Modul 7 Sicherheit

Als erstes möchte ich Mathias Engel einen herzlichen Dank aussprechen. Er hat er uns mit hoher Fachkompetenz und viel Nähe zur Praxis ein sehr komplexes und sensibles Thema in einer kurzen Zeit vermittelt.
In diesem Blogbeitrag möchte ich die einzelnen Stationen für mich nochmals durchgehen und versuche so, das wichtigste für mich zusammenzufassen.

Was ist Sicherheit ?
Eine erste Umfrage unter den "Lernenden" ergab folgende Punkte:

• keine Informationen Unberechtigten zur Verfügung zu stellen
• nicht angegriffen zu werden
• Sicherheit, dass daten zur Verfügung stehen
• Sicherheit ist eine Illusion

Begriff

Sicherheit ist in erster Linie ein subjektives Empfinden. Der deutsche Begriff kann sowohl als "security" als auch als "safety" in die englische Sprache übersetzt werden. Der Begriff "security" steht für die Sicherheit eines Systems vor äusseren systemexternen Bedrohungen, Der Begriff "safety" hingegen meint Sicherheit des Systems vor inneren Bedrohungen.
Verschiedentlich sind Definitionen anzutreffen, die zwischen den Massnahmen vor dem Eintritt des Schadens, die sie als Sicherheitsmassnahmen bezeichnen, und Massnahmen nach dem Schadenseintritt, die sie als Schutzmassnahmen bezeichnen, unterscheiden.
Sicherheit ist:

• Ziel aller Massnahmen und Vorkehrungen im personellen, organisatorischen, baulichen und technischen Bereich, um eine Person oder deren Daten, ein Verfahren, eine Sache oder einen Raum vor Gefahren zu bewahren.

Integrale Sicherheit

Information:
Alle Daten mit einem sinnvollen Kontext werden als Informationen betrachtet.

Informationssicherheit:
Sicherheit von Informationen jeglicher Form. Umfasst den sicheren Umgang mit Informationen in gezeichneter, gesprochener, geschriebener und/oder mittels Elektronik bearbeiteter und gespeicherter Form.

Informatiksicherheit:
Die IT-bezogene Teilmenge der Informationssicherheit. Sicherheitsbezogene Regelungen, Massnahmen und Prozesse für elektronisch bearbeitete Informationen

Beispiel: Das drucken eines Papers. Im PC und auf dem Weg zum Drucker ist die Sicherheit durch die IT geregelt. Ist das Blatt gedruckt und liegt es offen da, beginnt die Informationssicherheit. Jeder, der vorbeiläuft, kann Einsicht in das offen daliegende Paper nehmen.
Vorallem innerhalb der Systeme herrscht heute noch Nachholbedarf, was die Informationsverwaltung und das Datamanagement anbelangt. Welche Dokumente sind für wen einsehbar.

Generell kann man sagen, gibt es keine 100% Sicherheit.
Nur eine angemessene und nicht überladene Sicherheit wird im täglichen Leben auch benutzt.

Grundsätze und Prinzipien

• Es gibt keine 100%ige Sicherheit
• Sicherheit kann nie bewiesen werden, sondern nur Unsicherheit
• Eine Schutzmassnahme sollte nicht mehr kosten als das, was ich schützen will wert ist (können auch subjektive Werte sein).
• Sicherheit ist nur so stark wie das schwächste Glied in der Kette
• Technik alleine realisiert keine Sicherheit. Eine gute Informationssicherheit berücksichtigt Organisation, Technik und Menschen.
• Viele Produkte wären sicher, werden aber unsicher ausgeliefert.
• Sicher sein und sicher bleiben - eine kontinuierliche Herausforderung. Sicherheit ist ein Kreislauf bzw. geschlossener Prozess.
• Was heute sicher ist, kann bereits morgen verwundbar sein
• Planung ohne Kontrolle ist sinnlov. Kontrolle ohne Planung ist unmöglich.

Eine ebenso wichtige Tatsache ist:

• Die Frage nach wie viel Sicherheit ist immer in einem Spannungsverhältnis. Die Erhöhung der Sicherheit hat immer eine Folge im Benutzerkomfort und den Kosten.
• Das schwächste Glied gibt die Sicherheit vor.
• Kenne deinen Feind, kenne dich selber
• Versuche nicht die Sicherheit in Prozentwerten festzuhalten. Sei pragmatisch und teile sie in : HOCH, MITTEL, TIEF ein.

Die wichtigsten Sicherheitseigenschaften

Vertraulichkeit (Confidentiality):
Datenzugriff nur für den berechtigten Anwender.

Integrität (Integrity):
Unversehrtheit und Korrektheit der Daten; Schutz vor unberechtigter Modifikation der Information.

