Keine Chance für Sasser & Co.
Der Autor des Sasser-Wurms ist ermittelt und gefasst. Was einst aus der Motivation heraus entstand, einen Antivirus zu programmieren, verwandelte sich schließlich selbst in einen Plagegeist für Computeranwender auf der ganzen Welt, gesteht der Täter. Keine Gedanken machte er sich über die aus seiner Kreation entstehenden Folgen und Schäden: Banken, EU-Kommission, Fluglinien und Rundfunksender sind Beispiele für Firmen, die zeitweise Systemausfälle zu verzeichnen hatten. Genauso suchte der aus Niedersachsen stammende Wurm PCs in unzähligen Privathaushalten heim und trieb dort sein Unwesen. Mit einem stärkeren Sicherheitsbewusstsein und denkbar geringem Aufwand wären diese Auswirkungen vermeidbar gewesen und Sasser bei Unternehmen wie Heimanwendern ins Leere gelaufen.
Auf dieser Seite
 | Sicherheit geht alle an |
| Unsicherheitsfaktor Mensch |
| Erkenntnisse durch Sasser |
| Sicherheitsplanung |
| Automatisch auf dem neuesten Stand bleiben |
| Sich wirkungsvoll schützen |
| Sicher mit Microsoft |
Sicherheit geht alle an
Sasser war kein Einzelfall und wird es nicht bleiben, wie Statistiken von „CERT“ (Computer Emergency Response Team, siehe www.cert.org) zeigen: In den vergangenen Jahren sind die Anzahl von Angriffen auf Computer sprunghaft angestiegen. Ebenso belegen diese Statistiken: Sicherheit stellt eine Herausforderung dar, die alle Hersteller in der gesamten IT-Industrie betrifft – quer über alle Plattformen, Betriebssysteme, Applikationen und Dienste hinweg.
Für Microsoft besitzt Sicherheit oberste Priorität. Sichere Produkte zu entwickeln, mit denen Kunden innovative technologische Möglichkeiten gefahrlos nutzen können, ist Weg und Ziel zugleich. Allein im Geschäftsjahr 2004 investierte Microsoft insgesamt 6,8 Milliarden US-Dollar in die Forschung und Grundlagenentwicklung, um qualitativ hochwertige Produkte zu schaffen, die sich durch hohe Sicherheit auszeichnen. Mit seiner „Trustworthy Computing“-Initiative (siehe auch www.microsoft.com/germany/sicherheit/twc/default.mspx) hat Microsoft die Grundlage dafür geschaffen, Sicherheit in alle Prozesse durchgängig mit einzubeziehen und die Sicherheit von Produkten kontinuierlich zu verbessern. Doch dies allein reicht nicht aus.
Unsicherheitsfaktor Mensch
Das größte Sicherheitsrisiko stellt der Mensch selbst dar: Software wird von Menschen entwickelt und kann daher Fehler enthalten – selbst wenn, wie im Falle von Microsoft, Programmierer äußerste Sorgfalt walten lassen, ein eingehendes Code-Review von unabhängigen Testern erfolgt und automatische Prüfungsverfahren umfangreiche Sicherheits-Checks durchführen.
Auch die beste Technik und ausgeklügelte Sicherheitsprozesse aber nützen nichts, wenn Anwender nicht um die Bedeutung, Anwendung und Einhaltung entsprechender Sicherheitsmaßnahmen wissen. Bestes Beispiel: Kennwörter auf Zetteln notieren und diese unter den Tisch kleben ist kein probates Vorgehen, um sich vor dem Missbrauch der persönlichen Kennungen zu schützen. Immer wieder versuchen Angreifer zudem, durch so genanntes „Social Engineering“ die Gutgläubigkeit von Anwendern auszunutzen: Wer etwa – angeblich im Auftrag von Microsoft – eine E-Mail mit einem vermeintlichen Sicherheits-Update als Anhang erhält, kann sicher sein, dass sich dahinter ein Stück Software verbirgt, die so sein wahres Gesicht zu tarnen versucht (grundsätzlich versendet Microsoft niemals Software-Updates als E-Mail-Anhang, siehe auch www.microsoft.com/germany/sicherheit/mail.mspx). Doch es muss keineswegs eine E-Mail sein: Würmer wie Sasser verbreiten sich quasi selbständig durchs Netz und infizieren ungeschützte Rechner, ohne dass der Anwender dies merkt. Ein ausgeprägtes Sicherheitsbewusstsein und eigenverantwortliches Handeln sind die besten Mittel, solchen Gefahren erfolgreich zu begegnen.
