Insights 19.06.2019 Geschichte der Kyptografie Kryptografie: Von Schlüsseln und anderen Geheimnissen Kryptografie hat eine lange Geschichte – voller Geheimnisse, mathematischer Einfälle und politischer Verwicklungen. Regierungen und Revolutionäre, Liebespaare und Geschäftsleute: alle suchten schon immer nach Möglichkeiten, vertrauliche Informationen auszutauschen, ohne dass Dritte davon erfahren. Heute ist Kryptografie insbesondere im Internet nicht mehr wegzudenken – sei es beim Online-Banking oder bei der sicheren Anbindung von Unternehmensstandorten. Die grundlegende Idee ist dabei immer noch die gleiche: Vor dem Versand einer Nachricht wird sie so verändert, dass nur der beabsichtigte Empfänger, der das Verfahren und ein spezielles Geheimnis (den Schlüssel) kennt, sie wieder entziffern kann. Klassische Verfahren wie die Caesar- oder Vigenere-Chiffren wurden noch im Kopf oder mechanisch durchgeführt. Moderne Kryptoverfahren beruhen dagegen auf höherer Mathematik und erfordern Computer: Sowohl die vertrauliche Nachricht als auch der Schlüssel werden im Computer als sehr große Zahlen dargestellt, d. h. als Blöcke von Bits. Rotor-Schlüsselmaschine ENIGMA: ein bekanntes Beispiel für schwache Verschlüsselung Nach einem festgelegten Verfahren, dem sogenannten Verschlüsselungsalgorithmus, werden dann die Bits der Nachricht mittels mathematischer und logischer Operationen mit den Bits im Schlüssel verwirbelt. So entsteht aus dem lesbaren Klartext der verschlüsselte Chiffretext. Der Empfänger kann dies wieder rückgängig machen; dazu braucht er aber ebenfalls den Schlüssel. Ein guter Algorithmus stellt dabei sicher, dass vom Chiffretext möglichst wenig auf den Schlüssel geschlossen werden kann („Konfusion“) und dass bereits kleine Änderungen am Klartext große Auswirkungen auf den Chiffretext haben („Diffusion“). Moderne Algorithmen werden in der Regel offengelegt, nur der Schlüssel muss geheim bleiben (Kerckhoffs’ Prinzip). So kann der gleiche Algorithmus von der ganzen Welt verwendet werden – nur eben mit anderen Schlüsseln. Skeptische Dritte können den Algorithmus analysieren und sich von seiner Güte überzeugen, sofern sie denn über die erforderlichen kryptografischen Kenntnisse verfügen. Lange Zeit hatten nämlich nur Nachrichtendienste und das Militär fortgeschrittene Kenntnisse über Kryptografie. ENIGMA – die Mithörmaschine Im Zweiten Weltkrieg verschlüsselte die deutsche Wehrmacht ihre Funksprüche mit ENIGMA-Maschinen, die zu dieser Zeit als absolut sicher galten. Als es britischen und polnischen Mathematikern dann mit großem Aufwand doch gelang, die Schwachstellen in der Verschlüsselung zu entdecken und Funksprüche zu entziffern, wurde dies streng geheim gehalten. ENIGMA-Maschinen wurden jahrelang weiterhin in den Nahen Osten und nach Afrika verkauft, sodass man die Kommunikation abhören konnte. Die wilden Siebziger Privatwirtschaftliche und akademische Kryptografie-Forschung entwickelte sich erst in den 1970er Jahren. Der von IBM entwickelte Lucifer-Algorithmus wurde (mit einigen Änderungen) 1977 als Data Encryption Standard (DES) veröffentlicht und war dann lange Zeit das verbreitetste Verschlüsselungsverfahren. DES ist, wie alle Algorithmen vorher, ein sogenanntes symmetrisches Verfahren: Es nutzt den gleichen Schlüssel zum Verschlüsseln und Entschlüsseln. 1976 hatten Whitfield Diffie und Martin Hellman aber bereits einen ganz anderen Ansatz präsentiert: Im Artikel „New Directions in Cryptography“ stellten sie eine Idee für asymmetrische Verschlüsselungsverfahren vor. Diese arbeiten mit Paaren von Schlüsseln. Jedes Schlüsselpaar ist so konstruiert, dass es eine spezielle Eigenschaft hat: Was mit dem einen Schlüssel verschlüsselt wurde, lässt sich mit dem anderen Schlüssel entschlüsseln. Vorteil: Der Schlüssel zum Verschlüsseln (Public Key) kann öffentlich bekannt gegeben werden. Jeder, der mir eine Nachricht schicken will, kann sie mit dem gleichen Schlüssel (nämlich meinem Public Key) verschlüsseln – er muss nicht extra einen speziellen Schlüssel mit mir vereinbaren. Da niemand außer mir den passenden Schlüssel zum Entschlüsseln (Private Key) hat, kann nur ich die Nachrichten lesen. Wichtig ist allerdings, dass der Sender wirklich den Public Key nimmt, der zu mir gehört, d. h. für den ich allein den passenden privaten Schlüssel habe. Daher werden in der Praxis sogenannte Zertifikate ausgestellt, in denen eine vertrauenswürdige Stelle bestätigt, dass ein Public Key zu einer bestimmten Person gehört. Asymmetrische Krypto-Algorithmen (wie z. B. RSA) sind leider wesentlich langsamer als symmetrische, sodass sie in der Praxis in Kombination mit den symmetrischen Verfahren eingesetzt werden: Die Nutzdaten werden mit einem zufälligen Schlüssel symmetrisch verschlüsselt und nur dieser Schlüssel wird asymmetrisch verschlüsselt und vorab ausgetauscht. Die Rolle der Nachrichtendienste Was lange Zeit niemand wusste: Die Idee asymmetrischer Verschlüsselungsverfahren war gar nicht neu. Tatsächlich hatte ein Team im britischen Nachrichtendienst GCHQ bereits 1972 diese Public-Key-Kryptografie entwickelt – fast fünf Jahre vor Diffie und Hellman. Aber wie schon bei der ENIGMA wurde diese Erkenntnis als vertraulich eingestuft und die Autoren mussten darüber Stillschweigen bewahren. Nach wie vor gibt es Mutmaßungen darüber, wie überlegen wohl die Nachrichtendienste (die ja schon seit vielen Jahrzehnten an Kryptosystemen forschen) gegenüber den akademischen und kommerziellen Kryptologen aus der internationalen Forschergemeinschaft sind. Nicht ohne Grund wird dabei insbesondere die National Security Agency (NSA) misstrauisch beobachtet, ein Auslandsgeheimdienst der USA und der größte Arbeitgeber für Kryptologen und Mathematiker weltweit. Beispielsweise hatte die NSA Details an IBMs Lucifer-Algorithmus geändert, bevor er als DES für