Verfügbarkeit (Availability):
Daten sind zur rechten Zeit am rechten Ort verfügbar.

Nachvollziehbarkeit (Verbindlichkeit):
Urheber von Veränderungen müssen erkennbar sein und dürfen Veränderung nicht abstreiten können.
Beispiel: Prüfungen am PC: Wer hat welche Prüfung abgegeben oder eben nicht abgegeben.

In der Schule betrifft dies vorallem die Arbeit mit dem Lehreroffice. Hier sind die Eigenschaften Vertraulichkeit, Integrität und Nachvollziehbarkeit als sehr hoch einzuschätzen. Ansonsten sind in der Schule nicht so strenge Einstufungen wie z.B. in der Wirtschaft oder beim Militär notwendig.

Gefahrenkategorien

Risiken können durch folgende Gefahren entstehen:

• Höhere Gewalt:
  Feuer, Wasser, Blitzschlag, Krankheit
• Organisatorische Mängel:
  Fehlende oder unklare Regelungen, fehlende Konzepte
• Menschliche Fehlhandlungen:
  Die grösste Sicherheitslücke sitzt oft vor der Tastatur
• Technisches Versagen:
  Systemabsturz, Plattencrash, ...
• Vorsätzliche Handlungen:
  Hacker, Viren, Trojaner, Phishing, ...

Im Imformationsumfeld sind die direkten Auswirkungen einer Gefahr für Menschen (heute noch) selten tödlich. Da durch Rationalisierung eine immer dichtere Vernetzung stattfindet, können aber durch indirekte Auswirkungen schwerwiegende Gefahren entstehen. Verwendung und Missbrauch der Informationen aufgrund von Verlust oder Offenlegung von Daten durch Informationslecks, Diebstahl, Sabotage, Spionage, Hacking und immer mehr auch "Social Engineering" sind immer häufiger anzutreffen. Beispiel: Bankkundendaten werden auf CD's gehandelt; "Social Engineering" Passwörter werden Personen mit Hilfe von üblen Tricks entlockt um an ihre Daten zu gelangen etc.

In unserer Schule haben wir durch eine saubere Backuplösung eine grosse Datensicherheit was höhere Gewalt anbelangt. Backupbänder werden in 2 verschiedenen Räumen der Schule und in einem externen Standort gelagert. Betreffs sensiblen Daten haben wir eine saubere Trennung zwischen Verwaltung und restlichem Schulbetrieb erlangt, so dass bei uns der grösste Unsicherheitsfaktor der Mensch sein dürfte. Hacker haben an unseren Daten keine grossen wirtschaftlichen Interessen.
Wenn wir uns die Frage stellen: "Wer sind die Angreifer?", so können wir in der Schule die Konventionellen Kriminellen und die Professionellen Hacker sowie die Industriespionage ausklammern. Pröbler, Nachahmer, Geeks zählen zu unserem Kundenkreis.Frustrierte Mitarbeiter fallen auch nicht so stark ins Gewicht, da die "vertraulichen" Daten oft keinen allzu grossen Öffentlichkeitswert besitzen und in Sachen Prüfungen so oder so immer Neuarrangements vollzogen werden. Der Konkurrenzgedanke könnte sich höchsten bei Vorbereitungsmaterialen bei Konkurrenten hochschaukeln.
Auf der Internetseite http://www.zone-h.org/ findet man Beispiele wie sich Kids mit erfolgreichen Anschlägen in Szene setzen.

Risiko

Der Begriff Risiko findet sich in allen Bereichen des menschlichen Lebens, er wird in den diveresen Bereichen jedoch unterschiedlich definiert. in heutigen Diskussionen über Gefahren und Verluste bei Unglücken ist Risiko zum Schlüsselbegriff geworden. So kennen wir die Begriffe: Umweltrisiken, Betriebswirtschaftliches Risiko, Management Risiken etc. bestens. Risiko ist heute ein grosses Geschäft und wird mit viel Mathematik verkauft.

Risiko = Gefahr * Eintrittswahrscheinlichkeit*Schadenspotential
Gefahr = Bedrohungspotential * Schwachstelle
Eintrittswahrscheinlichkeit:=Häufigkeit in welcher das Ereignis erfolgt
Schadenspotential=Werte*Quantifizierung

Das grosse Problem dieser Berechnung ist die Subjektivität. Für uns bedeutet dies:

Betrachte die Parameter der Zusammenstellung:

• Bedrohungspotential (Hacker, besondere interessante Daten, finanzielle Reize), Schwachstelle (bekannte Fehler in Applikation, unkontrollierte Netzwerkübergänge) ==> Gefahr
• Werte (Kosten des Datenverlusts, Kosten des Systemausfalls), Quantifizierung (Anzahl betroffene System)
  ==> Schadenspotential
• Eintrittswahrscheinlichkeit
• Risiko=Gefahr, Eintrittswahrscheinlichkeit, Schadenspotential

Wie ich am Anfang festgehalten habe. Man soll sich nicht durch Zahlen beirren lassen. Man nehme den XM (Xunda Menschenverstand) und werte pragmatisch (hoch, mittel. tief) und kommt so auch zu einem guten Resultat.

