Hallo Partner... Gedanken angesichts Trojanischer Pferde zur Industriespionage

Ordnungsmerkmale

erschienen in: <kes> 2005^#3, Seite 6

Rubrik: Bedrohung

Schlagwort: Industriespionage

Zusammenfassung: Die jüngst aufgedeckten Fälle von Industriespionage mit gezielt eingebrachter Malware geben Anlass, die Anforderungen an den Datenaustausch mit Partnern noch einmal neu zu überdenken.

Autor: Von Calum Macleod, Eindhoven (NL)

Diskette einlegen, Virus ins System des Widersachers hochladen, angespannt auf den Bildschirm blicken und zusehen, wie sich der Schädling durch die Daten und Systeme frisst, bis – je nach Szenario – entweder die Zentrale des feindlichen Imperiums völllig lahmgelegt ist oder heikle Daten den Weg auf den eigenen PC gefunden haben... so oder so ähnlich haben wir es schon in vielen Filmen vorgeführt bekommen und vielleicht den Kopf geschüttelt über die "naive" Darstellung der Hollywood-Regisseure. Doch wie "naiv" ist die Wirklichkeit?!

Mehr als ein paar Tastendrücke hat es schon gekostet, um unlängst in Israel Unternehmen auszuspionieren. Aber das Prinzip ist gar nicht so weit weg von der vermeintlich banalen Fiktion: ein eigens erstelltes Trojanisches Pferd, hübsch getarnt als geschäftliche Offerte oder Werbung und dann per CD oder E-Mail an die "Zielpersonen" verschickt, die erwartungsgemäß als arglose Helfer der Spione agieren und ihr eigenes Netzwerk kompromittieren.

Industriespionage gelangt nur selten ans Licht der Öffentlichkeit. Dass Ende Mai ein israelischer Fall für internationale Schlagzeilen gesorgt hat, mag daran liegen, dass gleich fünf Firmen betroffen sind, dass über ein halbes Jahr lang polizeiliche Ermittlungen liefen oder dass diese durch einen vermutlich eher privat motivierten Angriff auf einen Autor angestoßen worden waren – oder an etwas völlig anderem. So oder so: Denkbar sind derartige Vorfälle wohl jederzeit und fast überall.

Dass technische Sicherheitsmaßnahmen hier versagen, mag auch nur im ersten Moment erstaunen: Virenscanner erkennen Malware, die in Massen auftritt, nicht aber "Spezialanfertigungen". Desktop Firewalls, die eine verräterische Programmaktivität erkennen und stoppen könnten, sind wenig verbreitet und ließen sich von professionellen Angreifern womöglich ebenfalls austricksen. Restriktive Policies zur Nutzung von Dateien sind unbequem und schwer durchzusetzen – zumal bei Führungskräften. Und so weiter...

Der springende Punkt im vorliegenden Fall ist, dass die riskanten Dateien von vermeintlich vertrauenswürdigen (potenziellen) Geschäftspartnern kamen – womöglich sogar nach ausdrücklicher Verabredung. Auch elektronische Signaturen hätten da nichts bewirkt, denn der Absender war ja "echt", wenngleich böswillig.

Der Datenaustausch mit Partnern ist heute ein klares "Muss" – doch viele der dabei verwendeten Mechanismen basieren noch zu sehr auf Vertrauen in den anderen oder in die Integrität der Systeme, die er nutzt. Welche Anforderungen sollte man also an die genutzte Infrastruktur stellen, um das Risiko zu verringern, ausgespäht zu werden? Die Anregungen im Folgenden beziehen sich einerseits auf die Vorsicht beim Datenaustausch mit Partnern, aber zum anderen auch auf die eigene Datenhaltung, damit im Falle eines Falles ein Trojanisches Pferd möglichst ins Leere läuft.