die allgemeine Verwendung standardisiert wurde. Einerseits verringerte sie die Schlüssellänge (56 statt 128 Bit) und damit die Anzahl möglicher Schlüssel. Damit wurde es theoretisch leichter, den Schlüssel durch reines Ausprobieren zu ermitteln; für die langsamen Computer in den 1970er und 1980er Jahren immer noch völlig unmöglich, vielleicht aber machbar für die leistungsfähigen Rechenzentren der NSA? Andererseits wurden ein paar Details im Algorithmus geändert, um ihn gegenüber einer Angriffsmethode zu stärken, die in der Öffentlichkeit erst 1991 entdeckt und als „differenzielle Kryptanalyse“ bekannt wurde, die aber die NSA offensichtlich schon 1975 kannte. Crypto Wars: Verschlüsselung als Privileg? Die 1990er Jahre waren dann geprägt von Diskussionen, ob starke Verschlüsselungsverfahren überhaupt für die Allgemeinheit (und damit auch für potenzielle Feinde) verfügbar sein dürfen. Als Phil Zimmermann 1991 in den USA seine Verschlüsselungssoftware PGP kostenlos für jedermann veröffentlichte, galt Kryptografie in den USA noch als Waffe und unterlag Exportbeschränkungen. Um diese zu umgehen, wurde der Quellcode kurzerhand als „Free Speech“ in Buchform publiziert und dann in Europa wieder eingescannt. 1993 wollte die amerikanische Regierung den sogenannten Clipper-Chip als Verschlüsselungsmethode vorschreiben; einen Chip, in den sie eine Hintertür eingebaut hatte, um jegliche Kommunikation auf einfache Weise abhören zu können. Nach starken Protesten wurde dieser Plan jedoch verworfen. In Frankreich war der private Einsatz von Kryptografie 1990 bis 1996 sogar ganz verboten – es sei denn, man hinterlegte seinen Schlüssel bei der Regierung. Kryptografieexperten sind Mangelware Erst Ende der 1990er Jahre erfolgte ein Umdenken. Die Regierungen erkannten, dass allgemein verfügbare, hochwertige Kryptografie insbesondere für sichere Kommunikation im Internet unbedingt erforderlich ist. Exportbeschränkungen wurden gelockert und für die Auswahl des heutigen Advanced Encryption Standard (AES) wurde gar ein öffentlicher Wettbewerb veranstaltet, bei dem Forscherteams aus der ganzen Welt ihre Algorithmen vorstellen konnten. Und obwohl der Gewinner aus Belgien kommt, wird er selbst von der amerikanischen NSA zur Verschlüsselung von Dokumenten der höchsten Geheimhaltungsstufe zugelassen. Am AES-Wettbewerb erkennt man aber auch, dass nur wenige Personen auf der Welt hochwertige Verschlüsselungsverfahren entwickeln können: Obwohl alle 15 Vorschläge von renommierten Kryptologen kamen, schieden einige von ihnen (u. a. auch der deutsche Teilehmer MAGENTA) frühzeitig aus, weil Sicherheitsprobleme entdeckt wurden. Sichere Lösungen von genua Bei genua setzen wir in unseren VPN- und Firewall-Lösungen daher auf bewährte und offengelegte Standardverfahren wie AES und RSA. Probleme entstehen heute aber weniger durch schwache Algorithmen, sondern eher durch Fehler bei der Implementierung. Wir nutzen deshalb nur ausgereifte Software-Bibliotheken sowie die kryptografischen Funktionen von Smartcards. Die Krypto-Funktionen unserer Produkte werden außerdem im Rahmen der Zertifizierungen nach Common Criteria von unabhängigen Prüfern besonders sorgfältig untersucht – damit die Geheimnisse unserer Kunden auch weiterhin geheim bleiben. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Encryption Artikel teilen Zurück zur Übersicht

Insights 10.11.2015 Forschung APT-Sweeper: Neue Ideen im Kampf gegen gezielte Angriffe Advanced Persistent Threats (APT) sind Spionage- und Sabotageangriffe gegen ausgewählte Ziele, z. B. in Militär, Politik, Wirtschaft oder Forschung. Da ein großer Aufwand betrieben wird, um den Angriff zu verstecken, erfolgt eine Entdeckung oft erst nach Monaten oder Jahren. Im Forschungsprojekt APT-Sweeper erforschen wir neue Ansätze zur frühzeitigen Erkennung und Abwehr derartiger Angriffe. Forschungsprojekt APT-Sweeper Der Einsatz von Computertechnik durchzieht alle Teile unseres Lebens. Sei es beim Austausch über Mail, Facebook, WhatsApp oder Skype mit Freunden, der Entspannung bei Musik und Videos oder dem Beziehen aktueller Informationen aus naher und ferner Welt. Über den Computer kommunizieren wir komfortabel und schnell und teilen auch Privates mit ausgewählten Personen, in der Hoffnung, dass dieses privat bleibt. Schnelle und vertrauliche Kommunikation ist auch in Wirtschaft, Forschung, Politik, Militär, Finanzwesen und Infrastrukturen nötig. Seien es Verhandlungen zum Klimaschutz, das nächste iDevice, Abwehrsysteme für feindliche Raketen, Interna zur Finanzsituation einer Aktiengesellschaft oder jeglicher Austausch über Internet und Telefon – die Vielfalt, Menge und Qualität derartiger Informationen wecken Begehrlichkeiten und führen zu Spionageaktivitäten. Darüber hinaus ermöglicht eine Infiltration von computerbasierten Steueranlagen in Industrie und Infrastrukturen Sabotageaktionen, um z. B. die Konkurrenz zu ärgern, Firmen zu erpressen oder auch Energieversorgung, Kommunikations- und Transportsysteme des Gegners in Konfliktsituationen effizient lahmzulegen. Die Hintermänner dieser gezielten Angriffen sind überwiegend Nachrichtendienste aus aller Welt. Spätestens seit der Snowden-Affäre wissen wir, dass selbst Nachrichtendienste eigentlich befreundeter Länder deutsche Ziele ausspionieren. Aber auch aus der klassischen Kriminalität kommen verstärkt zielgerichtete Angriffe auf Computersysteme, da sie eine hohe Profitabilität bei geringem Risiko ermöglichen. Die erbeuteten Informationen werden dabei entweder selbst genutzt, z. B. für Erpressungen, oder auf dem Untergrundmarkt weiterverkauft. Außerdem offerieren professionelle Hacker ihre illegalen Dienstleistungen in Untergrundmärkten und man kann davon ausgehen, dass sich auch Nachrichtendienste dieser Dienste bedienen. Ablauf eines APT-Angriffs Ein APT-Angriff lässt sich grob