Wie viel Risiko will ich tragen?

In 4 Stufenmodell haben wir vier Zonen.

• 1. Zone: bis 20%: Tabuzone: Sie gibt ein Minimum an Sicherheiten an.
  2. Zone: bis 50%:
  3. Zone: bis 80%
  4. Zone: bis fast 100%: Luxuszone

Es ist sicher sinnvoll und lässt einen ruhig Schlafen wenn wir uns in der 2. und 3. Zone bewegen.

Risikobewältigung

• Risiken vermeiden, z.B. durch Aufgabe risikoreicher Aktivitäten oder Verlagerung von Aktivitäten an Orte, wo das Risiko nicht auftritt.
• Risiken vermindern, durch Reduktion der Schwachstellen, Wahrscheinlichkeit oder des Schadensausmassess, z.B. durch Firewall oder Katatstrophenorganisation. Reduziert werden die Risiken auch durch Diversifikation, z.B. durch regional voneinander getrennte Produktionsstätten oder Backup der Risiko-Objekte und Ressourcen.
• Risiken transferieren, z.B. Überwälzung fianzieller Schäden auf Versicherungen
• Risiken bewusst eingehen und tragen, z.B. Tragen des Restrisikos, welches im Rahmen der betrieblichen Reserven und eines allfälligen Goodwill-Verlusts verkraftbar ist.

Was ist im Schulumfeld speziell?

• Steigende Vernetzung: Schule vernetzt sich mit der Gemeinde etc.
• Mobile Datenträger: Beispiel: Gewerbeschule Thun: Dozent lässt seinen USB-Stick mit den Maturaprüfungen drau liegen. Ganze Schule muss Maturaprüfung wiederholen.
• Pervasive Computing: Immer mehr Schnittstellen ans Netz möglich.
• SPAM, Malware: gibt es heut noch. Wir sortieren heute bis 93% der Mails als SPAM aus.
• Faktor Mensch: Das Sicherheitsrisiko ausgehend von den Benutzern ist nicht zu vernachlässigen. Vielfahc steckt nicht Neugier oder Absicht hinter einem Sicherheitsvorfall. es sind Nachlässigkeit und menschliche Fehler, welche immer wieder zu materiellem, finanziellen oder Reputationsschäden führen.
• Schlagkräftige Tools: Um sämtliche Passwörter in einem Netz zu erfahren, kann ich heute ohne grosses Vorwissen mit dem Programm "Kain und Abel" am Netz horchen und erhalte sämtliche Passwörter frankofrei geliefert.
• Zombies? Botnetze?:
  Unter einem Bot versteht man ein Computerprogramm, das weitgehend selbständig sich wiederholende Arbeitsschritte abarbeitet ohne dabei auf die Interaktion mit einem Benutzer angewiesen zu sein. Ein Botnetz ist eine Gruppe von Software-Bots. Die Bots laufen auf vernetzten Rechnern, deren Netzwerkanbindung und lokale Ressourcen und Daten ihnen zur Verfügung stehen. Betreiber illegaler Botnetze installieren die Bots ohne Wissen der Inhaber auf ihre Computer und nutzen sie für ihre Zwecke. Die meisten Bots können von einem Botnetz-Operator über einen Kommunikationskanal überwacht werden und Befehle empfangen. Heutzutage sind Botnetze mietbar und werden meist für kriminielle Attacken auf grössere Unternehmen eingesetzt. Der Angegriffene kann dan auf den Angreifer, die vielen nichtwissenenden Computerbenutzer losgehen und von ihnen Schadenersatz fordern.
  In der IT versteht man unter Zombie oder Drohne einen Computer am Netz, der durch Würmer, Viren, Trojaner etc. unter die Kontrolle eines Crackers gekommen ist.
  Schulcomputer könnten zu solchen Botnetzen gehören.
• Exploits: Schwachstellen von Systemen werden veröffentlicht. "Festplatte mit geheimen Polizeidaten ...".
  ICT-Sicherheit ist von Technologie, Organisation und vorallem vom Menschen beeinflusst.

