Anleitung zur Verringerung von Sicherheitsbedrohungen unter Windows NT 4.0 und Windows 98
Kapitel 2: Anwenden von SRMD Security Risk Management Discipline auf das Beispiel von Trey Research
In diesem Kapitel wird erläutert, wie eine strukturierte und nachvollziehbare Risikoanalyse für Informationssysteme grundlegend angewendet wird. Jedes Unternehmen sollte über ein detailliertes Risikomanagementverfahren verfügen, um feststellen zu können, in welchen Bereichen der zum Absichern von Systemen erforderliche Zeit- und Arbeitsaufwand die höchste Investitionsrendite (ROI) bietet. Um die Sicherheit älterer Anwendungen und Clients in Unternehmensnetzwerken zu verbessern, muss zunächst eine gründliche Analyse der Bedrohungen und Risiken in Bezug auf Umgebung, Anwendungen, Benutzer und Netzwerk durchgeführt werden. Microsoft empfiehlt, dass jedes Netzwerk unter Einsatz eines gut definierten Verfahrens, z. B. SRMD (Security Risk Management Discipline) von Microsoft, analysiert wird. SRMD ist ein strukturiertes, nachvollziehbares (und damit wiederholbares) Verfahren zum Bewerten der Ressourcen eines Unternehmens, der möglichen Risiken und der Sicherheitslücken, über die ein Angreifer die Ressourcen stehlen oder beschädigen kann. SRMD hilft auch bei der Ermittlung von Gegenmaßnahmen, die zur Verringerung oder Übertragung der Risiken eingesetzt werden können. SRMD kann im Rahmen dieses Leitfadens nicht ausführlich erläutert werden. Es ist jedoch ausreichend zu wissen, dass SRMD ein Gerüst für das Identifizieren und Bewerten von Ressourcen sowie für das Identifizieren und Einschätzen der Bedrohungen für diese Ressourcen darstellt. Diese Faktoren unterstützen ein Unternehmen dabei, fundierte Entscheidungen im Hinblick auf angemessene und kostenwirksame Sicherheitsmaßnahmen zu treffen. Hinweis: Ausführlichere Erläuterungen zu SRMD finden Sie im Abschnitt "Weitere Informationen" am Ende dieses Kapitels. Auf dieser Seite
Beschreibung des BeispielsTrey Research ist auf die Analyse, Überwachung und Sanierung von Abwasser spezialisiert. Trey hat seinen Hauptsitz in Seattle und Niederlassungen in den US-Bundesstaaten Georgia, Florida, Arizona und Pennsylvania. Trey ist ein Unternehmen mit knapp 500 Mitarbeitern, die sich aus Außendienstmitarbeitern, Labortechnikern, Wissenschaftlern und einigen Verwaltungsmitarbeitern zusammensetzen. Zu den Kunden von Trey Research gehören Regierungsbehörden auf bundesstaatlicher und staatlicher Ebene, die spezielle Beurteilungsdienste benötigen (z. B. das Messen von Quecksilberwerten im Grundwasser), Bauunternehmen, die vor, während und im Anschluss an Bauphasen vor Ort entsprechende Tests durchführen müssen, Unternehmen aus den Bereichen Industrie und Herstellung, die ihre Anlagen regelmäßig überwachen müssen, und andere Organisationen, die die Überwachungs- und Sanierungskapazitäten von Trey in Notfallsituationen einsetzen. Die von Trey gesammelten Daten und die sich daraus ergebenden Analysen sind oftmals in finanzieller oder rechtlicher Hinsicht vertraulich. Wenn technische Mitarbeiter von Trey Sachverständigengutachten verfassen, müssen bestimmte Beweissicherungsanforderungen in Bezug auf die Lebensdauer der gesammelten Daten erfüllt werden. Außendienstmitarbeiter dokumentieren Daten zunächst auf Papier und geben sie dann manuell im Büro ein. Einige der Techniker verwenden tragbare Computer mit Microsoft® Windows® 98, um Daten direkt vor Ort einzugeben. Allerdings wird dieses Analysesystem