unterteilen in die Vorbereitungsphase, Infektionsphase sowie die Ausbreitungs- und Aktionsphase. Während der Vorbereitungsphase sammelt der Angreifer Informationen zu dem Ziel, um darauf basierend den Angriff so unauffällig und effektiv wie möglich zu gestalten. So beinhalten z. B. typische Spear-Phishing-Mails für das Opfer interessante Inhalte, die von vertrauten Absendern zu kommen scheinen und zu scheinbar vertrauenswürdigen Webseiten verlinken. Mit Wissen über die beim Opfer eingesetzten Sicherheitsmaßnahmen können Mail-Anhänge so gestaltet werden, dass der Angriff unentdeckt bleibt. In der Infektionsphase transportiert der Angreifer dann die Malware zum Opfer. Typische Wege sind dazu die erwähnten Spear-Phishing-Mails, aber auch Web-basierte Waterholing-Attacken. In diesem Fall sind vom Opfer typischerweise besuchte Webseiten entweder direkt infiziert oder liefern die Malware über gezielte Anzeigen (Malvertising) aus. Daneben gibt es aber noch eine Vielfalt anderer Angriffswege, wie z. B das Ausnutzen von Sicherheitslücken im Web Server, Erpressung, Bestechung oder auch beim Hersteller oder beim Transport mit Malware infizierte Hardware. Hat die Malware dann den Weg zum Opfer gefunden und dieses erfolgreich und unbemerkt infiziert, so beginnt die eigentliche Aktionsphase. Gesteuert aus der Ferne über Command-and-Control-Kanäle (C&C) breitet sich die Malware im Netz des Opfers aus, infiziert weitere Systeme und sammelt die vom Angreifer gewünschten Daten. Der Datenaustausch erfolgt dabei gezielt unauffällig und geschieht durch Nutzung z. B. von Blogs, Facebook oder Twitter. Bisherige Verteidigungsstrategien Klassische Verteidigungstechniken wie Viren-Scanner, Intrusion Detection Systeme (IDS) oder Firewalls werden von APT-Angriffen gezielt unterlaufen. Zwar wird versucht, über vielfältige Technologien die Erkennungsqualität zu verbessern, aber Untersuchungen legen nahe, dass diese von den jeweiligen Herstellern hochgelobten Technologien zur „Advanced Threat Protection“ oftmals auf einfache Weise unterlaufen werden können und die initiale Malware-Infektion Erfolg hat. Da man davon ausgehen muss, dass zumindest ein Teil der Angriffe erfolgreich ist, wird mit Breach Detection Systems (BDS) versucht, die erfolgreiche Infektion bzw. die Ausbreitung und die Spionage- und Sabotageaktivitäten der Malware zu erkennen, um so den Schaden zumindest zu beschränken. Letztendlich arbeiten BDS in der Hoffnung, dass ein Angreifer irgendwann Fehler macht und sich dabei gegenüber dem normalen Netzwerkverkehr abhebt. Wie schwer die Entdeckung aber in der Praxis ist, zeigt sich daran, dass selbst ein Angriff gegen den Sicherheitsspezialisten Kaspersky dort erst nach vielen Monaten entdeckt wurde – und das eher wegen eines aufmerksamen Mitarbeiters und nicht eines BDS. Ein wichtiger Bestandteil der Verteidigung ist daher eine gestaffelte Sicherheitsarchitektur, damit unweigerlich auftretende Sicherheitsvorfälle nur beschränkte Auswirkungen haben und z. B. ein erfolgreicher Angriff auf die Vertriebsabteilung nicht bis in die Steuerung von Produktionsanlagen durchschlagen kann. Auch kann der Einsatz strategisch platzierter Fallen hilfreich sein, um einen erfolgreichen Angriff zu erkennen. Dies können zum Beispiel Nutzer-Accounts, Dokumente oder Computer sein, die im Normalfall nicht benutzt werden sollten. Ein Zugriff auf diese Canary Traps deutet dann auf einen erfolgreichen Einbruch hin. Unsere Ideen in APT-Sweeper? Demnächst im zweiten Teil dieses Artikels. Über APT-Sweeper: In dem vom Bundesministerium für Bildung und Forschung geförderten Projekt APT-Sweeper erforschen Experten der Firma genua, der Georg-August-Universität Göttingen und der Friedrich-Alexander-Universität Erlangen neue Methoden, um gezielte Angriffe frühzeitig zu entdecken, d. h., bevor sie Schaden anrichten können. Mehr zu aktuellen und vergangenen Forschungsprojekten von genua. Bildquelle: ©logo3in1, compressor - Fotolia.com Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Forschung Angriffserkennung Artikel teilen Zurück zur Übersicht

Case Study 03.05.2022 Fernwartung in VS-NfD-Netze Mixed-Reality-Kollaboration in Echtzeit für Bundeswehr und Wehrtechnik Im Feldlager, zur See, in Katastrophengebieten: Die Wartung und Reparatur von Wehrtechnik findet häufig am Einsatzort statt, um die Einsatzbereitschaft der dringend benötigten High-Tech-Ausrüstung jederzeit sicherzustellen. Um die hochkomplexen Systeme technisch zu betreuen, werden Experten mit Spezialwissen benötigt, von denen vergleichsweise wenige zur Verfügung stehen. Mit dem Fernunterstützungssystem "T-Maintenance XR" und der genua Rendezvous-Fernwartungslösung können Techniker vor Ort direkt, intuitiv und sicher über beliebige Entfernungen hinweg mit einem Experten via Mixed-Reality kollaborativ zusammenarbeiten. Die Wartung und Reparatur von Wehrtechnik findet häufig am Einsatzort statt Die Herausforderung Eine einsatzbereite Bundeswehr ist das oberste Ziel aller Wartungs- und Reparaturmaßnahmen in der Wehrtechnik. Diese Aufgabe findet in erster Linie nicht in der Werkstatt statt sondern am Einsatzort, also in Feldlagern, logistischen Einrichtungen oder auch auf Schiffen in internationalen Missionen. Die modernen Einsatzsysteme werden immer komplexer und müssen von vergleichsweise wenigen Experten mit spezialisierten Kenntnissen betreut werden. Daher ist das rare Expertenwissen schnell an den unterschiedlichsten Orten verfügbar zu machen, häufig nur für kurze Zeit und für wichtige Details. Moderne Mixed-Reality-Technologien ermöglichen dies. Eine sichere Fernunterstützung durch Experten stellt jedoch hohe Anforderungen an die IT-Sicherheit, verlangt eine einfache Integration in bestehende Netze sowie zuverlässige und transparente Kontrollmöglichkeiten. Die Lösung: Mixed-Reality-Kollaboration mit