Zentrale Sicherheitsrisiken 2012 Detail - Computerwelt

Computerwelt: Aktuelle IT-News Österreich


10.01.2012 Rudolf Felser

Zentrale Sicherheitsrisiken 2012

Im Hinblick auf konkrete Bedrohungsszenarien und aktuelle IT-Trends hat Cyber-Ark vier Bereiche identifiziert, die in diesem Jahr unter Sicherheitsaspekten verstärkt in den Fokus rücken werden.

Die Angriffe des vergangenen Jahres haben verdeutlicht, dass Maßnahmen zum Schutz vor Insiderspionage oder -sabotage keineswegs ausreichend sind. Vielmehr sind gerade präventive Aktivitäten zum Schutz vor externen Angriffen zu ergreifen. Dabei sollten vier Aspekte berücksichtigt werden:

ZIELGERICHTETE ATTACKEN Die Qualität der Attacken hat im vergangenen Jahr weiter zugenommen. Sie waren im Vergleich zur Vergangenheit teilweise auch wesentlich zielgerichteter, wie das Beispiel Stuxnet bereits im Jahr 2010 gezeigt hat. Im Jahr 2011 wurden generell verstärkt privilegierte Benutzerkonten als "Einfallstor" von Angreifern verwendet. Sie sind deshalb so attraktiv, da sie oft einen anonymen Zugang zu vertraulichen Informationen bieten. Nach Cyber-Ark-Einschätzung werden sie auch in diesem Jahr zunehmend für Angriffe genutzt werden – allein schon, weil viele Unternehmen bei der Identifizierung und Beseitigung der Schwachstellen bei privilegierten Accounts noch in der Anfangsphase stecken.

EINGEBETTETE PASSWÖRTER Ein zentrales Sicherheitsproblem besteht bei den eingebetteten Passwörtern, das heißt bei frei zugänglichen Passwörtern, die in Anwendungen, Skripten oder Konfigurationsdateien gespeichert sind und einen automatischen Zugriff auf Backend-Systeme ermöglichen. Diese Passwörter liegen in der Regel im Klartext vor und werden selten oder nie geändert, da ein manuelles Passwortmanagement hier sehr zeitaufwändig und zudem fehlerbehaftet wäre. Sie sind unter Sicherheitsaspekten problematisch, da sie in der Regel einer großen Anzahl an Usern wie Systemadministratoren und Entwicklern zugänglich sind. Das bedeutet auch, dass ein kaum überschaubarer Personenkreis eine Zugriffsmöglichkeit auf unternehmenskritische Datenbestände hat.

Neben den Application- oder Software-Accounts sollte man laut Cyber-Ark auch die Default-Passwörter nicht außer Acht lassen, die – zum Teil unerkannt – in den Systemen vorhanden und manchmal nur dem Software-Hersteller bekannt sind. Die Gefahr, die von solchen Passwörtern ausgeht, hat der Trojaner Stuxnet und sein groß angelegter Computer-Angriff auf Industrieanlagen deutlich gezeigt.

Die einzig sinnvolle Lösung für diese Problematik ist nach Cyber-Ark die Eliminierung eingebetteter Passwörter in Applikationen und die Implementierung einer Lösung, die eine automatische Verwaltung und sichere Abfrage von Applikationspasswörtern bietet.

SCADA-SYSTEME Das vergangene Jahr hat eindeutig gezeigt, dass in vielen Bereichen das Thema Sicherheit eindeutig zu kurz kommt. Zu nennen sind hier Lösungen zur Speicherprogrammierbaren Steuerung (SPS) oder SCADA-Software. Sie sind einerseits in der Regel nicht im Hinblick auf Sicherheit entwickelt worden, bieten andererseits aber einen Zugang zu unter Sicherheitsaspekten extrem kritischen Systemen, Anlagen oder Maschinen.