nur für einige der größten Kunden von Trey angewendet. In den letzten drei Jahren konnte Trey Zuwachsraten von etwa 20 Prozent pro Jahr verzeichnen. Aufgrund dieser Wachstumsrate hat die Unternehmensführung schließlich einen Leiter der IT-Abteilung eingestellt und damit beauftragt, einen Plan zur Modernisierung der Informationssysteme des Unternehmens zu erstellen und dessen Durchführung zu überwachen. Der Leiter der IT-Abteilung hat seine Stelle Ende 2003 angetreten. Seine erste Aufgabe bestand in der Durchführung einer Risikoanalyse, um den Wert der Computerressourcen des Unternehmens und die Sicherheitslücken besser zu verstehen. Als Ergebnis dieser Analyse nahm Trey sehr schnell eine Reihe von Änderungen an der IT-Umgebung vor. Zunächst wurde die Domänenstruktur auf den Microsoft Active Directory®-Verzeichnisdienst bzw. auf Microsoft Windows Server™ 2003 aktualisiert. Diese Aktualisierung hatte unmittelbar eine Erhöhung der Sicherheit für Domänenkonten zur Folge und ermöglichte es, zusätzliche Gruppenrichtlinien-Steuerungen auf kritische Computer, wie die von leitenden Angestellten verwendeten Computer, anzuwenden. Darüber hinaus beschleunigte das Unternehmen seinen Modernisierungsplan für den Bereich Technologie, damit eine erstmalige Bereitstellung der neuen Analyse- und Erfassungssysteme (basierend auf Windows XP und Windows XP Tablet PC Edition) früher als ursprünglich geplant beginnt. Allerdings hat sich Trey auch dafür entschieden, die vorhandenen Systeme weiter abzusichern, um für die Phase bis zu dem Zeitpunkt, zu dem das neue System vollständig implementiert ist, das Risiko von Datenverlusten oder Gefährdungen zu verringern. Der Leiter der IT-Abteilung hat einen Monat Zeit, die wichtigsten Bedrohungen zu identifizieren, nach Priorität einzustufen und zu verringern und weitere Informationen in Bezug auf das Aktualisieren der Systeme unter Microsoft Windows NT® 4.0 zu sammeln. Dies ist zwar kein sehr langer Zeitraum, aber Trey nimmt die Sicherheitsrisiken sehr ernst und geht offensiv vor, um das Unternehmen so gut wie möglich zu schützen. NetzwerkDie in diesem Dokument beschriebenen Empfehlungen und Einstellungen wurden bei einer Simulation des Trey-Netzwerks getestet, das die in der folgenden Abbildung gezeigte Konfiguration aufwies: Active Directory-EntwurfTrey Research behält eine einzige Active Directory-Domäne für das Unternehmen bei. Diese Struktur wurde gewählt, da sie einfache Verwaltungs- und gute Steuerungsmöglichkeiten bietet. Alle Niederlassungen sind mit der Hauptgeschäftsstelle von Trey über private Standleitungen verbunden. Auf diese Weise müssen für die einzelnen Zweigstellen keine Unterdomänen erstellt werden. Geschäftliche AnforderungenFür Trey gelten fünf wichtige Geschäftsanforderungen in Bezug auf die Sicherheit der Unternehmenssysteme und -netzwerke:
Anwenden der SicherheitsrisikenverwaltungDas Ziel des Sicherheitsrisikomanagements (SRMD) besteht im Ermitteln einer Methode, mit der Risiken gemessen werden können, um letztendlich diejenigen Risiken zu reduzieren, auf die das Unternehmen Einfluss hat. Dazu wird im Rahmen von SRMD das Risikomanagement als kontinuierlicher Prozess in vier Hauptstadien definiert (siehe folgende Abbildung):
Im SRMD-Handbuch von Microsoft, das später in diesem Jahr veröffentlicht werden soll, wird SRMD ausführlich beschrieben. Die IT-Mitarbeiter von Trey entwickelten nach eingehender Prüfung der SRMD-Materialien folgenden Plan:
In diesem Kapitel werden die ersten beiden Schritte erläutert. Außerdem wird beschrieben, wie die IT-Mitarbeiter von Trey SRMD für die Unternehmensumgebung angepasst haben, um das SRMD-basierte Risikomanagement einzuleiten. Die übrigen Kapitel befassen sich mit dem dritten Schritt, dem Anwenden der eigentlichen Kontrollmechanismen. Bewerten von RisikenZunächst muss Trey im Zuge der Absicherungsmaßnahmen die tatsächlichen Risiken und Bedrohungen messen, denen das Unternehmen ausgesetzt ist. Dazu musste Trey mehrere Schritte miteinander verbinden:
Identifizieren von RollenBei den meisten Netzwerken können die Rollen, die Computer im Netzwerk übernehmen, relativ einfach identifiziert werden. Die IT-Abteilung von Trey konnte durch Nachschlagen im Inventarverzeichnis der unternehmenseigenen Systeme die Daten in der folgenden Liste zusammenstellen. In dieser Liste sind die Schlüsselrollen im Netzwerk, die für die Rollen verwendeten Betriebssysteme, die Standorte und die für diese Rollen üblichen Hardwaretypen aufgeführt. Alle diese Informationen sind für die Bedrohungsanalyse relevant. Tabelle 2.1: Computerrollen bei Trey
Zuordnen der KommunikationswegeWenn die Rollen der Computer identifiziert wurden, kann ermittelt werden, welche Art von Netzwerkkommunikation zwischen den verschiedenen Rollen stattfindet. Aufgrund dieser Daten können Sie festlegen, welche Arten von Datenverkehr zwischen dem Netzwerk als Gesamteinheit und den Segmenten mit Computern, auf denen ältere Versionen des Windows-Betriebssystems ausgeführt werden, zugelassen bzw. unterbunden werden sollen. Entwerfen eines Prototyps für das NetzwerkDie schematische Netzwerkdarstellung ist ganz einfach. Die Techniker von Trey haben einfach ein Diagramm des vorhandenen Netzwerks als Vorlage für das neue Netzwerkmodell verwendet. In einem solchen Modell müssen der physische Standort, die Netzwerkadresse und das Betriebssystem der einzelnen Computer im Netzwerk angegeben sein. Idealerweise werden auch die Standorte von Routern und Firewalls angegeben, und es sollte aufgezeigt werden, wie das Netzwerk segmentiert ist. Hinzufügen von DatenflussinformationenWenn ein Netzwerkmodell angefertigt wurde, müssen Informationen zum Datenfluss darauf übertragen werden. Dies geschieht in der Regel unter Verwendung des Datenflussdiagramms nach Yourdon-DeMarco, bei dem der Datenfluss zwischen Systemen bzw. Objekten durch Linien mit Pfeilen dargestellt wird. Die einzelnen Linien können mit der Nummer des verwendeten Anschlusses bzw. Protokolls gekennzeichnet werden. Dies ergibt ein Diagramm, das den Kommunikationsfluss zwischen den einzelnen Rollengruppen darstellt. Mithilfe dieses Diagramms können Firewalls und Anschluss- bzw. Paketfilter ganz leicht so konfiguriert werden, dass sie nur Datenverkehr des angegebenen Typs durchlassen. Mit diesen Datenflussinformationen können auch später problemlos Regeln für IPsec-Filter (Internet Protocol Security) für Unternehmen aufgestellt werden, die Windows 2000, Windows XP und Windows Server 2003 einsetzen. Identifizieren und Analysieren von BedrohungenBei einer Bedrohungsanalyse wird versucht, die Sicherheit eines dezentralen Systems zu erhöhen, indem ein Inventar aller Bedrohungen für dieses System (unabhängig von ihrem Ursprung) aufgestellt wird. Das Grundkonzept besteht darin, dass Sie möglichst viele Bedrohungen identifizieren. Das Wissen, welche Bedrohungen vorhanden sind, macht es einfacher, diese Bedrohungen zu verringern oder zu beseitigen. Als