Erkenntnisse durch Sasser
Klar ist, dass Unternehmen und Heimanwender Angriffe auf die Sicherheit auch in Zukunft begleiten werden. Sasser veranschaulicht dabei einen neuen Trend: Schöpfer von Würmern nehmen die Veröffentlichung von Sicherheits-Updates durch Microsoft zum Anlass, die jeweilige Schwachstelle aufzuspüren und entsprechende Schädlinge zu entwickeln, die sich auf solchen PCs austoben, auf denen das zugehörige Security-Update noch nicht eingespielt worden ist. Dabei werden die Zeitspannen kürzer: Der seit dem 1. Mai im Umlauf befindliche Sasser-Wurm bezieht sich auf eine Schwachstelle, die Microsoft am 13. April – zusammen mit dem zugehörigen Sicherheits-Update – veröffentlicht hat (siehe www.microsoft.com/germany/technet/sicherheit/bulletins/ms04-011.mspx).
Umso wichtiger ist es daher, ein Sicherheitsbewusstsein zu entwickeln und entsprechend vorzubeugen. Denn ebenso klar zeigen Sasser & Co. abermals, dass diese subversiven Kreationen bei Anwendern, die auf die von Microsoft und seinen Partnern offerierten Schutzmaßnahmen zurückgreifen, keine Chance haben, ihr schädliches Treiben auszuüben.
Sicherheitsplanung
Sicherheit ist kein statischer Zustand, der sich einmalig herstellen lässt. Vielmehr gibt es kontinuierliche Entwicklungen, um die Sicherheit stetig zu verbessern und aktuell auftretende Bedrohungen schnell beseitigen zu können. Entsprechende Prozesse einzurichten und Sicherheits-Updates (auch für Virenschutz-Programme) regel- und routinemäßig einzuspielen ist daher von besonderer Bedeutung.
Microsoft veröffentlicht seit dem 15. Oktober 2003 Sicherheits-Updates immer am zweiten Dienstag im Monat, was sich einfach merken lässt. Diese planbare Regelung ermöglicht es Kunden, neue Security-Updates ab dem zweiten Mittwoch im Monat zu evaluieren und entscheiden, wie damit zu verfahren ist. Im Falle einer dringlichen Gefahr durch Viren, Würmer, Angriffe oder andere negative Aktivitäten wird Microsoft aber sofort reagieren und entsprechende Security-Updates direkt herausgeben, ohne bis zum nächsten Security-Update-Tag des folgenden Monats zu warten.
Über den deutschen „Sicherheitsbenachrichtigungsdienst“ von Microsoft (siehe www.microsoft.com/germany/sicherheit/alerts.mspx) können sich Kunden kostenlos per E-Mail darüber informieren lassen, sobald neue Sicherheits-Updates oder kritische Warnungen veröffentlicht werden. Auf die unterschiedlichen Bedürfnisse seiner Kunden zugeschnitten, lässt sich dieser Dienst in zwei Varianten abonnieren: Mit Basisinformationen für Heimanwender und kleine Unternehmen oder mit detaillierten technischen Informationen für IT-Professionals.
Automatisch auf dem neuesten Stand bleiben
Microsoft veröffentlicht seine Sicherheits-Updates automatisch auf „Windows Update“. Wer dieses kostenlosen Angebot schon nutzt, war bei Sasser auf der sicheren Seite und hatte über zweieinhalb Wochen Zeit, um sich auf den Wurm vorzubereiten und davor zuverlässig zu schützen.
Privaten Benutzern ist daher die Nutzung des Windows Update-Dienstes sehr zu empfehlen. Hiermit können die jeweils neuesten Security- und andere wichtige Updates nach einem selbst wählbaren Plan automatisch heruntergeladen und auf dem PC installiert werden. Alles geschieht im Hintergrund, sodass das Internet-Erlebnis keine Beeinträchtigung erfährt.