Resultate zur Gruppenarbeit: Wo sehen Sie die Gefahren und Risiken in der Volksschule:

Uns war besonders wichtig die Trennung (am liebsten physisch ansonsten logisch) von Verwaltungsdaten der Schule und den übrigen Schuldaten. Die Verwaltung und Sicherheit beim Lehreroffice steht und fällt hauptsächlich im Handling der Lehrperson. Unterrichtsdaten sind in Sachen Sicherheit normalerweise nicht sensibel. Ein Schwachpunkt findet man noch vorallem in den Primarschulen. Hier werden oft noch anonyme Benutzerkonten verwendet und die Reprozierbarkeit ist nicht in genügendem Sinn gewährleistet.

Physische Sicherheit

Physische Sicherheit schützt Gebäude, Räume und die sich darin befindenden Personen und Werte. In erster Linie wird mit den physischen Sicherheitsmassnahmen die Verfügbarkeit gewährleistet. Sie trägt aber auch bei zu Vertraulichkeit, Integrität und Nachvollziehbarkeit in der Netzwerksicherheit, indem Kontrollierter Zutritt zu abgeschlossenen Räumlichkeiten gewährleistet ist.
http://www.golem.de/0904/66376.html zeigt den Aufbau eines Google-Rechenzentrums. Im Normalfall findet von aussen nach innen von Zone zu Zone eine zunehmende Kontrolle statt. So bei Firmen, nicht aber in Schulen. Schulen sind öffentliche Gebäude. In öffentlichen Gebäuden ist der Zutritt erleichert. Entsprechend erschwert ist hier der Aufbau von physischen Sicherheitszonen.

An unserem Oberstufenzentrum befindet sich der Serverraum in einem extraeingerichteten, wassergeschützten Raum im Untergeschoss, quasi in einem Betonwürfel mit Klimaanlage und Entlüftung. Der Zugang ist vom öffentlichen Raum durch zwei abgeschlossene Türen und den Lift für Lehrpersonen erreichbar. Zugang haben nur mein Kollege und ich sowie der Hauswart. Zur Brandbekämpfung stehen ein Feuerlöscher zur Verfügung. Leider fehlt eine Brandmeldeanlage. Die Stromversorgung ist separat aber nur einfachgesichert. Alles nötige ist mit einer USV versehen.

Die Kommunikationsverkabelung ist nicht abhörgesichert. Unser gesamtes Netz (Primarschule Kriessern, Primarschule Montlingen, Primarschule Eichenwies, Primarschule Oberriet, Primarschule Kobelwald, Primarschule Rüthi, Oberstufenzentrum Montlingen, Oberstufenzentrum Oberriet sowie die Gemeindeverwaltung Oberriet, Altersheim Feldhof und die Schulveraltung Oberriet ist an einem Glasfaserring angeschlossen. Zugriff auf die Server geschieht normaleweise Remote. Der Serverraum wird nur für Backup- und Wartungsarbeiten betreten.

Netzwerksicherheit

Das Netzwerk von gestern war ein geschlossenes Netzwerk, heute ist es ein offenes Netzwerk. Die Netze der verschiedenen Standorte sind miteinander vernetzt, beinahe jeder hat eine Verbindung zum Internet. Aussendienstmitarbeitende, Partnerfirmen und Kunden haben Zugang zu firmeninternen Daten. Mobilität und Flexibilität sind keine Schlagwörter mehr, sondern Anforderungen in vielen Situationen des modernen Geschäftslebens.
Um die Sicherheit im Netz verbessern zu können, müssen wir uns und unsere Feinde die Hacker, Eindringline, Nutzniesser genau kennenlernen. Die Netzwerkzugänge sind schwer zu kontrollieren. Wer Zugang zum Netzwerk erhält kann

• den Datenstrom abhören (Sniffing); normalerweise liest eine Netzwerkkarte nur an sie adressierte Pakete. Ein Protokollanalysator (auch Sniffer genannt) versetzt die Karte in einen Zustand wo sie alle Datenpakete liest und auf der Applikation anzeigt. Somit kann unbemerkt Einsicht in vertrauliche Daten genommen werden, Passwörter und Systeminfos gewonnen werden.
• falsche Identität angeben (Maskerading, Spoofing); Ziel des Angreifers ist es, unter Vortäuschung einer falschen Identität Zugriff zu einem geschützten System zu erhalten.
• Kommunikationsverbindungen übernehmen (Hijacking); verfälschen und modifizieren von Daten, wiedereinspielen von Informationen, Kontrolle über den Datenfluss (man-in-the-middle-Attack oder TCPHijacking
  Informationen wieder einspielen (Replay)
• leugnen (Repudation); Zurückweisen einer ausgeführten Transaktion (z.B. Börsenauftrag nach fallenden Kursen), Behauptung eine Transaktion ausgeführt zu haben (z.B. Geldüberweisung)
• unbefugt auf Daten zugreifen (unauthorized Access); Zugriff auf Daten und Systemkomponenten
• Kommunikationssysteme stören (Denial-of-Service); Angriff auf einen Rechner mit dem Ziel, einen oder mehrere seiner Dienste arbeitsunfähig zu machen.
  Erfolgt der Angriff von einer grösseren Anzahl anderer System aus, so spricht man von einer verteilten DoS-Attack, sprich Distributed Denial of Service (DDoS). DDoS-Attacken werden mittlerweile von Cyber-Kriminellen zum Verkauf angeboten. Da sich der Angreifer bei einem DDoS-Angriff die Leistung vieler Systeme zunutze macht, können auch Sites mit sehr grossen Ressourcen und breitbandigen Netzwerkverbindungen erfolgreich angegriffen werden. (Botnetz)