Grundlage entsprechender Entscheidungen kann die Überlegung dienen, dass eine Verringerung nicht möglich, zu schwierig oder zu kostspielig ist bzw. dass die Bedrohung nicht gravierend oder nicht sehr wahrscheinlich ist. Ein Grundkonzept beim Erstellen der Bedrohungsanalyse ist das Auflisten aller realistischen Bedrohungen, einschließlich Bedrohungen, gegen die bereits Schutzmaßnahmen vorhanden sind. In manchen Fällen führt die Betrachtung von Bedrohungen, für die es bereits Schutzmechanismen gibt, zur Aufdeckung ähnlicher oder entfernt verwandter Angriffe. Identifizieren von BedrohungenNachdem die IT-Mitarbeiter von Trey ein Netzwerkmodell angefertigt hatten, das die aktuellen Rollen im Netzwerk und die zwischen den Computerrollen verwendeten Kommunikationsmethoden aufzeigt, konnten sie mit der Identifikation und Einstufung der einzelnen Bedrohungen beginnen. Diese Bedrohungen können in verschiedene Kategorien unterteilt werden:
Jede Bedrohungskategorie enthält eine Vielzahl einzelner Bedrohungsarten, von denen einige u. U. bereits verringert wurden, während andere in der Umgebung von Trey nur sehr schwer zu reduzieren sind. Jeder der folgenden Abschnitte beschreibt jeweils eine Klasse von Bedrohungen und Treys Möglichkeiten, diese Bedrohungen zu verringern. In vielen Fällen sind die aufgeführten Verringerungsmaßnahmen nur bedingt wirksam. Es werden nur Maßnahmen angegeben, die unter Windows NT 4.0 oder Windows 98 verfügbar sind. Neuere Versionen von Windows verfügen über wirksamere Maßnahmen. Physische SicherheitsbedrohungenIn der folgenden Tabelle sind die wichtigsten physischen Sicherheitsbedrohungen angegeben, die Trey für seine Netzwerke identifizieren konnte. Die meisten dieser Bedrohungen haben ihren Ursprung in Faktoren, auf die das Unternehmen keinen Einfluss hat. Sie können nur wirksam verringert werden, indem Richtlinien für Notfallwiederherstellungs- und Geschäftskontinuitätsverfahren eingerichtet werden, auf die in diesem Leitfaden nicht weiter eingegangen werden kann. Hinweis: Die Spalten "Auswirkung und Umfang" und "Wahrscheinlichkeit" in den folgenden Tabellen enthalten geschätzte Angaben der IT-Mitarbeiter von Trey in Bezug auf Wesen, Umfang und Wahrscheinlichkeit der jeweils angegebenen Bedrohungen. Die genauen Werte in diesen Spalten können je nach Unternehmen deutlich von den Angaben abweichen. Tabelle 2.2: Bedrohungen der physischen Sicherheit und Vorbeugungsmaßnahmen
DoS-BedrohungenBei DoS-Bedrohungen (Denial-of-Service, Dienstverweigerung) kann nicht mehr auf Netzwerkdienste oder Computer zugegriffen werden, da Netzwerkausrüstung oder Computer durch vorgetäuschten Datenverkehr absichtlich blockiert oder außergewöhnlich hoch ausgelastet werden. Bedrohungen dieser Art werden in der Regel innerhalb des Netzwerks verringert. In der folgenden Tabelle sind die wichtigsten DoS-Bedrohungen angegeben, die Trey für seine Netzwerke identifizieren konnte. Tabelle 2.3: DoS-Bedrohungen und Vorbeugungsmaßnahmen
Bedrohungen durch bösartigen CodeIn der folgenden Tabelle sind die wichtigsten physischen Sicherheitsbedrohungen angegeben, die Trey für seine Netzwerke identifizieren konnte. Ähnlich wie physische Bedrohungen haben die meisten dieser Bedrohungen ihren Ursprung in Faktoren, auf die das Unternehmen keinen Einfluss hat. Sie können nur wirksam verringert werden, indem Richtlinien für Notfallwiederherstellungs- und Geschäftskontinuitätsverfahren eingerichtet werden, auf die in diesem Leitfaden nicht weiter eingegangen werden kann. Tabelle 2.4: Bedrohungen durch bösartigen Code und Vorbeugungsmaßnahmen