Für Unternehmen mit mehreren PCs empfiehlt sich die Schaffung definierter Patch-Management-Prozesse. Zu diesem Zweck hat Microsoft die kostenlosen „Windows Update Services“ (WUS) entwickelt, mit denen Unternehmen die Update-Verwaltung ihrer Arbeitsplatz-PCs und Server denkbar einfach zentralisieren und automatisieren können. Mit WUS als Nachfolger der von vielen Unternehmen bereits erfolgreich – auch zur Sasser-Abwehr – eingesetzten „Software Update Services“ (SUS) wird das Patch-Management abermals vereinfacht: Unter anderem fasst WUS die bisher getrennten Bereiche Windows Update, Office Update und Microsoft Download Center zu einem einzigen, zentralen Dienst zusammen, sodass es künftig bei Microsoft eine einheitliche Anlaufstelle für Sicherheits- und andere wichtige Updates gibt. WUS befindet sich derzeit im Beta-Test und wird im Verlauf des Jahres 2004 erhältlich sein.
Windows Update und WUS stehen zusätzliche Tools von Microsoft zur Seite: Der auf IT-Profis zugeschnittene, kostenlose „Microsoft Baseline Security Analyzer“ (MBSA) etwa nimmt für Windows-basierte Arbeitsplatz-PCs und Server im Netzwerk einen zentralen Check der Systemsicherheit vor und erstellt für jeden überprüften Computer einen entsprechenden Security-Bericht. Mit diesem „Patch-Scan“ lässt sich auf einen Blick übersichtlich erkennen, wie es um den Sicherheitszustand lokaler und Remote-PCs bestellt ist.
Sich wirkungsvoll schützen
Weiterer Schutz lässt sich durch die Verwendung von Firewalls erzielen. Heimanwender können beispielsweise auf die in Windows XP integrierte Internetverbindungsfirewall zurückgreifen, um sich bei direkten Internetverbindungen per Modem, ISDN oder DSL vor Gefahren aus dem Internet zu schützen. Wer einen Router im heimischen oder kleinen Firmennetz zur Internet-Connectivity benutzt, sollte die dort in aller Regel integrierte Firewall aktivieren. Für den Unternehmenseinsatz gibt es Firewall-Lösungen wie den Microsoft Internet Security & Acceleration (ISA) Server 2004, die die erweiterten Sicherheitsbedürfnisse von Firmen erfüllen.
Sich alleine auf die Perimeter-Absicherung zu verlassen und mit der Firewall eine starke Burgmauer zu errichten, reicht heutzutage aber nicht mehr aus. Denn E-Mails und Notebooks dienen Würmern, Viren und anderen Schädlingen ebenfalls als Transportmittel, um in ein Netzwerk zu gelangen. Aus diesem Grund müssen insbesondere Unternehmens-, aber auch Heimnetzwerke mit weiter gehenden Schutzmaßnahmen versehen werden. Virenschutz-Programme und Personal-Firewalls tragen entscheidend dazu bei, dass Netzwerk-PCs vor diesen unerwünschten Plagegeistern geschützt bleiben.
Sicher mit Microsoft
Microsoft ist führend, wenn es um Sicherheit sowie die Entwicklung und Implementation neuer Security-Technologien geht. Kunden werden mit einer umfassenden Sicherheitsstrategie unterstützt: Beim kommenden Service-Pack 2 für Windows XP spielt die Optimierung der Sicherheit die Hauptrolle – sowohl im Hinblick auf Internet und Intranet sowie für E-Mail und Instant-Messaging. Und im Service-Pack 1 für Windows Server 2003 sind ebenfalls eine Reihe von Security-Erweiterungen enthalten, die die Sicherheit von IT-Umgebungen in Unternehmen zusätzlich steigern.
Darüber hinaus können sich Kunden im Sicherheits-Portal von Microsoft Deutschland (siehe www.microsoft.com/germany/sicherheit/default.mspx) eingehend über alle Aspekte zum Thema Sicherheit informieren. Heimanwender erfahren dort, wie sie die Sicherheit ihres Windows-PCs in 3 Schritten (siehe www.microsoft.com/germany/athome/security/) schnell und einfach verbessern. Für IT-Profis und Entwickler stehen im „Security Guidance Center“ (siehe www.microsoft.com/germany/sicherheit/guidance/default.mspx) Sicherheits-Tools, -Checklisten und -Leitfäden sowie Hinweise zu Trainings bereit.
Bestmögliche Unterstützung für die Sicherheit von PCs lautet das Motto von Microsoft. So sind Anwender bestens gerüstet, Sasser & Co. auch künftig keine Chance zu lassen.