T-Maintenance XR "T-Maintenance XR" ist ein Fernunterstützungssystem , das es erlaubt, Techniker vor Ort schnell und kostengünstig durch Experten aus der Ferne zu unterstützen. Eine Besonderheit ist die Mixed-Reality-Kollaboration während der Durchführung der Wartung. Über eine sichere Audio- und Video-Verbindung in Kombination mit Echtzeit-Interaktion und Dokumentenaustausch können sich Remote-Experten intuitiv ein Bild von der Lage vor Ort verschaffen und mit dem Wartungstechniker vor Ort zusammenarbeiten. Dabei kommen auf dem Kopf zu tragende, visuelle Ausgabegeräte (Head-Mounted-Displays (HMDs) für Mixed-Reality wie z.B. Microsoft HoloLens 2 für beidhändige Wartung mit auditiver und visueller Unterstützung zum Einsatz. Eine Kamera mit fernsteuerbarer Fokussier- und Zoomfunktion gibt den Gesamtüberblick über das vorliegende Szenario. Wie läuft eine Fernunterstützungs-Session ab? Der Wartungstechniker ruft den Support-Desk an, um einen Experten anzufordern Der Support-Desk organisiert eine Remote-Sitzung für den Wartungstechniker Der Wartungstechniker nimmt über die XR-Anwendung auf HoloLens 2 an der Sitzung teil Der Experte nimmt über eine Webanwendung an der Sitzung teil Der Experte sieht die zu wartende Anlage aus Sicht des Technikers und kann per Audiokommunikation unterstützen. Er kann Dokumente bereitstellen und Markierungen setzen. Der Wartungstechniker führt die Wartung durch die Hilfestellung des Experten durch und beendet die Sitzung Rendezvous für sicheren Verbindungsaufbau und Austausch Dass Remote Access im militärischen Umfeld mit Blick auf den staatlichen Geheimschutz eine sensible Angelegenheit ist, lässt sich leicht nachvollziehen. Für die Fernunterstützung ist es notwendig, dass ein hochsicheres, eingestuftes Netz partiell in ein potenziell unsicheres externes Netz geöffnet werden muss. Daher kommt T-Maintenance XR in Kombination mit der Rendezvous-Fernwartungslösung von genua zum Einsatz, die auf Komponenten basiert, die vom Bundesamt für Sicherheit in der Informationstechnik (BSI) für VS-NfD zugelassen sind. Besonderheiten des Rendezvous-Ansatzes sind: Die Kommunikation erfolgt kontrolliert und begrenzt innerhalb eines vereinbarten Wartungszeitfensters über eine VS-NfD-verschlüsselte Verbindung Ein Rendezvous Server dient als sichere Vermittlungsstelle zwischen dem Wartungstechniker im Feld und dem internen VS-NfD-Netz, also dem Support-Desk Für die Remote-Sitzung baut der Feldtechniker über ein hochsicheres, VS-NfD-zugelassenes Endgerät einen IPsec-Tunnel zur Gegenstelle auf Die Fernwartungsverbindung muss immer von innen, also vom Service Desk, autorisiert und aufgebaut werden Für die direkte Verbindung wird ein SSH-VPN verwendet, das nur den Zugriff auf bestimmte Anwendungen/Dienste (Ports) gewährt Konfiguration, Steuerung, Überwachung und Aufzeichnung aller Netzwerkzugriffe erfolgen über eine zentrale Management-Lösung Der Kommunikationspartner im internen, eingestuften Netz behält jederzeit die Kontrolle über die Kommunikationsverbindung Das Ergebnis: Hochsichere Fernunterstützung für VS-NfD T-Maintenance XR von T-Systems in Kombination mit der Rendezvous-Fernwartungslösung von genua löst das Problem, dass für die Wartung von technisch hochkomplexen militärischen oder zivilen Systemen im Feld dedizierte Spezialkenntnisse von Experten notwendig sind, die nicht vor Ort zur Verfügung stehen. Mittels Mixed Reality können Experte und Feldtechniker remote kollaborativ und in Echtzeit an der Problemlösung arbeiten. Dies erhöht die Verfügbarkeit der Systeme und vermeidet unnötige Reisekosten. Besonderheiten der Lösung sind: Die Fernwartungslösung ist einfach in bestehende Netze zu integrieren, leicht zu erlernen und zu handhaben Sie unterstützt den intuitive Austausch von Expertenwissen in Echtzeit Durch eine BSI-zugelassene WLAN-Verbindung und das Rendezvous-Fernwartungskonzept mit VS-NfD-zugelassenen Komponenten eignet sie sich für den Einsatz im militärischen Umfeld und Geheimschutz T-Maintenance XR ist transportabel, autark und direkt am Einsatzort unter Nutzung der Kommunikationsverbindungen des Kunden oder optional mit Mobilfunk einsetzbar Die Lösung ist in einer Cloud als auch On-Premise in einem Rechenzentrum betreibbar. Bei Verwendung von Microsoft HoloLens 2 ist die Lösung ohne Verbindung zu Microsoft Azure Cloud möglich. Mehr über die Fernwartungslösung von genua Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Fernwartung Geheimschutz Öffentlicher Sektor Artikel teilen Weiterführende Links Fernwartungslösung genubox Sicherer Wartungszugriff in sensible Netze unterstützt Zero-Trust-Konzepte Zurück zur Übersicht

Insights 25.08.2015 Forschung SarDiNe: Forschung für die Sicherheit virtualisierter Netze Mit virtualisierten Systemen und zunehmend auch Netzen können in der IT deutliche Effizienzsteigerungen erzielt werden. Der Wegfall von physikalischen Systemen und Grenzen ist jedoch eine Herausforderung für die IT-Sicherheit. In diesem Artikel erklärt der Forscher Claas Lorenz die Herausforderungen und Chancen von Software Defined Networking für die Sicherheit in Unternehmens- und Behördennetzen. Forschung SarDiNe Software Defined Networking (SDN) ist eine neues Paradigma zum Aufbau und zur Steuerung von Netzwerken. In klassischen Netzen sind die Netzgeräte auf eine möglichst hohe Autonomie ausgelegt. Wenn ein Fehler auftritt, kann sich das betroffene Netzsegment bis zu einem gewissen Grad selbstständig rekonfigurieren und so den Betrieb wieder aufnehmen. Diese Verfahren sind unter Umständen recht komplex und zeitaufwendig, sodass stets große Überkapazitäten vorgehalten werden müssen. Die komplexen Protokolle erfordern zusätzlich einen hohen Entwicklungsaufwand, was Innovationen verlangsamt und die Kosten für jedes Netzgerät erhöht. SDN: Netzoptimierung durch zentralen Controller SDN bricht