Wer die unteren Schichten der Netzwerkprotokolle beherrscht, kontrolliert das Netzwerk. Die fehlende Absicherung der unteren Protokollschichten gegen gezielte Angriffe resultiert noch aus der Entstehungszeit der Netzwerke. Nach der damaligen Grundannahme gehörten zumindest die Systemverwalter der angeschlossenen Rechner zu den "Good Guys". Damit konnte man sich auf IP-Adressen, Routing-Einträge etc. verlassen, da sie nur dem Administrator zugänglich waren. Durch die Vernetzung von Einzelplatzrechnern, die häufig unter der vollständigen Kontrolle des jeweiligen Benutzers stehen, fielen die Barrieren gegen den Missbrauch der unteren Protokollschichten: Das Fälschen von IP-Adressen mutierte von einer theoretischen Möglichkeit zum Volkssport. Heute auf dem Markt: Cain & Abel. Mit diesem Tool kann ich ohne grosse Vorkenntnisse ARP spoofen, d.h. abhören von Inhalten und Informationen, mitlesen von Passwörtern (telnet, ftp, http,...), Manipulation von Daten durch Verwendung von Anwendungsfiltern z.B. dns, http / https.
Gegenmassnahmen ARP-Spoofing: Statische ARP-Einträge, Logische Netzsegmentierung, Dynamic ARP Inspection; Netzwerküberwachung mittels IDS / IPS (Intrusion Detection System)

Funknetzwerke / Wireless LAN

Im Kabelnetz haben wir über Switches Unicast-Verbindungen. Beim WLAN ist immer alles vorhanden und alles abhörbar mit Hilfe von z.B. Whireless-Sniffern. Man muss sich also überlegen, ob man Zugriff auf sensitive Daten über WLAN zulassen soll oder nicht. Die meisten bekannt gewordenen Attacken waren möglich, weil die Produkte "Out of the Box" eingesetzt wurden, d.h. die SSID war der Default-Wert und weder WEP noch WPA war eingeschaltet. Auch wenn der Schlüsselaustausch in einem WLAN sehr aufwändig sein kann, sollte der oder die Schlüssel regelmässig geändert werden. Ausserdem sollte das WLAN bei Nichtgebrauch abgeschaltet werden. Man könnte das WLAN über eine Firewall vom übrigen Netzwerk abschotten. Man könnte auch IDS/IPS einsetzen. Die Sicherung von WLANs mittels vorhandener Sicherheitsfunktionen sind heute zum Teil sehr unsicher oder aus Praktibilitätsgründen als schwer realisierbar zu betrachten.
Der SSID-Namen wird normalerweise von den Acces-Points broadcasted. Dies erleichtert die Konfiguration einer Verbindung. Dieser Broadcast kann bei vielen Access Points unterbunden werden, so dass der SSID-Name bekannt sein muss, um eine Verbindung zu konfigurieren.
Eine weiter Möglichkeit generell bei Netzanschlüssen ist die MAC-Filterung. Es findet eine Zugangskontrolle auf Basis der MAC-Adresse statt. Da die MAC-Adressen unverschlüsselt übertragen werden, ist der Zugriff wieder möglich. Die Pflege der MAC-Adressen ist aufwändig, ist aber wieder ein kleiner Schritt in Richtung verbesserter Schutz, der einem Angreifer eventuell schon zu viel ist.

WEP ist out, WPA ist in aber man muss darauf achten, dass keine schwachen Passwörter verwendet werden. Neu wird WPA2 verwendet, welches AES als Verschlüsselungsmethode verwendet. Solte mal ein Notebook geklaut werden, müsste man sofort den Schlüssel wechseln.