Bedrohungen durch InformationsenthüllungZu Bedrohungen durch Informationsenthüllung gehören das versehentliche Enthüllen vertraulicher Daten, die absichtliche Offenlegung durch autorisierte Benutzer gegenüber nicht autorisierten Dritten sowie gezielte Angriffe zur Informationsenthüllung. Tabelle 2.5: Bedrohungen durch Informationsenthüllung und Vorbeugungsmaßnahmen
Bedrohungen durch KontenkompromittierungBedrohungen durch Kontenkompromittierung können grob in zwei Kategorien unterteilt werden: 1) Ein Angreifer erlangt räumlichen Zugang zu einem Computer (und kann daher das lokale Administratorkennwort entfernen, ein Tool zur Kennworterkennung über Tastenanschläge installieren oder den Computer auf andere Weise manipulieren). 2) Angriffe über das Netzwerk. In der folgenden Tabelle sind die wichtigsten Bedrohungen durch Kontenkompromittierung angegeben, die Trey identifizieren konnte. Tabelle 2.6: Bedrohungen durch Kontenkompromittierung und Vorbeugungsmaßnahmen
Entscheidungsfindung in Bezug auf RisikenNachdem die IT-Mitarbeiter von Trey die wichtigsten Risiken für das Unternehmen ermittelt hatten (wie in den vorstehenden Tabellen aufgeführt), entschieden sie anhand der potenziellen Auswirkungen und der Wahrscheinlichkeit der einzelnen Bedrohungen, welche Vorbeugungsmaßnahmen ergriffen werden sollen. Einigen der größten Bedrohungen kann auf Computern unter Windows 98 und Windows NT 4.0 überhaupt nicht vorgebeugt werden, daher hat sich Trey dazu entschlossen, seine Infrastruktursysteme auf Windows Server 2003 zu übertragen. Andere Risiken können durch eine Kombination von betriebssystemspezifischen Schritten, Netzwerkkonfigurationen und geänderten Richtlinien verringert werden. Indem die potenziellen Bedrohungen analysiert und die Kosten für entsprechende Schutzmechanismen berechnet wurden, konnte Trey einen Vorbeugungsplan gegen eine möglichst große Anzahl an ernsthaften Risiken entwickeln. In den verbleibenden Kapiteln dieses Leitfadens werden die konkreten Maßnahmen beschrieben, für die sich Trey entschieden hat. ZusammenfassungIn diesem Kapitel wurden einige der Überlegungen erläutert, die bei der Anwendung von SRMD auf ein allgemeines Kundenbeispiel eine Rolle spielten. Alle für dieses Beispiel angegebenen Informationen basieren auf echten Daten. Dennoch wurde nur ein Bruchteil der für eine ausführliche Sicherheitsrisikoanalyse benötigten Informationen berücksichtigt. Eine vollständige Auflistung sämtlicher Risikoanalyse-Tabellen und aller Risikoberichte wäre für dieses Kapitel viel zu umfangreich und nicht benutzerfreundlich. Es wurden stattdessen relevante Beispiele ausgewählt, um ein besseres Verständnis für die involvierten Prozesse zu schaffen. Mithilfe der Richtlinien in diesem Kapitel wurde eine Liste von Risiken zusammengestellt, die mit bestimmten Maßnahmen bekämpft werden können. Wenn die Mitarbeiter von Trey die Liste erfolgreich erstellt haben, können sie damit beginnen, die Schritte zum Verringern der Risiken zu identifizieren. Gegen die Risiken kann vorgebeugt werden, indem die Systeme gegen die aufgeführten Sicherheitslücken geschützt werden. Die entsprechenden Schritte werden in den übrigen Kapiteln dieser Anleitung ausführlich erläutert. Weitere InformationenWeitere Informationen zum Anwenden von SRMD auf eine Unternehmensumgebung finden Sie in den folgenden Quellen:
|
In diesem Beitrag
|