mit dem Autonomiegrundsatz und trennt die Steuerungslogik von der Datenweiterleitung. Die Steuerung wird von einem zentralisierten Controller für alle Netzgeräte übernommen. Die Geräte konzentrieren sich auf ihre Kernaufgabe – die Datenweiterleitung – und melden Statistiken und Fehler an den Controller. Dieser hat dadurch eine globale Sicht auf den Zustand des Netzes und kann so für eine optimale Lastverteilung und Fehlerbehandlung sorgen. Die zentralisierte Sicht auf das Netz ermöglicht ganzheitliche Lösungen für die Steuerung und Optimierung des Netzes sowie eine schnelle Reaktion im Fehlerfall. So können bisher nötige Überkapazitäten abgebaut und Kosten beim Betrieb des Netzes gesenkt werden. Hinzu kommt die Verwendung offener Standards wie OpenFlow, die es Anbietern erlaubt, zueinander kompatible Geräte herzustellen. Kunden sind dadurch nicht mehr im Ökosystem eines Herstellers gefangen. Der sogenannte Vendor Lock-in wird verhindert und die Anschaffungskosten können so gesenkt werden. Ein ergänzender Trend ist die Virtualisierung von Netzfunktionen (NFV). Zahlreiche komplexe Aufgaben wie die Erstellung und Aufrechterhaltung von virtuellen privaten Netzen (VPN) oder die Lastverteilung zwischen Servern werden von kostenintensiven Speziallösungen umgesetzt – den sogenannten Mittelboxen. Die Idee hinter NFV ist nun, die Funktionalitäten der Mittelboxen zu virtualisieren und mit Cloud-Techniken zu skalieren. Dies ermöglicht den Einsatz von günstiger Standard-Server-Hardware. Zusätzlich kann so der Eingriff der Netzfunktionen in den Datenverkehr besser überwacht und in einer zentralen Managementlösung berücksichtigt werden. Im Projekt SarDiNe (Netzsicherheit in Unternehmen und Behörden basierend auf Software Defined Networking) sollen diese Techniken zur Umsetzung einer Firewall-Lösung eingesetzt und anhand der Anwendungsfälle „Isolation von Diensten“ und „Bring Your Own Device“ (BYOD) demonstriert werden. Neue Lösungen für Netzwerksicherheit gefragt In Netzen mit unterschiedlichen Sicherheitsniveaus ist es wichtig, den Zugriff auf klassifizierte Dienste effektiv zu separieren. Herkömmliche Ansätze lösen diese Herausforderung durch eine physikalische Unterteilung. Firewalls agieren dabei als Schutzbastionen an den Übergabeknoten zwischen den Teilnetzen. Hier kann ein Zugriff auf sensible Dienste und Daten effektiv verhindert werden. SDN erlaubt eine weitgehende Aufhebung der physikalischen Netztrennung und erfordert nun neue Lösungen für diese Herausforderung. Darüber hinaus bietet SDN zahlreiche Funktionen, die eine feingranulare Steuerung und Überwachung des Netzes ermöglichen. Im Vorgängerprojekt vmFIRE konnte gezeigt werden, dass klassische Netzwerkattacken wie ARP-Spoofing und Smurfing mit SDN effektiv verhindert werden können. Dadurch können Sicherheit und Zuverlässigkeit der Netze sogar erhöht werden. Ein Trend der letzten Jahre ist die zunehmende Nutzung privater Mobilgeräte durch Mitarbeiter in Unternehmen. Diese Geräte konnten nicht durch einen zentralen Einkauf standardisiert und durch die IT-Abteilung in die vorhandene Infrastruktur integriert werden. Dadurch ist die Durchsetzung einer unternehmensweiten Sicherheitsrichtlinie zu einer echten Herausforderung geworden. Mithilfe von SDN und NFV kann diese Problematik effektiv angegangen und Mobilgeräte können sicher in Unternehmensnetzen eingebunden werden. Der Mischbetrieb von SDN- und Altgeräten stellt einen weiteren Schwerpunkt innerhalb von SarDiNe dar. Die geringere Kontrolle über klassische Netzgeräte und die dadurch einhergehenden Sicherheitsherausforderungen müssen dabei genauso berücksichtigt werden wie deren performante Einbindung in das Netz. Gemischte Netze werden in einer Migrationsphase, insbesondere in Unternehmens- und Behördennetzen, weitverbreitet sein. Aus Kosten-, aber auch Umweltgründen ist der Weiterbetrieb von Altgeräten sinnvoll und wünschenswert. Daher ist für eine umfassende Sicherheitslösung deren Betrachtung notwendig. Im zweiten Teil dieses Artikels werden wir Anwendungsfälle genauer betrachten und einen Blick in die Zukunft wagen! Partner im Projekt SarDiNe sind der Lehrstuhl für Kommunikationsnetze an der TU München, der Lehrstuhl III Kommunikationsnetze der Universität Würzburg sowie die Firmen infosim und genua. Das Projekt wird durch das Bundesministerium für Bildung und Forschung gefördert. Mehr zu aktuellen und vergangenen Forschungsprojekten von genua. Bildquelle: ©Péter Mács - Fotolia.com Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics VPN Netzwerksicherheit Forschung Artikel teilen Zurück zur Übersicht

Insights 30.12.2014 Forschung Projekt INDI zum Schutz vor Cyber-Angriffen Um Unternehmen und kritische Infrastrukturen vor Angriffen schützen zu können, werden jetzt im Forschungsprojekt „Intelligente Intrusion-Detection-Systeme für Industrienetze“ (INDI) neue Sicherheitstechnologien entwickelt. Steffen Ullrich, Software-Entwickler bei genua, begleitet das Projekt und beleuchtet hier die Hintergründe. Forschungsprojekt INDI Computer durchziehen unser Leben mehr, als wir es wahrnehmen. Über PCs, Notebooks und Smartphones können wir schnell Informationen recherchieren, neue Daten erfassen, uns mit Gleichgesinnten in aller Welt austauschen, die Urlaubsfotos verwalten und vieles mehr. Und auch wenn diese persönlichen Computer für uns unentbehrlich scheinen, so führt ein Ausfall oder Verlust im Allgemeinen nicht zu wirklichen Notsituationen. Nur am Rande wahrgenommen wird jedoch der Einsatz von Computertechnik in Bereichen, die uns scheinbar weniger betreffen: Dazu gehören die Verwendung zur Überwachung und Steuerung von Industrieanlagen, die Optimierung von Warenströmen in Transport und Logistik oder die Steuerung von Geldströmen im Finanzwesen. Aber spätestens beim Einsatz von Computern in der Telekommunikation, Wasser- und