Systemverfügbarkeit

Unter Berücksichtigung der bereits besprochenen Punkte der physischen Sicherheit muss einfach eine Ersatzmaschine bereitstehen. Redundante Kommunikationswege stehen zur Verfügung. Mit Hilfe von Virtuellen Systemen kann man dieses Problem der Systemverfügbarkeit bestens lösen.

Sichere Netzwerkkomponenten

Es gibt keine fehlerlose Software. Schwachstellen werden von Firmen durch Updates verbessert. Deshalb ist ein regelmässiges Patchen Pflicht.

Hardening
Jede Produktfunktionalität kann über eine Sicherheitsschwachstelle verfügen. Steigt die Anzahl der Funktionalitäten, steigt auch die Wahrscheinlichkeit , eine Schwachstelle im Produkt zu haben. Hardening bedeutet in der Informationssicherheit die Entfernung aller Softwarebestandteile und Funktionen, die zur Erfüllung der vorgesehenen Aufgabe durch das System nicht zwingend notwendig sind.

Zugangsschutz Netzwerkkomponenten
Physische Sicherheit (z.B. zunehmende Kontrolle durch Zutritt etc.)
Deaktvierung von Default-Accounts
Einschränkung der darauf zugreifenden Endsysteme und Protokolle
Verwendung von sicheren Protokollen
Stufengerechte Autorisierung

Zugangsschutz Netzwerkanschluss
Es sollen nur berechtigte Endsysteme auf dem Netzwerk sein
Gäste sollen in einem didizierten, speziell isolierten Netzwerk sein. Ein Wildes Netz getrennt durch eine Firewall zum "Servernetz"
Securitiy Policies (Virenschutz, Patchmanagement) müssen durchgesetzt werden

Gezielter und kontrollierter Datenfluss
Schaffung einer Netzsegmentierung und dadurch von logischen Sicherheitszonen durch z.B. VLAN,VRF, MPLS.VPN
Beachten eines sicheren Switching und Routing
Filtering (Access Listen, Paketfiler; Firewall, Application Gateway
Geschützer Remote Acess

Was ist eine Firewall

Die ursprüngliche Motivation für den Einsatz von Firewalls war der Schutz gegen nicht autorisierte Zugriffe vom externen Netz, d.h. primär vom Internet. Die Datenkommunikation im Internet basiert auf dem Internet-Protokoll (IP) daher verarbeitet eine Firewall auch nur IP-Protokolle (ICMP, TCP, UDP).

Was kann eine Firewall

• Eine Firewall kann das Netzwerk von ankommendem und abgehendem Datenverkehr schützen
• Eine Firewall bildet einen zentralen Punkt um Sicherheitsmassnahmen zu implementieren
• Eine Firewall verkleinert die Angriffsfläche
• Eine Firewall kann die Netzaktivität protokollieren
• Eine Firewall kann die interne Netz-Adressen Struktur verstecken

Eine Firewall bietet in ihrer grundsätzlichen Funktion keinen Schutz vor Protokoll-Missbrauch oder applikatorischen Fehlern.
Beispiel einer Adresse: http://www.xxx.ch/scripts/..%0%af../winnt/system32/cmd.exe?/c+dir Für die Firewall ein gültiges Paket auf TCP Port 80, für den Web-Server jedoch eine katastrophale Sicherheitslücke.

Eine Firewall kann nicht vor Verbindungen schützen, die nicht über sie laufen
Eine Firewall kann nicht vor bösartigen Insidern schützen
Eine Firewall bietet keinen Schutz gegen einen Mitarbeitenden mit einem Modem oder Access Point auf seinem Pult
Eine Firewall kann nicht vor Malware schützen
Ene Firewall allein bietet keinen Schutz gegen das Versenden vertraulicher Dokumente und Informationen
Eine Firewall reicht niemals als einziges Mittel aus

Es gibt zusätzliche Tools z.B. :

• den Packet Filter:
  Ein Paketfilter ist ein Gerät, das im Wesentlichen IP-Pakete fitern, d.h. für jedes IP-Paket einzeln und aufgrund von bestimmten (Filter-) Regeln entschieden kann, ob dieses durchzulassen oder abzuweisen sei.
• Stateful Inspection:
  Packet Filter mit Intelligenz. Unter Stateful Packet Inspection (SPI) versteht man eine dynamische Paketfiltertechnik, bei der jedes Datenpaket einer bestimmten aktiven Session zugeordnet wird. Die Datenpakete werden analysiert und der Verbindungsstatus wird in die Entschiedung einbezogen. Bei dieser Technik, die in Firewalls eingesetzt wird, werden die Datenpakete während der Übertragung auf der Vermittlungsschicht analysiert und in dynamischen Zustandstabellen gespeichert. Auf Baisis des Vergleichs von mehreren Datenpaketen und durch die Ermittlung der Korrelation zwischen zusammengehörenden Datenpaketen werden die Entscheidungen für die Weiterleitung der Datenpakete getroffen. Datenpakete, die nicht bestimmten Kriterien zugeordnet werden können oder eventuell zu einer DoS-Attacke gehören, werden verworfen. Firewalls mit SPI-Technik sind daher in sicherheitsrelevanten Anwendungen den reinen Paketfilter-Firewalls überlegen.
• Application Gateway:
  Ein Application Gateway ist ein System, auf dem für jede unterstütze Anwendung ein spezielles Programm Verbindungsanforderung von Benutzerprozessen entgegennimmt, die Autorisierung dieser Prozesse prüft, im positiven Fall Verbindung aufbaut, unterhält und später auch wieder abbaut. Ein solches Programm, das im Wesentlichen als Stellvertreterund Vermittler zwischen Benutzerprozess und Server tritt, wird auch als Proxy-Server bezeichnet. Im Gegensatz zum Protokollfilter, bei dem der gesamte Verkehrsfluss mit einem Allzweckmechanismus kontrolliert wird, wird beim Applikations-Gateway ein für jede Applikation spezialisierter Code eingesetzt.
• Application Layer Firewall:
  Diese beachtet zusätzlich zu den von der Firewall berücksichtigten reinen Verkehrsdaten wie Quelle, Ziel und Dienst noch den Inhalt der Netzwerkpakete auf der OSI-Schicht 7

Zusammengefasst kann man sagen:
Die meisten Firewalls sind heute stateful. Viele Firewalls sind Application Gateways oder Application Layer Firewalls. Packet Filter werden hauptsächlich auf Router konfiguriert und werden seltener als reine Firewalls verwendet.

Personal Firewall

Im Gegensatz zu einer klassischen Netzwerk-Firewall ist eine Personal Firewall keine eigenständige Netzwerkeinheit, die den Verkehr zwischen zwei Netzwerken filtert. Sie filtert nur zwischen einem Rechner, auf dem sie läuft, und dem Netz. Gute Firewalls schützen ankommende und abgehende Verbindungen. Sie werden häufig in Kombination mit VPN-Clients oder Produkten zum Schutz vor Malware eingesetzt.
Eine personal firewall verfügt oft über viele Zusatzfunktionen wie

• URL-Filtering, URL-Blocking, Content-Filtering
• Virenprüfung
• SMTP-Filtering, SPAM-Filtering
• IDS-, IPS-Funktionen
• Anti-Spoofing (IP-Spoofing)
• DHCP-Server, Dynamische DNS
• Virtual Private Network (VPN)
• Lastverteilung, Load Balancing

Manche der Zusatzfunktionalitäten. welche die Gesamtsicherheit der Firewall und der internen Netzwerke grundsätzlich verbessern, lassen sich gezielt durch Benutzer umgehen oder in ihrer Wirksamkeit reduzieren.

Grundsätzliche Firewall-Regeln

• Zugriff vom Internet ins interne Netz ist grundsätzlich verboten
• Zugriff vom Internet begrenzt auf bestimmte Server in der DMZ
• Anzahl Dienste (Ports) möglichst begrenzt
• Zugriff vom internen Netz auf das Internet grundsätzlich untersagt, ausser bestimmte Dienste
• Gefährliche Protokolle soweit möglich nicht zulassen (z.B. NetBIOS, NFS, PCanywhere)

www.anonymous.org darf nie zugelassen werden. Es wird eine direkte Verbindung zu einem aussenstehenden Server eingerichtet.

Schutz der Endsysteme, Datensicherheit

Virtualisierung:

In einer typisch virtualisierten Umgebung laufen mehrere Gast-Betriebssysteme auf einem gemeinsamen Host. Das von Technikern am häufigsten und sicherlich dramatischste Bedrohungszenario ist der Angriff auf die Virtualisierungssoftware aus einem bereits kompromitierten Gast-System. Im Extremfall kann dieser Angriff zu einem Asubruch aus der virtuellen Mschine und schliesslich zu einer direkten Kompromitierung aller andren Gäste auf dem gleichen Host führen. Deshalb sollte bei Virtualisierung folgende Punkte beachtet werden:

• Bei der Konzeption und der Implementierung von Beginn weg an Sicherheit denken
• Virtualisierungslösungen gezielt und kontrolliert einsetzen
• Separation Verwaltungsnetz
• Schutz der Virtualisierungssoftware und der Betriebssysteme
• Für sicheren Betrieb müssen unterschiedliche Bereiche zusammengeführt werden (Serverbetrieb, Netzbetrieb, Applikationsbetrieb)
• Überwachung der virtuellen Infrastruktur

Hardening
Eine Firewall besteht aus Soft- und Hardwarekomponenten. Achtung Aktualität der eingesetzten Firmware (Software) beachten. Nur auf diese Weise können bekannte und vorhandene Sicherheitslücken der Produkte geschlossen werden.
Zusatzfunktionalitäten von Firewalls können die Gesamtsicherheit der Firewall gefährden. Daher gilt es nicht benötigte Dienste und Zusatzfunktionalitäten auszuschalten.
Why tell the bad guy what you're blocking? Mit einem DROP der Pakete werden diese kommentarlos verworfen.

Patchmanagement
Jede Software hat Fehler. Es sind dabei alle Betriebssysteme und Andwendungen betroffen. Schwachstellen werden ausgentutzt. Somit gehört das Einspielen von Update zu den wichtigsten Massnahmen der Informatiksicherheit. Automatisierungen helfen dabei. --> Schwachstelle Software

Patch versus Service Pack
Patch - Behebt eine Sicherheitslücke (oder sonst eine gravierende Fehlfunktion). Sollte in der Regel keinen Einfluss auf die Funktionalität haben.
Service Pack - Beinhaltet einerseits die über einen bestimmten Zeitraum aufgelaufenen Patches und erweitern und/oder verändern die Funktionalität.

Blick in die Patch-Zukunft

• Das verfügbare Fenster zum Testen wird immer kleiner
• Die Komplexität und Abhängigkeit der Applikationen steigt
• Anstelle von Massenwürmern werden die Angriffe immer gezielter und sind schwierig zu entdecken
• Defacements werden automatisiert durchgeführt
• Es stehen vermehrt monetäre Interessen hinter den Angriffen
• Die Angreifer arbeiten immer stärker arbeitsteilig und erreichen somit einen hohen Spezialisierungsgrad
• ==> die Herausforderungen des Patchmanagements nehmen zu.

Zugangsschutz zum Endsystem

• Verhinderung vor unberechtigtem Zugang zum System und somit ein zusätzliches Sicherheitselement zum Schutz vor unberechtigtem Zugriff auf Daten.
• Der effektivste Schutz ist der phsysische Schutz (Abschliessen von Türen etc.). Dieser ist in vielen Fällen aber nicht abschliessend möglich. Somit sind zusätzliche logische Schutzmassnahmen unabdingbar. Diese sollten sein:
  - Zugang zum Betriebssystem und Anwendungen verhindern
  - Booten ab fremdem Medium verhindern
  - Zugriff auf Daten erschweren (verschlüsseln), und wo notwendig verhindern.

Die Druckerfalle

Bei allen Bemühungen um die Informationssicherheit gehen Drucker gerne vergessen. Dabei verarbeiten diese häufig sensible Daten und zeigen sich per internem Printserver auch noch ausserordentlich kommunikativ. Häufig bleiben die elementaren Sicherheitseinstellungen ungenutzt. Dabei sind heutige Drucksysteme weit mehr als plumpe Ausgabegeräte. Sie verfügen über Netzwerkschnittstellen, Arbeitsspeicher sowie Prozessoren und werden in der Regel über einen integrierten Webserver administriert. Wenn der Drucker aus dem Haus geht, sollte mindestens die interne Festplatte zurückgehalten werden.

Drei-Phasen Zugangs- und Zugriffsschutz

Ein guter Zugangs- und Zugriffsschutz durchläuft immer die drei Phasen

• Identifikation
• Authentifikation
• Autorisierung

Die Identifikation eines Subjekts in Form einer benutzenden Person erfolgt oftmals mittels einem Benutzerkonto. Dieses besteht im Fall einer Microsoft-Umgebung aus einem Security Identifier (SID), Benutzername, Benutzerbeweis, Gruppenzugehörigkeit und Informationen wie Logon Script und Home Directory

Authentifikationsarten sind Passwort oder Schlüssel, Badge, Einmalpasswort, Public/PrivateKey oder Fingerabdruck, Iris, Retina, Gesicht, Stimme
Sichere Kennwörter:
Mindestanforderungen an das Kennwort sind
- 8 Zeichen lang
- Komplex (kein Wort, Gross- Kleinschreibung, Zahlen, Sonderzeichen)
- Regelmässig wechseln (Zu viel wechseln gibt schlechte Passwörter und verägert die Leute.)
Schlechte Passwörter sind gefährlich. Mit entsprechenden Programmen lassen sie sich im Nu knacken.

Autorisierung:
Erfolgt nach der Authentifikation. Sie vergibt Rechte gegenüber einem Subjekt. Die Rechtevergabe muss stufengerecht erfolgen, d.h. nicht zu viel und nicht zu wenig.