Wenn die Wespenzeit gekommen ist, flüchten viele Menschen selbst bei bestem Wetter ins Haus. Wer die Sonne trotzdem genießen will, lockt die lästigen Insekten mit Süßem weg vom Tisch in die Falle. Auf dieses Prinzip setzen auch die Security-Experten bei der Deutschen Telekom (DTAG), wenn sie Cyberkrieger auf die falsche Fährte führen wollen. Sie simulieren Schwachstellen in IT-Anwendungen, ohne dabei das System zu gefährden. "Wir lenken Hacker von ihrem eigentlichen Ziel ab oder leiten sie in speziell vorbereitete Bereiche weiter, wo sie keinen Schaden anrichten können. Vor allem sind sie aber für uns eine Säule in unserem Frühwarnsystem", erklärt Markus Schmall, Leiter Sicherheit von IT-Diensten und Anwendungen bei der DTAG.
Die Aufgabe der Fallensteller gewinnt an Bedeutung, denn täglich tauchen weltweit mehrere Zehntausend neue Computerviren, Würmer, Trojaner oder Varianten auf. Diese Bedrohung ist kaum noch beherrschbar. Inzwischen ist es üblich geworden, individuelle Angriffswerkzeuge zu entwickeln und mittels sogenannter Advanced Persistent Threats (APTs) nur noch die IT-Infrastrukturen ausgewählter Unternehmen über einen längeren Zeitraum anzugreifen. Diese Attacken bleiben zudem sehr lange unbemerkt, da die Systeme oftmals zunächst nur nach möglichen Einfallstoren ausgekundschaftet und kritische Daten anschließend ohne nachweisbare Spuren kopiert werden. Weil die Angriffe sehr gezielt und jedes Mal komplett anders verlaufen, hilft hier auch kein noch so guter Malware-Schutz mehr weiter.
Fallensteller im WWW
Eine mögliche Lösung für das Problem sind Honeypots. Damit könnten Unternehmen die Angreifer mit deren eigenen Mitteln schlagen und ihr Vorgehen schon während der Auskundschaftungsphase kennen lernen. Die Telekom betreibt schon mehr als 40 solche Honeypot-Systeme, einen Großteil davon als Web Application Honeypots. Augenscheinlich ganz normale Websites - häufig mit frei füllbaren Formularfeldern beispielsweise für Login-Prozesse ausgestattet - werden mit für den normalen Besucher im Frontend zunächst unsichtbarem, weil auskommentiertem PHP-Quellcode ergänzt, der automatisierten Angriffsskripten Sicherheitslücken auf dem Server verspricht. Entdeckt ein Skript diesen Quellcode, versucht es, die vermeintlichen Lücken beispielsweise über die Formularfelder mithilfe gängiger Lese- und Schreib-Kommandos auf http-Basis wie GET und POST auszunutzen und liefert dem Honeypot-Betreiber währenddessen wertvolle Informationen über die Art des Angriffs.
Das System lernt mit
Bei der DTAG fließen diese Erkenntnisse unter anderem in die Weiterentwicklung der eigenen Systeme ein. So lassen sich Sicherheitslücken gezielt schließen oder neue Systeme schon in der Entwicklung gegen die bekannten Gefahren schützen. Schmall: "Unsere Web-Honeypot-Systeme sind selbstlernend. Sie identifizieren Angriffe von unbekannter Seite, analysieren sie und integrieren deren Schema in den eigenen Erkenntnisprozess." Der erwähnte unsichtbare Quellcode wird also mit jeder zuvor unbekannten Angriffsart länger.
Besonders stolz ist Schmall darauf, dass die Aufzeichnung und die Analyse der Attacken komplett über Open-Source-Tools wie beispielsweise Glastopf und Kippo ablaufen. Die gewonnenen Erkenntnisse werden den IT und Sicherheitsabteilungen im Konzern zur Verfügung gestellt. Weiterhin besteht eine Zusammenarbeit mit der Sicherheitscommunity und anderen ISPs. Die Telekom informiert zudem Hersteller von Antivirussoftware, damit diese bei Auftauchen eines neuen Virus' oder Trojaners in den Honeypots ihre Software möglichst zeitnah aktualisieren können.
Auf der folgenden Seite lesen Sie, was sich täglich so alles in den Honigtöpfen der Telekom verfängt...