Energieversorgung wird klar, dass Ausfälle oder Fehlfunktionen dieser Systeme eine deutliche stärkere Auswirkung auf unser Leben haben können als Probleme mit unseren privaten Computern. Entsprechend interessant sind diese Infrastrukturen auch in politischer oder militärischer Hinsicht. Wurde bisher mit militärischer Macht oder gar Atomwaffen gedroht, so kann durch eine Infiltration kritischer Computersysteme eine neuartige Bedrohung aufgebaut werden: Ein erfolgreiches Eindringen in diese Systeme zu Friedenszeiten kann im Konfliktfall zur deutlichen Schwächung des Gegners benutzt werden, z. B. durch die Auslösung von Unruhen oder die Gefährdung des militärischen Nachschubs mit Störungen der Energie- und Wasserversorgung, des Transportwesens oder wichtiger Industrieanlagen. Cyber-Angriffe sind eine konkrete Gefahr Dass derartige Gefahren nicht nur theoretisch sind, zeigen die Sabotage des iranischen Atomprogramms durch Kompromittierung essenzieller Steuerungssysteme (Stuxnet, Flame und Duqu) sowie die vielfältigen gezielten Angriffe gegen Lieferanten von entsprechenden Computersystemen. Und im Gegensatz zur Drohung mit militärischer Stärke ist diese Form der Bedrohung deutlich billiger und damit auch für wirtschaftlich schwächere Staaten durchzuführen. Im Forschungsprojekt INDI befasst sich genua zusammen mit Wissenschaftlern und Experten der Universität Göttingen, der BTU Cottbus-Senftenberg und des Energieunternehmens Vattenfall mit der Entwicklung neuer Verfahren zur Absicherung derart kritischer Computersysteme. Klassische Sicherheitstechniken wie häufige Software-Updates, Viren-Scanner oder Firewalls sind in diesem Umfeld nicht tauglich, da im Gegensatz zu privat eingesetzter Computertechnik bei diesen kritischen System alles der korrekten Funktionalität untergeordnet werden muss. Damit ist nicht nur eine umfangreiche Überprüfung der Zuverlässigkeit des Systems beim Ersteinsatz zwingend, sondern jegliche Änderung am System erfordert erneut gründliche Tests. Das würde also auch jegliche Software Patches und selbst Updates der Signaturen des Viren-Scanners betreffen, da dadurch eventuell kritische Programme in der Ausführung verhindert oder bei ihren oft zeitkritischen Abläufen gestört werden. Da aber ein Großteil der ICS/SCADA-Systeme (ICS: Industrial Control System, SCADA: Supervisory Control and Data Acquisition) auf Standard-Betriebssystemen wie Windows basiert, stellt sich für den Betreiber das große Problem: Entweder setzt er ein bekannt unsicheres System ein oder er benutzt die häufigen und oft kritischen Software-Updates ohne ausreichende Zuverlässigkeitskontrolle. Herausforderung Anomalie-Erkennung Eine der Anforderungen an unser Forschungsprojekt ist es daher, eine zuverlässige Entkopplung der Analyse von dem existierenden System sicherzustellen, damit das Abgreifen für die Analyse nötiger Informationen garantiert ohne Rückwirkungen auf das zu analysierende System bleibt. Das hauptsächliche Problem stellen dann aber die Daten selber dar: Im Industrieumfeld wird eine Vielfalt verschiedenster Anwendungsprotokolle eingesetzt, die teilweise proprietär, teilweise standardisiert und teilweise proprietär modifizierte Standards sind. Und selbst beim Einsatz von Standards kann man nicht zwingend von einer korrekten Implementation ausgehen. Doch auch wenn das exakte Protokoll bekannt ist, so werden in einem spezifischen Betriebsumfeld im Normalbetrieb nur Informationen innerhalb bestimmter Wertebereiche übertragen und alles andere kann auf eine Fehlfunktion hindeuten, welche wiederum durch Hardware-, Software- oder Bedienfehler, aber auch durch einen Eindringling ausgelöst sein kann. Alles in allem gibt es hier viele Herausforderungen bei der Entwicklung von protokollabhängigen und -unabhängigen Anomalie-Erkennungen. So werden wir sicherlich eine spannende Forschung mit interessanten Ergebnissen innerhalb der drei Jahre Projektlaufzeit haben. Das Forschungsprojekt „Intelligente Intrusion-Detection-Systeme für Industrienetze“ wird vom Bundesministerium für Bildung und Forschung bis Oktober 2017 mit 1,69 Millionen Euro gefördert. Mehr zu aktuellen und vergangenen Forschungsprojekten von genua. Bildquellen: © fotohansel - Fotolia.com Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Industrie Forschung Artikel teilen Zurück zur Übersicht

Insights 05.05.2019 Forschung RiskViz: Suchmaschine für Sicherheitslücken in industriellen Steuersystemen Heute werden industrielle Anlagen und Prozesse üblicherweise mit sogenannten Industrial Control Systems (ICS) gesteuert oder überwacht. Diese sind allerdings nicht für den Zugriff aus dem Internet konzipiert und daher nur unzureichend oder gar nicht gegen Angriffe geschützt – und damit leichte Beute für Hacker. Das Forschungsprojekt RiskViz versucht die Probleme sichtbar zu machen und somit deren Lösungen zu ermöglichen. Tagcloud Scada und Co. Aus Unachtsamkeit oder mit der Absicht, einen kostengünstigen Fernwartungszugriff zu ermöglichen, werden Industrial Control Systems mit dem Internet verbunden. Das Problem: Einmal online, sind sie nur unzureichend oder gar nicht gegen die Gefahren aus dem Netz geschützt. In ganz Europa gibt es inzwischen Tausende ungeschützte ICS-Systeme. Schäden bereits „programmiert“ Und es ist nicht nur die Industrie betroffen: Auch Krankenhäuser, Rechenzentren und öffentliche Gebäude sind angreifbar und damit leichte Beute für Hacker, Cyber-Krieger und Wirtschaftsspione. Bereits in weniger als einer Stunde kann man ein verwundbares Ziel im Internet ausfindig machen und angreifen. Schaltet dann ein Hacker ein System ab, kann das weitreichende Folgen haben, z. B. wenn anschließend ein Notruf nicht mehr verfügbar ist. Durch gezielte Manipulation kann der Schaden weiter maximiert werden. Die Lage ist alarmierend. Insbesondere unter dem Gesichtspunkt, dass Unternehmen und Nachrichtendienste anderer Länder Deutschland und die deutsche Industrie als Spionageziel betrachten. Die Infiltration kritischer Systeme wird dabei offensiv und routiniert vorangetrieben. RiskViz soll Gefährdungslage aufzeigen Die Geheimdienstoperation Olympic Games hat mit Stuxnet gezeigt, dass auch ein vom Internet separiertes Steuer- und Leitsystem infiltriert und manipuliert werden kann. Daher werden im Forschungsprojekt RiskViz Methoden und Werkzeuge entwickelt, um auf rechtskonforme und verantwortungsvolle Weise Informationen über die Angreifbarkeit jeglicher industrieller Systeme zu erlangen. Neben der Ermittlung von Schwachstellen, die aus dem Internet heraus genutzt werden können, wird genua zusammen mit Forschungspartnern eine Suchmaschine entwickeln, die Sicherheitslücken interner Netze aufspürt. Dabei muss besonders darauf geachtet werden, dass die Suche nicht-invasiv in das System eingebracht wird, d. h., die Kommunikation des Steuersystems nicht stört oder manipuliert. Die Forscher von genua bringen hier ihre langjährige Erfahrung in Bezug auf sichere Separationstechniken ein. Die Forschungspartner Das Forschungsprojekt RiskViz wird vom Bundesministerium für Bildung und Forschung (BMBF) über das Programm IKT 2020 – Forschung für Innovation gefördert. genua arbeitet darin zusammen mit: Hochschule Augsburg Freien Universität Berlin Koramis Lechwerke AG Technologie Centrum Westbayern Munich Re Brandenburgischen Institut für Gesellschaft und Sicherheit Zusätzlich wird RiskViz durch das wissenschaftliche Begleitforschungsprojekt Vernetzte IT-Sicherheit kritischer Infrastrukturen (VeSiKi) der Universität der Bundeswehr München begleitet. Weitere Informationen zum Forschungsprojekt RiskViz finden Sie hier. Mehr zu aktuellen und vergangenen Forschungsprojekten von genua. Bildquelle: © goodluz - Fotolia.com Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics IoT Fernwartung Forschung Artikel teilen Zurück zur Übersicht

Insights 16.03.2020 Sicherheitsorientierte Vernetzung Security Defined Networking für eine flexible und hochsichere IT Neue Herausforderungen benötigen neue Lösungsansätze. So erfordert derzeit die Digitalisierung eine umfassende Restrukturierung vieler Geschäftsprozesse. Von IT-Abteilungen wird erwartet, diese dynamische Entwicklung mit den notwendigen Anwendungen flexibel zu unterstützen. Doch das ist nur die eine Seite – auf der anderen erfordern wachsende Cyber-Bedrohungen zusätzliche Sicherheitsmaßnahmen. In der Vergangenheit ging ein Mehr an IT-Sicherheit jedoch oft auf Kosten der Flexibilität im IT-Betrieb. Sicherheitsorientierte Vernetzung In diesem Spannungsfeld suchen Experten nach Antworten: Wie lassen sich die Interessen beider Bereiche berücksichtigen? Mit dem Konzept Security Defined Networking stellt genua jetzt einen Lösungsansatz vor. Im Interview fragen wir Claas Lorenz‚ Technologieanalyst bei genua, wie mit Security Defined Networking der Ausgleich zwischen Anforderungen aus dem Anwendungsbetrieb und aus dem Compliance-Bereich ermöglicht werden kann. Wir sprechen heute über IT-Sicherheit in Unternehmensnetzen. Warum sollten wir über „Security Defined Networking“ reden und nicht weiterhin über Netzwerksicherheit? Claas Lorenz: Aktuell führt der Zuwachs von Vernetzung, kritischen Systemen und sensitiven Daten zu einer hochkomplexen, schwer nachvollziehbaren IT-Landschaft und somit zu höheren Risiken als in der Vergangenheit. Damit stoßen Maßnahmen der klassischen Netzwerksicherheit zunehmend an ihre Grenzen. Bereits hier wird also ein neuer Sicherheitsansatz benötigt. Zu dieser verschärften Situation kommt die Notwendigkeit, auf die unterschiedlichen Anforderungen ausgleichend zu reagieren, die sich einerseits aus dem unternehmerischen, sprich wirtschaftlichen Bereich, und andererseits aus der IT-Sicherheit ergeben. Security Defined Networking soll einen wesentlichen Lösungsbeitrag leisten. Wie lassen sich die unterschiedlichen Anforderungen aus den Bereichen Anwendungsbetrieb und IT-Sicherheit im Wesentlichen skizzieren? Claas Lorenz: In vielen Unternehmen besteht eine Schieflage bei der Budgetierung von IT-Betrieb und IT-Sicherheit zugunsten des Anwendungsbetriebs. Der Nutzen von Investitionen und Betriebskosten für den Geschäftserfolg ist im Anwendungsbetrieb einfach offensichtlicher – besonders dann, wenn kein oder wenig Risikomanagement betrieben wird und lediglich eine schwache Regulation vorhanden ist. Ein weiteres Spannungsverhältnis ergibt sich zwischen Verfügbarkeit und Vertraulichkeit von Daten. Zugriffsbeschränkungen fördern zwar die Vertraulichkeit, behindern jedoch die Verfügbarkeit. In der Praxis fällt die Entscheidung häufig zugunsten einer höheren Verfügbarkeit. So sind zahlreiche Datenskandale der letzten Jahre auf unzureichende oder zu großzügige Zugriffsbeschränkungen zurückzuführen. Eine weitere Herausforderung: Während Regulation und Risikomanagement stabil sind und sich die Anforderungen an die Compliance mit mäßiger Geschwindigkeit weiterentwickeln, besteht im Anwendungsbetrieb eine hohe Dynamik. Hinzu kommt, dass oft Teile der Anwendungen dezentral durch die einzelnen Fachabteilungen betrieben werden, die IT-Sicherheit hingegen weitgehend zentral verwaltet wird. Interview (in Englisch): Claas Lorenz von genua erklärt bei "Expert Insights", wie SecDN eine flexible und hochsichere IT liefern kann Externe Inhalte von Youtube anzeigen? Beim Laden dieser Inhalte werden Daten an den Anbieter und ggf. an Dritte übertragen. Weitere Informationen können sie in unseren Datenschutzbestimmungen nachlesen. Inhalte von Youtube Embedding DE immer anzeigen Inhalt anzeigen Vor diesem Hintergrund entstehen Situationen, in denen die IT-Sicherheit zum Flaschenhals beim Anwendungsbetrieb wird. Dies führt dann zu Verzögerungen bei der Bereitstellung