Cyber-Ark geht davon aus, dass in 2012 ein erhebliches Wachstum in der Entwicklung von Methoden zu sehen ist, die es ermöglichen, Hardware mittels Software zu attackieren. So werden auch SCADA-Systeme künftig von Cyber-Angriffen zunehmend betroffen sein. Die höhere Anzahl an Attacken wird auch dazu führen, dass man sich hier verstärkt um die Entwicklung von Schutzmaßnahmen kümmern wird. Eine der größten Herausforderungen im Umfeld von SCADA-Systemen besteht darin, dass die Beseitigung von Schwachstellen – auch wenn sie bekannt sind – mit einem erheblichen Aufwand verbunden ist. Viele SCADA-Anbieter ziehen es deshalb heute noch vor, die Sicherheitslücken geheim zu halten, anstatt sie zu schließen. Eine langfristig erfolgreiche Strategie kann dies allerdings nicht sein.

PRIVATE CLOUDS Hinsichtlich der Nutzung von Public-Cloud-Infrastrukturen bestehen bei vielen Unternehmen nach wie vor Sicherheitsbedenken. Private-Cloud-Varianten werden aber zunehmend genutzt, ohne dass auch hier Aspekte, die die Sicherheit betreffen, näher analysiert werden. Sie sollten allerdings auch genau unter die Lupe genommen werden, denn in Virtualisierungsumgebungen ohne ausreichendes Security-Management bestehen erhebliche Sicherheitsrisiken. Das betrifft insbesondere die Accounts der Hypervisoren, die umfassende Zugriffsrechte besitzen, das heißt, privilegierte User haben oft Zugang zu Tausenden von virtualisierten Servern, Datenbanken und Applikationen – und damit die Möglichkeit einer unautorisierten Nutzung von Daten. Laut Cyber-Ark werden deshalb in diesem Jahr Sicherheitsvorkehrungen vor Angriffen auf Hypervisoren eine hohe Priorität im Bereich der IT-Security einnehmen. Bei der Implementierung von Private-Cloud-Infrastrukturen wird es nicht mehr alleine um die Realisierung einer maximalen Kosteneffizienz gehen, sondern verstärkt auch um das Thema Sicherheit, das heißt um die Verwaltung und Überwachung sowie ein Log-Management von privilegierten Accounts in virtuellen Umgebungen. (pi)

Diesen Artikel

Bewertung:

Übermittlung Ihrer Stimme...
Noch nicht bewertet. Seien Sie der Erste, der diesen Artikel bewertet!
Klicken Sie auf den Bewertungsbalken, um diesen Artikel zu bewerten.
  Sponsored Links:

IT-News täglich per Newsletter

E-Mail:
Weitere CW-Newsletter

CW Premium Zugang

Whitepaper und Printausgabe lesen.  

kostenlos registrieren

Aktuelle Praxisreports

(c) FotoliaHunderte Berichte über IKT Projekte aus Österreich. Suchen Sie nach Unternehmen oder Lösungen.

Zum Thema

  • Snap Consulting - Systemnahe Anwendungsprogrammierung u Beratung GmbH

    Snap Consulting - Systemnahe Anwendungsprogrammierung u Beratung GmbH Wasser- und Energieversorgung, Öffentliche Verwaltung, Medizin und Gesundheitswesen, Maschinen- und Anlagenbau, Luft- und Raumfahrttechnik, Logistik, Konsumgüterindustrie,... mehr
  • Fabasoft AG

    Fabasoft AG Vereine und Verbände, Öffentliche Verwaltung, Medizin und Gesundheitswesen, Luft- und Raumfahrttechnik, Freie Berufe, Finanzdienstleistungen, Qualitätssicherung,... mehr
  • selectyco Media Solutions GmbH

    selectyco Media Solutions GmbH B2C Dienste und Lösungen, B2B Dienste und Lösungen mehr
  • eyepin GmbH

    eyepin GmbH Application Service Providing, Auftragsentwicklung für Software, Individual-Softwareentwicklung, Programmierung, Übernahme von Softwareprojekten mehr

Hosted by:    Security Monitoring by: