In den meisten Unternehmen haben Daten einen enormen Wert. Seien es Pläne für neue Produkte, die die Zukunftsfähigkeit des Unternehmens sicherstellen sollen oder Daten, die aufgrund rechtlicher Vorgaben verfügbar sein müssen. Diese Daten befinden sich im Allgemeinen auf einem zentralen Speicher, …
Die Arbeit in der operativen Informationssicherheit ist neben der nachhaltigen Umsetzung von Sicherheitsmaßnahmen wie Virenschutz, Firewalling und Co. geprägt vom Management von Schwachstellen und Sicherheitsvorfällen, die oft ihre Ursache in Fehlern in einer Software oder auch auf Hardware-Ebene haben.
Künstliche Intelligenz ist inzwischen an vielen Stellen ein fester Bestandteil unseres Alltags und zu einem Grundbestandteil von einer Vielzahl von Diensten und Anwendungen geworden. Beispiele sind sprachbasierte Assistenzsysteme wie Alexa, Sprachübersetzungen wie Google Übersetzer und Chat Bots, …
Ein Kernelement der operativen Informationssicherheit ist das effiziente und effektive Management von Schwachstellen und Sicherheitsvorfällen.
Wir benötigen hierzu eine zentrale Stelle an der sicherheitsrelevante Informationen und Ereignisse zusammenlaufen, protokolliert und in Echtzeit analysiert werden.
Wer heute eine Web-Anwendung entwickelt, geht in die Cloud. Als Gründe dafür werden neben der scheinbar unbegrenzten Bandbreite zumeist Skalierbarkeit, Sicherheit und Ausfallsicherheit genannt. Doch wie werden diese eigentlich realisiert? Ist die Cloud wirklich unter allen Umständen sicher und welche Möglichkeiten bieten sich? In diesem Artikel gehen wir diesen Fragen anhand der Architektur von Web-Anwendungen nach und beleuchten für jede Schicht die Skalierbarkeits- und Sicherheitsaspekte.
Ein Wort zur Sicherheit vorweg: „Bei Amazon gibt es einen Haufen Sicherheitsprofis, die die Sicherheit garantieren. Das kann man selbst doch gar nicht leisten“. So ähnlich äußerte sich ernsthafter Weise ein Berater zum Thema Sicherheit von Cloud Anwendungen. Das ist natürlich gequirlter Blödsinn. Amazon und Microsoft interessiert es nicht, ob das, was die Kunden in ihrer Cloud betreiben, sicher ist oder nicht. Oder glauben Sie ernsthaft, die Cloud-Betreiber machen einen Code-Review, ob die selbstgestrickten Anwendungen ihrer Kunden fehlerfrei und sicherheitstechnisch unbedenklich sind? Natürlich nicht! Wie könnten sie das auch leisten?
Die Netzsegmentierung ist eine klassische Maßnahme der Informationssicherheit, die seit Jahren in entsprechenden Standards verankert ist und inzwischen in vielen IT-Infrastrukturen umgesetzt wird. Der Standard ISO 27001 fordert in der aktuellen deutschen Fassung von 2015 in Maßnahme A 13.1.3: „Informationsdienste, Benutzer und Informationssysteme werden in Netzwerken gruppenweise voneinander getrennt gehalten“. Dies gilt dann nicht nur für die Trennung des internen Netzes von Außenanbindungen (insbesondere der Internet-Anbindung), sondern auch für die Segmentierung des internen Netzes selbst.
Sie erinnern sich an unsere Nachricht vom vergangenen November: Die Sicherheitslücke namens KRACK ermöglicht die Kompromittierung von WPA2-abgesicherten WLANs. Das hat viele aufgeschreckt, auch wenn wir nach wie vor der Meinung sind, dass die Gefahr, die uns von dieser Sicherheitslücke droht, eher marginal ist. Mal abgesehen davon, dass viele WLAN-Treiber inzwischen gepatcht wurden. Oder sagen wir es mal anders: So lange Unternehmen immer noch bereit sind, WEP-verschlüsselte Endgeräte in ihre WLANs aufzunehmen, kann KRACK nicht wirklich schrecken.
Ohne Zweifel: Wir befinden uns im Jahrhundert der Künstlichen Intelligenz (KI).
KI ist inzwischen an vielen Stellen fester Bestandteil unseres Alltags und zu einem Grundbestandteil von einer Vielzahl von Diensten und Anwendungen geworden. Beispiele sind sprachbasierte Assistenzsysteme wie Amazon Echo (bzw. Alexa), Gesichtserkennung zur Authentisierung z.B. mit Face ID am iPhone, Sprachübersetzungen z.B. mit dem Google Übersetzer und Chat Bots, die automatisiert Nutzeranfragen beantworten. Interaktionen der Form „Alexa, bin zuhause, mach Licht und die Klimaanlage an und bestell mir meine Lieblingspizza.“ wären vor einigen Jahren noch Science Fiction gewesen.
Im Januar wurden mit „Spectre“ und „Meltdown“ die Grundfesten der Informationstechnologie und -sicherheit erschüttert. Auf einmal war die Annahme, dass der Prozessor sicher und vertrauenswürdig ist und man sich nur um die Software kümmern muss, infrage gestellt. Darauf folgten erste Patches und wieder neue Sicherheitslücken. Die Auswirkungen waren und sind noch nicht endgültig absehbar. Dabei sind auch neue Sicherheitsfunktionen moderner CPUs in den Hintergrund getreten, obwohl diese in vielen Bereichen sinnvoll eingesetzt werden können.
Je mächtiger die Berechtigungen eines Nutzers für den Zugriff auf IT-Systeme oder Anwendungen ist, desto wichtiger ist die Absicherung solcher Zugriffe. Dies gilt insbesondere für administrative Zugriffe auf IT-Komponenten und erfordert einen umfassen spezifischen Maßnahmenkatalog, der sich verschiedenster Techniken der Informationssicherheit von Sicherheitszonen, Firewall-Techniken über Authentisierung & Autorisierung bis hin zur Protokollierung und Verhaltensanalyse bedient.
Dieser Artikel beschreibt die Techniken, die sich dabei als Best Practice in verschiedensten IT-Infrastrukturen bewährt haben.
ComConsult GmbH
Pascalstraße 27
DE-52076 Aachen
Telefon: 02408/951-0
Fax: 02408/951-200
E-Mail: info@comconsult.com
