Die IT-Sicherheit von Unternehmen ist massiv bedroht. Eine der Hauptursachen dafür liegt in der verstärkten Nutzung von Consumer-Technologien.
Risiko Facebook, Twitter und Co.
Facebook und Twitter, aber auch von Apple iTunes öffnen die Tür für neue Angriffsszenarien auf Firmen-Systeme sowie -netzwerke. Sie stellen damit auch die IT-Abteilungen vor große Herausforderungen. Hinzu kommt, dass Angreifer sich raffinierter Techniken bedienen und inzwischen sehr gut in kriminellen Netzwerken organisiert sind. Zu diesem Kernergebnis kommt der "2010 Top Cyber Security Risks Report", den Hewlett Packard und der US-Marktforscher Tipping Point DV Labs herausgegeben haben.
Ein großes Sicherheitsrisiko sind nach wie vor Web-Anwendungen. Sie bieten Betrieben auf der einen Seite eine einfache und schnelle Möglichkeit, interaktive Beziehungen zu Kunden und Geschäftspartnern sowie deren Backend-Systemen aufzubauen. Auf der anderen Seite sind die Web-Applikationen anfällig gegenüber Angriffen.
Web-Applikationen: Offen für Cyber-Attacken
Im ersten Halbjahr 2010 registrierte die Open Source Vulnerability Database (OSVDB) knapp 4.100 Sicherheitsverletzungen bei Web-Anwendungen. Das ist ein geringer Anstieg gegenüber dem Vergleichszeitraum von 2009. Insgesamt flaute die Anzahl der Sicherheitsverletzungen seit dem Spitzenjahr 2006 (rund 6.000 registrierte Verletzungen) jedoch ab. Das gilt für alle Angriffsarten, wie etwa Cross-Site-Scripting, Buffer Overflow, SQL-Injection, Denial-of-Service-Attacken (DoS) und Remote-File-Include.
Zugelegt haben dagegen Angriffe über Cross Site Request Forgery (CSRF). Die Attacken sind mit den üblichen Sicherheits-Scans kaum zu entdecken. Hier werden Anwender gezwungen, nicht gewünschte Aktion in einer Web-Anwendung auszuführen, an der sie gerade angemeldet sind. Zum Beispiel können auf diese Weise Gelder von einem Online-Banking-System auf das Konto des Angreifers umgebucht werden.
PDF-Dateien verseucht
Weitere Problemfelder sind fehlende Patches bei Sicherheitsverletzungen von Web-Browsern sowie Attacken auf Web-Server. Im Juni 2010 gab es rund 12 Millionen Http-Server-Angriffe. Diese stechen Http-Attacken auf Clients zahlenmäßig klar aus - davon gab es im selben Zeitraum rund 200.000.
Interne IT-Organisationen müssen deshalb ihre "Anything-Goes"-Mentalität ablegen, die es Endanwendern erlaubt, am Arbeitsplatz alle möglichen Programme und Anwendungen auf den Desktop herunterzuladen.
Darüber hinaus leiden viele Unternehmen unter bereits bekannten Sicherheitsbedrohungen. Dazu gehören beispielsweise Zugriffsattacken auf das Betriebssystem über XP-Cmdshell oder SQL-Slammer oder der Conficker-Virus. Besonders wenn große Firmen neue Systeme ohne ausreichendes Security-Management implementieren werden die Systeme schnell infiziert.
Ein immer größeres Problem sieht der Bericht in der steigenden Verbreitung von Späh- und Schadcode über Dateien im PDF-Format von Adobe. Auf diese Weise verschaffen sich Angreifer Zugriff auf Server, die sensible Firmendaten wie Geschäftspläne, Finanzdaten sowie persönliche Informationen zu Kunden und Mitarbeitern, speichern. Stehlen sie diese Daten können sie damit entweder das Unternehmen erpressen oder diese verkaufen - zum Beispiel an Wettbewerber.
8 Tipps für mehr Sicherheit
Doch wie können Unternehmen das Risiko von Datenklau oder Datenverlust, verursacht durch Viren, Malware oder Späh-Software, minimieren? Der Bericht gibt dazu folgende acht Sicherheitstipps.
1. IT-Organisationen müssen die Möglichkeiten von Anwendern eng begrenzen, auf ihrer Arbeitsstation eigenmächtig beliebige Programme zu installieren und anzuwenden.
2. Durch ein effizientes Konfigurations-Management für Hardware und Software auf Laptops, Arbeitsstationen und Servern, lassen sich Zugriffe und damit Risiken besser kontrollieren.
3. Immer mehr Anwendungen wandern in die Cloud. Firmen müssen daher sehr genau überlegen, welche Anwendungen und Funktionen sie über das Internet bereitstellen ohne deren Sicherheit zu erhöhen.
4. Entwickler von Web-Applikationen müssen mehr für die Sicherheitsprobleme sensibilisiert werden.
5. Die Logins auf Websites müssen auf bestimmte Personenkreise innerhalb des Unternehmens begrenzt sein und besser administriert werden, etwa durch automatische Logout-Funktion.
6. Viele Attacken lassen sich abblocken, wenn auf den Systemen stets die aktuelle Sicherheits-Patches installiert sind.
7. Firmen sollten spezielles Sicherheitspersonal mit der Recherche und Beobachtung von Meldungen zu neuen Sicherheitsrisiken beauftragen und schulen.
8. Und schließlich: Unternehmen sollten kontinuierlich alle Systeme und Netzwerke auf Anomalien und Auffälligkeiten überwachen. Dadurch lassen sich Angriffe früh erkennen und der Schaden begrenzen.
Die Untersuchung basiert auf Daten des IT-Sicherheitsanbieters Qualys sowie auf ergänzenden Untersuchungen des mit Computersicherheit befassten SANS-Instituts auf Basis des Internet Storm Center. Dieses überwacht die Anzahl schädlicher Aktivitäten im Internet.