Gurt und Airbag

Interne Netze nicht für Externe öffnen: Die erwünschte Übertragung von Dateien von und nach "draußen" darf interne Strukturen nicht offenbaren oder gefährden. Zwischen Partner und internem Unternehmensnetzwerk darf es zu keinen direkten Kommunikationsverbindungen kommen.
Sicheres "Zwischenlager": Der Speicherort, wo Daten auf die Übertragung an einen Partner oder die Auslieferung ins eigene Netz warten, muss gut geschützt sein, besonders wenn er in einem "unsicheren" Netzsegment liegt (z. B. eine DMZ oder bei einem Outsourcing-Dienstleister). Zudem sollte man exakt festlegen, welche Dateiformate statthaft sind und gewährleisten, dass nur Malware-freie Dateien "eingeliefert" werden können.
"Sterile" Austauschumgebung: Verschlüsselung und andere Sicherheitsmechanismen auf der Speicherebene dürfen sich nicht umgehen lassen. Es hilft beispielsweise wenig, wenn eine chiffrierte Datei dennoch absichtlich gelöscht oder versehentlich modifiziert – und dadurch unbrauchbar gemacht – werden kann. Eine "sterile" Umgebung schützt die Sicherheitsmechanismen: Hierzu darf nur ein einziger Zugriffskanal zu den Daten bestehen und ein striktes Protokoll muss verhindern, dass Remote User irgendwelchen Programmcode einschleusen können. Keine solche sterile Umgebung wäre beispielsweise ein schlichter FTP-Server, der (womöglich als eine von vielen Applikationen) auf einem "ganz normalen", vermutlich vielfältig angreifbaren System läuft.
Übertragene Daten schützen: Im Sinne einer Ende-zu-Ende-Sicherheit müssen Daten auch während des Transports gesichert werden, vor allem wenn dieser über ein öffentlich zugängliches Netz erfolgt. Da der eigentliche Austauschvorgang ein bedeutsamer Teil eines umfassenderen Geschäftsprozesses ist, muss neben dem Schutz von Vertraulichkeit und Authentizität hier auch die korrekte Ausführung an sich gewährleistet und nachprüfbar sein (Vollständigkeit, Nichtabstreitbarkeit); dabei bietet sich der automatisierte Einsatz elektronischer Signaturen an.
Gespeicherte Daten schützen: Im Sinne einer zusätzlichen Verteidigungslinie gegen Spähangriffe müssen Daten auch an ihrem normalen Aufbewahrungsort gesichert sein. Kernpunkt dieser Sicherung ist eine effiziente Verschlüsselung, die gleichermaßen sicher wie handhabbar ist. Zudem sind auch hier Maßnahmen gegen Löschung und sonstige Manipulationen zu treffen.
Fortlaufende Überwachung und Revision: Für alle Aktivitäten bezüglich sensitiver Daten müssen sowohl Echtzeitüberwachung (Monitoring) als auch spätere Revision (Audit) möglich sein. Dies ermöglicht es einerseits, die Einhaltung von Unternehmensrichtlinien (Policies) zu überprüfen und die Nutzung von Daten nachzuvollziehen. Andererseits kann es auch abschreckend auf mögliche Angreifer wirken, da eine manipulationssichere Protokollierung zu ihrer Identifizierung beitragen könnte.
Durchsatz: Sicherungsmechanismen dürfen nicht dazu führen, dass die Performance "in den Keller geht". Gerade bei der geschützten Übertragung großer Datenmengen an viele Empfänger über das Internet mit seinen schwer vorhersagbaren Durchsatzraten ist es besonders wichtig, auf eine optimale Leistungsfähigkeit der eigenen Systeme und Verfahren zu achten. Hierzu gehört neben ausreichenden Ressourcen und dem Einsatz von Kompressionsalgorithmen auch, nach einem Verbindungsabbruch nicht wieder von vorne anfangen zu müssen (Fehlertoleranz).
Einfache Integration in Geschäftsprozesse: Gesicherter Datenaustausch darf als Bestandteil eines übergeordneten Prozesses nicht zum Stolperstein werden und muss sich daher nahtlos in bestehende Verfahren einbinden lassen. Hierzu sind sowohl Automationsmöglichkeiten als auch ein flexibles und leicht bedienbares "Front-end" erforderlich, mit dem nicht nur von Spezialisten interagieren können. Zudem besteht bei komplizierten oder aufwändigen Verfahren neben einer erhöhten Fehlerwahrscheinlichkeit auch die Gefahr, dass Mitarbeiter das sichere System umgehen und Daten ungeschützt auf "Abwegen" übertragen.

Neben gleichermaßen praktikablen wie sicheren Verfahren an der Schnittstelle zu Partnern und bei der Speicherung eigener Daten sollte man auch noch einmal nachhalten, wie es um die Kenntnisse und Vorgehensweisen der eigenen Mitarbeiter bestellt ist.

Sicherheit ist immer auch auf die Mitwirkung der eigenen Leute angewiesen. Und nicht zuletzt bildet ein gesundes Maß an Misstrauen, verbunden mit einem grundlegenden Wissen um Bedrohungen und Abläufe, eine zusätzliche Verteidigungslinie an jedem einzelnen Arbeitsplatz, die auch dann noch halten kann, wenn die Technik versagt.

Calum Macleod ist European Director von Cyber-Ark Software ( [externer Link] www.cyber-ark.com)