trojanern, die es auf die Bankgeschäfte des Unternehmens abgesehen haben. Ausgestattet mit der Fähigkeit zum Betrieb eines kompletten Desktop einschließlich Betriebssystem, spezieller Applikationen und Dateien von einem sicheren und portablen Rechner aus, können Anwender bei minimaler Investition und ohne Sicherheitslücken so von der Virtualisierung profitieren. IronKey hat hochsichere USB Flash Drives mit zentralem Management, interner V hlüsselung, Anti-Malware, Remote Überwachung und Diebstahlschutz Eine solche sichere Rechenumgebung verbessert nicht nur die Sicherheit beim Fernzugriff, sondern fördert auch die unternehmensweite Reduzierung der IT-Kosten. Was jedoch noch wichtiger ist: Die Mitarbeiter erhalten so die Möglichkeit, flexibel und effizient zu arbeiten, ohne das Risiko fürchten zu müssen, dass ein einziger Fehler das Unternehmen ein kleines Vermögen kosten kann. /ironkey E-Mail-Archvierung - All In-One-Lösung REDDOXX 2.0 Gesetzeskonform, TÜV-geprüft und sicher Seien es Spam-Wellen, Hackerangriffe oder Phishing-Attacken Unternehmen sehen sich im Geschäftsalltag zunehmend Risiken gegenüber, die das Kommunikationsmedium E-Mail trotz aller Vorteile mit sich bringt. Zudem sorgt die vom Gesetzgeber geforderte rechtssichere Aufbewahrung elektronischer Nachrichten für Verwirrung. IT-Verantwortliche sollten daher auf ein ganzheitliches Management-System setzen, das neben dem Sicherheitsfaktor auch den Bereich gesetzkonforme E-Mail-Archivierung abdeckt. Eine entsprechende Komplettlösung bietet die E-Mail-Manage-ment-Lösung REDDOXX 2.0. Sie kombiniert die drei Module TÜV-geprüfte E-Mail-Archivierung, Spam- und Virenschutz sowie digitale Signatur und E-Mail-Verschlüsselung. Die elektronische Korrespondenz stellt aufgrund ihrer Relevanz im Geschäftsverkehr einen der wichtigsten und wertvollsten Datenbestände eines Unternehmens dar. Der Verlust dieser digitalen Informationen zieht oftmals enorme betriebwirtschaftliche Schäden nach sich häufig verbunden mit einem Imageverlust der betroffenen Unternehmen. Auch die gesetzlichen Anforderungen im Bereich Datenschutz, Informations- und Netzwerksicherheit stellen IT-Verantwortliche vor neuen Herausforderungen bezüglich der Einhaltung rechtlicher Vorgaben hinsichtlich Aufbewahrung, Wiederherstellung, Übertragung und Löschung vertraulicher Dokumente. Als professionelle Lösung empfiehlt sich daher ein ganzheitliches E-Mail-Management-Produkt wie REDDOXX 2.0. Die Komplettlösung stellt dabei nicht nur die Compliance sicher: Das All-in-One-System unterstützt mit den Modulen E-Mail- Archivierung (MailDepot), 100% Spamschutz (Spamfinder) sowie E-Mail-Verschlüsselung und -Signatur (MailSealer) Unternehmen generell bei der Verwaltung ihrer elektronischen Nachrichten. TÜV-geprüfte Archivierung mit E-Mail-Suchmaschine MailDepot Der TÜV Saarland überprüft objektiv und neutral Lösungen auf gesetzeskonforme Archivierung und zeichnet diese mit einem Qualitätssiegel aus. So wurde auch die REDDOXX-Lösung MailDepot einer ausführlichen Prüfung unterzogen. Das Produkt entsprach während der Untersuchung allen Kriterien und konnte mit seinem weit reichenden Funktionsumfang überzeugen. Damit können sich Anwender einer revisions- und manipulationssicheren, Compliance-gerechten Archivierung gewiss sein. Mit dem Modul MailDepot gehört das zeitraubende Sortieren und Durchsuchen der elektronischen Post der Vergangenheit an. Auch das Wiederherstellen gelöschter Nachrichten stellt für den Anwender damit kein Problem mehr dar. Denn das gesetzeskonforme Archivierungssystem erfasst automatisch alle Nachrichten und speichert diese dauerhaft in einem vom Mailserver unabhängigen Archiv. Auf die dort hinterlegten E-Mails kann der User via integrierter E-Mail-Suchmaschine jederzeit zugreifen, diese individuell klassifizieren und bei Bedarf weiterverarbeiten. Für eine konsistente Speicherung von Archivdaten mit Zukunftssicherheit sollten Unternehmen darauf achten, dass die eingesetzte Lösung Marktstandards entspricht und zertifiziert ist. Bei der externen Archivierung stellen beispielsweise integrierte Archivcontainer die Langzeitaufbewahrung und -lesbarkeit der Daten sicher. Datencontainer fungieren dabei als selbsttragende Archive. Erfolgt die Speicherung in Standardformaten wie EML oder MSG, ist der Zugriff auf die E-Mails auch herstellerunabhängig möglich und somit die Zukunftssicherheit der Lösung gegeben. Die einfache und zuverlässige Umsetzung der permanenten E-Mail-Archivierung von MailDepot bestätigt das TÜV-Zertifikat Geprüfte Archivierung. Weitere Informationen im aktuellen REDDOXX- Whitepaper E-Mail-Compliance: Gesetzliche Anforderungen bei der rechtskonformen Archivierung elektronischer Nachrichten unter: /reddoxx /reddoxx