Das Internet of Things (IoT) und die Cloud verlangen eine Neudefinition von IT-Sicherheit, so der Tenor der Veranstaltung "IT meets Press", die Ende November in München zum Thema IT-Security stattfand. Die Cloud als neue Standardinfrastruktur verschiebe Datenverarbeitung und Daten auf Infrastrukturen außerhalb der Unternehmensgrenzen sagte Matthias Reinwarth, Senior Analyst bei KuppingerCole. Damit werde "das Tafelsilber des Unternehmens neuen Sicherheitsrisiken ausgesetzt".
Fünf Punkte einer neuen Grundkonzeption
Das IoT gilt als neuer vielversprechender Markt, aber auch als eine der massivsten Sicherheitsbedrohungen überhaupt. Das liegt an sicherheitstechnisch unzureichenden Implementierungen, fehlenden rechtlichen Regelungen, einem Mangel an akzeptierten Standards und oftmals unzureichender Wartung sowie fehlender Updates. Immer wieder aufkommende Schlagzeilen über Angriffe, die von IoT-Botnetzen initiiert werden, belegen dies eindrucksvoll.
Foto: IT meets Press
Reinwarth hält daher eine radikal veränderte Grundkonzeption von Sicherheitssystemen für notwendig. Sie umfasst vor allem diese Punkte:
Absicherung von hybriden Cloud-Infrastrukturen durch Cloud Access Security Broker (CASB).
Eine grundlegende Integration von Security by Design in Unternehmens-Prozesse und Systeme;
Blockchain-Technologien für Identity- oder Konfigurationsmanagement. Dabei ist eine einheitliche, durch kryptographische Verfahren nachträglich nicht veränderbare Datenbasis (Ledger) auf einer Vielzahl von Rechnern verteilt und dezentral gespeichert. Sie dient als zentrale, verifizierende Auskunftsquelle für den Nachweis gespeicherter Informationen und ist durch die Kombination aus Verschlüsselung und ihrem massiv verteilten Charakter Ersatz für klassische Beglaubiger (Bank, Notar, u.v.a.). Solche mit Zeitstempeln versehene Blockchain-Ledger könnten Grundlage für neue Ansätze für DNS-Strukturen, PKI, das Konfigurationsmanagement, die Integritätsprüfung von Geräten, Systemen und Informationen sowie Anwendungsszenarien im Auditing sein.
Die Nutzung von Identität als neuem Perimeter unter Verwendung starker Authentifikation (MFA) und der Betrachtung von Kontext und Risiko für Nutzer-Autorisierung. Auch in diesem Umfeld wird die Blockchain von zentralem Nutzen sein.
Big Data Security/Cognitive Security Systeme, die große Mengen an Sicherheitsdaten über viele Quellen in Echtzeit sammeln, speichern und analysieren. Die Idee ist hierbei, integrierte Sicherheitssysteme zu schaffen, die den Zyklus "Vermeidung-Erkennung-Reaktion" automatisieren, um mehr Schwächen schneller mit weniger Betriebsmitteln zu adressieren.
Machine Learning: Den Angriff schneller erkennen
Eine Chance bietet dabei Machine Learning. Darauf setzt etwa Microsoft mit der Windows Defender Advanced Threat Protection (WDATP). Auf Basis von Machine Learning erkennt die Lösung über eine Cloud-Analyse und Big-Data-Methoden Auffälligkeiten im Netz und "gibt Unternehmen die Möglichkeit, komplexe Angriffe oder Datenlecks im Netzwerk schneller selbst zu erkennen, zu untersuchen und zu beseitigen", erklärte Milad Aslaner, Senior Subsidary Marketing Manager Windows Commercial bei Microsoft, in der Diskussion. Nach dem Motto "assume breach" müssten Unternehmen heute davon ausgehen, dass sie angegriffen werden - deshalb setzen die Redmonder nicht mehr nur auf "Pre-Breach-Security, sondern verstärkt auf Post-Breach-Lösungen, mit denen erfolgte Angriffe schnell erkannt und die davon ausgehenden Gefährdungen eliminiert werden."
Die E-Mail als Einfallstor Nr. 1 bleibt
Trotz allem wird es absolute Sicherheit nicht geben - auch nicht für die Rechenzentren der DATEV, sagte Jörg Spilker, Leiter Datenschutz und Informationssicherheit beim Nürnberger IT-Dienstleister für steuerberatende Berufe. Er betonte,den enormen Security-Aufwand, den sein Unternehmen ständig leiste. Ebenso wichtig wie der vorbeugende Schutz ist aus seiner Sicht die optimale Vorbereitung auf einen erfolgreichen Angriff. Es gelte, im Falle des Falles bestmögliche Schadensbegrenzung zu betreiben.
Spilkers aktuelles Beispiel: "Hacker schicken per Email eine 'Bewerbung' an die Personalabteilung, die diese an die entsprechende Fachabteilung weiterleitet. Im Link auf die weiteren Unterlagen wie Zeugnisse befindet sich ein Trojaner." Vor dieser Masche könne man erst warnen, nachdem man sie entdeckt habe.
"Der Endnutzer ist der Schlüssel zur IT-Sicherheit", dessen ist sich auch Tolga Erdogan, Director Solutions & Consulting bei Dimension Data sicher. Nie sei eine erfolgreiche Attacke gegen ein Unternehmen leichter gewesen als heute - "selbst für Laien". Denn: "Als Krimineller weiß ich, dass ich nur den Nutzer erreichen muss, um Handlungen zu veranlassen, die mir Zugang zu Nutzerdaten oder -profilen verschaffen. Auf diese Weise ist es nicht schwer, den Perimeterschutz von Unternehmen zu überwinden und Kontrolle über die Endgeräte zu erlangen."
Virtualisierung schafft Verunsicherung
Für Mirco Rohr, Global Evangelist beim Antivirus-Anbieter Bitdefender, liegt die Zukunft in intelligenten Lösungen, die helfen die Angriffsvektoren zu verstehen. Vor allem in virtuellen Umgebungen sei dies ein Schlüsselkriterium. Denn: "Wer von Cloud- und IoT-Projekten spricht, redet im Grunde von Virtualisierung". Und wenn diese Entwicklung weitergehe - Stichwort: "Software Defined Everything" - eröffneten sich für Hacker und Sicherheitsforscher immer neue, große Betätigungsfelder.
Der Ansatz, Angriffsvektoren zu verstehen, sei nicht unbeding neu. "Aber durch Machine Learning, also durch künstliche Intelligenz, können wir viel effizienter und vor allem schneller Angriffsszenarien erkennen und entgegensteuern." Daran arbeite derzeit die gesamte Security-Industrie: die Detection-Zeit zu reduzieren. "Heute dauert es noch zwischen fünf und neun Monate, bis ein Breach auffällt. Diese Zeit zu verringern, ist das Leistungsziel der gesamten Industrie."
Moderiert wurde die Podiumsdiskussion zum Thema "Security im Zeitalter von Cloud und IoT" von den Verantwortlichen des Formats "IT meets Press", Christoph Witte und Wolfgang Miedl. Beide sind erfahrene Redakteure mit dem Schwerpunkt Business-IT. (hv)