- Security-Sünde Nr.1
Portable Geräte werden allzu häufig vernachlässig. Leider kommen Lösungen zur Kontrolle dieser Endgeräte, wie die hier gezeigte Möglichkeit, Berechtigungen einzuschränken, immer noch viel zu selten zum Einsatz. (Quelle: DeviceLock). - Auch das fällt noch unter den großen Sicherheitsirrtum, dass sich alle Daten einfach im Rechenzentrum isolieren lassen
Die wenigsten Anwender verwenden auf ihren Smart-Phones eine Sicherheitslösung, die Daten auf diesem Gerät schützen könnte. (Quelle: Bär/Schlede) - Das eindrucksvollste Beispiel für nicht kontrollierte Wechselmedien/USB-Sticks
Die Verbreitung des Stuxnet-Wurms im Jahr 2010, hier in der geografischen Verteilung, wie sich das Malware Protection Center von Microsoft aufzeichnete. (Quelle: Microsoft Threat Research & Respond Blog). - Ein großer Irrtum bei den Sicherheitsmaßnahmen – die zweite große Security-Sünde
Mitarbeiter kennen das Risiko und verhalten sich entsprechend: Eine repräsentative Emnid-Studio im Auftrag von Symnatec zeigt, dass beispielsweise viele Mitarbeiter auch im Urlaub auf ihre Firmen-Mail via Mobil-Phone zugreifen, mit allen damit verbundenen Risiken (Quelle: Emnid/Symantec). - Die sozialen Netzwerke und die Sicherheit
Security-Sünde Nr. 3 in der täglichen Praxis. Kaum ein Anwender und nur wenige Administratoren befassen sich ernsthaft mit den Sicherheitsproblemen der Social Networks oder setzen wie hier, entsprechende Schutzlösungen ein (Quelle: Bär/Schlede). - Die Security-Sünden und die sozialen Medien
Kontrollieren wirklich alle Mitarbeiter, welchen Anwendungen sie Zugriff zu ihren dienstlich genutzten Twitter-Accounts gewähren oder kann ein Administrator darauf überhaupt einen Einfluss haben? (Quelle: Bär/Schlede) - Neue Medien und neue Netze bedeuten neue Herausforderungen
Durch die Einführung von Google+ stellt sich für viele Administratoren in Hinblick auf die Sicherheit die Frage, wie sollen sie damit umgehen – ein Sperren der Domäne „google.de“ oder „google.com“ dürfte eher kontraproduktiv sein. (Quelle Bär/Schlede). - Hier kann nur Schulung der Anwender (Security-Sünde Nr. 3) helfen, eine Gefährdung zu erkennen und zu vermeiden
Eine verkürzte URL führt den Nutzer auf eine Malware-Seite, obwohl er meint, sich auf einer Seite seiner Bank zu befinden. (Quelle: Symantec Intelligence Report July 2011). - Eine der verbreiterten Formen des „Social Engineering“ ist bereits in den Betreff-Zeilen von Spam-Nachrichten zu finden
Die Nutzer werden direkt und persönlich angesprochen. Auch hier kann Aufklärung und Schulung helfen, die Anwender von Schaden zu bewahren. (Quelle: Symantec Intelligence Report July 2011) - Warum Antivirus-Software und Firewall definitiv nicht genügen können
Diese Grafik zeigt sehr anschaulich, wie der Anteil an Web-basierter Schadsoftware beziehungsweise Malware stetig steigt – auch hier können viele Probleme durch aufmerksame und geschulte Anwender minimiert werden. (Quelle: Symantec Intelligence Report July 2011) - Welche Anwendung darf im Firmennetz welche Verbindung aufbauen und vor allen Dingen auch Daten übertragen?
Eine Lösung wie die gezeigte Software von DeviceLock stellt den Systemverwaltern dafür fein granulierte Kontrollmöglichkeiten zur Verfügung (Quelle: DeviceLock). - Security-Sünde Nr.5
Vielfach übersehen Unternehmen und die verantwortlichen IT-Fachleute, dass Sicherheit nur im ganzheitlichen Ansatz wirklich funktionieren kann: Dazu gehört neben so „normalen Dingen“ wie Patch- und Update-Management doch auch die Überwachung der Drucker – in den heutigen vernetzten Zeiten wichtiger denn je… (Quelle: Devicelock).