Cyber Security Good Practice Strategien für Prävention und Defence AFCEA Fachveranstaltung Herausforderung Cyber-Sicherheit 19.11.2012 Frank Reiländer, Unit Manager Information & Cyber Security, Logica Hennef
The new power of two²: Logica ist jetzt Teil von CGI Umsatz: ** C$10.4 Mrd Backlog: C$17.7 Mrd 72.000 Mitarbeiter in 41 Ländern Wir ergänzen uns perfekt: Geografische Präsenz Dienstleistungsangebot Ausrichtung auf unsere Kunden und ihre Branchen Anspruch, nur exzellente Lösungen zu liefern CGI ist weltweit der 6.größte unabhängige Anbieter von IT- und Geschäftsprozess- Dienstleistungen. CGI No. 2
Immer ganz in Ihrer Nähe: unser deutsches Team 2.500 Mitarbeiter in 13 Städten Managed Test Services: Nr. 1 Testing Leadership Award (Best Quality Institute, 2011) Bremen Hamburg Hannover Berlin Outsourcing: Nr. 1 Outsourcing Supplier to the Utilities Sector (PAC, 2011) Führender Business Innovation / Transformation Partner (8. Platz, Lünendonk, 2012)* Nr. 9 IT-Beratungs- und Systemintegrationsunternehmen (Lünendonk, 2012)* Düsseldorf Hennef Sulzbach Darmstadt Karlsruhe Frankfurt/M. Mannheim * Logica-Ranking für 2011 Leinfelden- Echterdingen München Strategische Partner No. 3
Agenda Begriffe Risiken Thesen Strategien Fazit 1 2 3 4 5 Cyber Security - ein Begriff? einheitliche Definitionen? CGI No. 4
Cyber Security über was reden wir eigentlich? Cyber-Abwehr * Cyber-Aktivisten * Cyber Attacks * Cybercrime * Cyber Defence * Cyber Espionage * Cyber-Kriminelle * Cyber-Politik * Cyber Power * Cyber-Raum * Cyber Security * Cyber-Sicherheit * Cyber-Terrorismus * Cyber Threats * Cyber Spying * Cyber Threat * Cyber War * Cyber Warfare Cooperative Cyber Defence Centre of Excellence * Cyber- Abwehrzentrum * Cyber Command * Cyber Incident Response Centre * Cyber Security Division * Cyber Security Operations Centre * Nationaler Cyber-Sicherheitsrat * Office of Cyber Security No. 5
Cyber Security über was reden wir eigentlich? man muss doch nur wissen, wo es steht Der Artikel Cyber-Sicherheit Security existiert in der deutschsprachigen Wikipedia nicht. No. 6
Agenda Risiken Thesen Strategien Fazit 2 3 4 5 Cybercrime-Vorfälle Cyber Attacks & Cyberwar App-solute Risiken CGI No. 7
Risiko Cybercrime Vorfälle und Schäden in Zahlen Rund ein Drittel der Cyber Security Issues geht auf Cybercrime zurück Schäden liegen bei Industrienationen (J, D, USA) bei 4 7 Mio. jährlich 1,1 1,8 erfolgreiche Angriffe/Tag auf Unternehmen u. Behörden (HP-Studie) mehr als 1% aller Online-Transaktionen sind Fraud-Verluste 70% des Fraud geht von internen Mitarbeitern aus Quellen: HP-Studie 2011, heise Security, Bundeslagebild Cybercrime 2011, BKA No. 8
Cyber Attacks Angriffsserien: Operation Aurora, RSA Auf den RSA-Einbruch folgen Angriffe auf Verteidigungsunternehmen: Lockheed Martin (30.05.2011) Northrup Grumman (01.06.2011) L3 Communications (01.06.2011) Hacking group Anonymous steals HBGary Federal s corporate e-mail HBGary Federal (07.02.2011) Operation Aurora kompromittiert mindestens 35 Unternehmen: Google, Yahoo, Adobe, Juniper, Rackspace, Symantec, Morgan Stanley, NG, Dow Chemical 9
Risiko Cyberwar Beispiel Stuxnet Quellen: ARD, No. 10
Risiko Applikationen zusätzlich zu Betriebssystemen 70% der Angriffe zielen aktuell auf Applikationen Smartphone-App s Drive-by-Exploits manipulierte PDF s No. 11
Agenda Thesen 3 Strategien 4 Schutz & Reaktion Information Schutzkonzepte Faktor Mensch Fazit 5 CGI No. 12
Cyber Attacks nicht Schutz, Reaktion ist entscheidend! Vorbereitungen zu Cyber-Angriffen sind wesentlich schwerer zu erkennen als in klassischen Kriegsszenarien. Der Angriff erfolgt oft aus heiterem Himmel. Er ist für Dritte nicht immer sichtbar. These 1 Es hilft niemanden, Vorfälle zu leugnen! Quelle: Symantec Internet Security Threat Report (ISTR) 2011 No. 13
Cyber Defence sind wir schon im Krieg? Ein großer Teil der Nachrichten, die man im Kriege bekommt, ist widersprechend, ein noch größerer ist falsch und bei weitem der größte einer ziemlichen Ungewißheit unterworfen. In der Regel ist jeder geneigt, das Schlimme eher zu glauben als das Gute; jeder ist geneigt, das Schlimme etwas zu vergrößern [ ]. These 2 Jeder benötigt verlässliche Informationen! Zitate: Carl von Clausewitz (1780 1831), Vom Kriege - 1. Buch / 6. Kapitel No. 14
Cyber Defence bewährte Maßnahmen kombinieren?! DMZ Demilitarisierte Zone IDS Intrusion Detection System IPS Intrusion Prevention System IDS DMZ Firewall IPS These 3 Klassische Schutzkonzepte sind unzureichend! Bildquellen unbekannt No. 15
Cyber Threats eine neue Dimension des Risikos Die Grenzen sind zum Teil fließend: (halb)staatliche Organisationen Terroristen Kriminelle Spieltrieb Systeme alleine können nicht schützen! These 4 Wir müssen mit dem Risiko leben (lernen)! Poster: (ISC)² Cyber Security Awareness Material Defence in depth begins with us No. 16
Agenda Strategien 4 Fazit 5 Prävention, Erkennung und Reaktion Sicherheitsbewusstsein Security by Design CGI No. 17
Cyber Security Risiken vermeiden und begrenzen Bewusstsein schaffen Schulung, Ausbildung und Training Minimierung von Angriffsflächen Sicherheitsaspekte beim Design berücksichtigen Prävention Erkennung Protokollierung Überwachung Auditierung Penetrationstests durchführen Angriffe simulieren Forensische Analysen schnelle Alarmierung Vorbereitete Abwehrmaßnahmen (Rapid Reaktion) Reaktion strukturierte Meldungen Nachbereitung No. 18
Cyber Security Umsetzung der Strategie geeignetes Design der Infrastruktur und der Netzgrenzen Aufklärung und Schulung der Nutzer Zugangs- und Zugriffskontrolle Verschlüsselung von Daten Prävention Erkennung Ad-hoc-Auswertung des Netzwerkers Überwachen der Authentisierung Überwachen und Auswerten von Dateizugriffen Überwachen des Benutzerverhaltens Rekonfiguration von Netzübergängen Isolation von Bot-Rechnern Reaktion Identifikation und Neutralisierung von Angreifern No. 19
Sicherheitsbewusstsein für Defence-in-depts schaffen Aufklärung statt Hysterie Zahlen und Fakten sollten einer Community zur Verfügung gestellt werden sichere Quellen für verlässliche Informationen schaffen (Negativbeispiel: Flame) Security by Obscurity ist der falsche Weg Informationen über Angriffe Wissenschaft und Forschung zur Verfügung stellen Information über Algorithmen und Techniken zur Abwehr testen und teilen Dies hat nichts mit dem Verlust von unternehmenskritischen Assets zu tun Entwicklung von Sicherheitsprozessen statt Nutzung von Sicherheitsprodukten Sicherheitsanalysemethoden verbessern Sicherheit bereits beim Design berücksichtigen No. 20
Security by Design Fehler vermeiden und erkennen Klassischer Softwareentwicklungszyklus: Plan Build Test Run Patch Service Release Die klassische Softwareentwicklung ist oft von der Time to market getrieben Die Software wird unreif ausgeliefert Notwendiger Softwareentwicklungszyklus: Plan Build Test Run Eine sorgfältige Planung muss Sicherheitsaspekte berücksichtigen Das Testen der Software ist entscheidend Qualitätssicherung der Entwickler und Sicherheitstests durch Dritte No. 21
Managed Cyber Security Services Beispiel: CGI, USA mit freundlicher Genehmigung von CGI Federal, Manassas, VA * www.cgi.com/usfederal No. 22
Agenda Fazit 5 Good Practice Strategien für Prävention und Defence CGI No. 23
Fazit Cyber Attacken sind umfassend und weisen oft hohe technische Qualität auf Beurteilung der Lage: Konventionelle Schutzkonzepte sind ineffizient Es besteht durchweg ein hohes Risiko und die Schadenshöhe ist immens Die Bedrohungen sind nicht radikal neu Trends lassen sich nicht stoppen Risiken müssen vorausschauend überwacht werden Die Information Security der vergangenen Jahre hat praxiserprobte Good Practice Strategien entwickelt Sicherheit ist im Cyber-Zeitalter notwendiger denn je Security ist Initiator nicht Bremser! No. 24
Logica is now part of CGI. Danke für Ihr Interesse! Haben Sie Fragen? Diese Präsentation stellt die Meinung des Verfassers und nicht unbedingt die Meinung der Logica bzw. CGI dar.