von Anwendungen für die Geschäftsprozesse oder zu Nachlässigkeiten bei der Umsetzung von Sicherheitsmaßnahmen und somit zu einem Bruch bei der Compliance. Eigentlich temporäre Maßnahmen wie Netzfreigaben werden zur Regel und die IT-Sicherheit gleicht mit der Zeit einem Flickenteppich. Findet kein explizites Risikomanagement mit regelmäßigen Compliance-Auditierungen statt, sind erfolgreiche Cyber-Angriffe nur eine Frage der Zeit. Welchen Beitrag leistet Security Defined Networking bei der Auflösung dieser Zielkonflikte? Claas Lorenz: Die beschriebene Unterbudgetierung und relative Statik des Compliance-Bereichs führen zu langen Investitionszyklen bei der IT-Sicherheit. In der Praxis wird dann die Dynamik bei der Evolution der Anwendungen nicht immer eingeplant mit der Folge, dass Prozesse um die bestehende, zentralisierte Sicherheitsinfrastruktur herum umgesetzt werden. Diese Diskrepanz kann die Sicherheit des gesamten Unternehmens gefährden, wenn es sich um sogenannte Schatten-IT handelt, die zentral nur schwer nachvollzogen werden kann. Welche Schlussfolgerungen lassen sich daraus ziehen? Die Sicherheitsinfrastruktur sollte flexibel ausgelegt sein, weil zum Zeitpunkt der Planung noch nicht sämtliche zukünftige Anforderungen bekannt sind. Security Defined Networking erfüllt diese Anforderung: Die Dynamik der Anwendungsevolution und Prozesse wird antizipiert und durch eine flexible, skalierbare Auslegung der Sicherheitsprozesse und -infrastruktur bestmöglich unterstützt. Wie sieht Security Defined Networking in der Praxis aus? Claas Lorenz: Die Flexibilisierung auf Prozess- und Infrastrukturebene wird beim Security Defined Networking durch eine klare Trennung von Definition und Durchsetzung von Sicherheitsregeln erreicht. So können im Gegensatz zum aktuellen, rein zentralen Ansatz Teile der Policy-Definition delegiert werden. Beispielsweise können Fachabteilungen eigene, zu ihren Anwendungen passende Sicherheitsregeln erstellen. Die Sicherheitsinfrastruktur zur Durchsetzung dieser Regeln verbleibt jedoch in zentraler Obhut, sodass die zentrale, permanente Nachvollziehbarkeit der Netzwerksicherheit gewahrt und die Komplexität der Infrastruktur überschaubar bleibt. Das bedeutet konkret: Die Sicherheitsinfrastruktur wird in Makro- und Mikrosegmente unterteilt. Makrosegmente entsprechen den klassischen Teilnetzen und werden zentral über Paketfiltertechnologie umgesetzt. Anders als bei klassischen Set-ups mit Next Generation Firewalls beschränken sie sich jedoch bewusst in der Mächtigkeit der Policies, die sie durchsetzen können. Die Makrosegmente geben eine Basissicherheit vor, welche der Verfügbarkeit der Geschäftsanwendungen – auch hinsichtlich ihrer Performance – nicht im Weg steht. Die Mikrosegmente hingegen können dezentral eingerichtet und durchgesetzt werden. Die Delegation von Administrationsrechten hin zu lokalen Verantwortlichen ermöglicht eine Anpassung der Konfiguration an lokale Anforderungen aufgrund von eigenverwalteten Anwendungen. Dabei wird vermieden, die Sicherheit des Gesamtnetzes auszuhöhlen. Erreicht wird dies durch die Makrosegmente und ggf. weitere zentral vorgegebene Policies in den Mikrosegmenten, vor allem aber durch eine globale Sichtbarkeit der Datenströme mittels Monitoring in den Mikrosegmenten. Verdächtiges Verhalten kann nah an der Quelle erkannt, untersucht und ggf. unterbunden werden. Kommen wir zur konkreten Umsetzung im Netzwerk: Welche Unterschiede ergeben sich hier? Claas Lorenz: Hier besteht ein wesentlicher Unterschied zu klassischen Netzen darin, dass die Mikrosegmentierung im Access-Netz sämtlicher Endgeräte im Unternehmen vorgenommen wird. Statt der üblichen Access Switches kommen leichtgewichtige, programmierbare Appliances wie cognitix Thread Defender zum Einsatz, welche die Segmentierung individuell und automatisiert bis in die Anwendungsschicht umsetzen können. Herkömmlicher Ansatz: Netzwerk mit einem Verwaltungs- und einem Forschungsnetz, einer DMZ, einer Außenstelle und mobilen Mitarbeitern. Die Netzwerksicherheit wird zentral per Firewall und VPN umgesetzt. Die Makrosegmentierung am Perimeter fokussiert sich hingegen auf generelle Konnektivitäten zwischen großen Sicherheitseinheiten. Beispielsweise darf vom Internet aus auf Services in der DMZ zugegriffen werden, während Zugriffsversuche auf Hosts im Forschungsnetz grundsätzlich unterbunden werden sollen. Diese Policies sind verhältnismäßig stabil über die Zeit und einfach zu beschreiben. Eine Auditierung wird durch diesen Ansatz enorm erleichtert. Gleichzeitig sinkt die Wahrscheinlichkeit, dass die Sicherheitslösung die Verfügbarkeit der Geschäftsanwendungen behindert. Beim Security Defined Networking werden die unterschiedlichen Interessen aus den Bereichen Anwendungsbetrieb und IT-Sicherheit im hohen Maße ausgeglichen. Claas Lorenz , Technologieanalyst bei genua Strengere Policies können innerhalb der Mikrosegmente umgesetzt werden. Dabei hat man die Wahl, ob man proaktiv oder reaktiv in den Netzverkehr eingreifen will. Proaktive Sicherheitsregeln haben den Vorteil, dass potenziell bösartige Kommunikation gar nicht erst stattfinden kann. Dem steht gegenüber, dass unter Umständen zu streng gefiltert wird und so die Verfügbarkeit der Geschäftsanwendungen leidet. Abhilfe schafft hier eine Verschiebung hin zu reaktiven Sicherheitsregeln, mit denen versucht wird, bösartige Kommunikation zu erkennen und anschließend zu unterbinden. Die Verfügbarkeit von Anwendungen wird so nur im Falle erkannter Angriffe eingeschränkt. Security Defined Networking: Im gleichen Netzwerk wird Basissicherheit durch Makrosegmentierung sowie VPN-Anbindungen von Außenstandorten und mobilen Mitarbeitern gewährleistet. Fortgeschrittene und delegierte Policies werden mittels einer Mikrosegmentierung zielgerichtet umgesetzt. Um auf den Anfang des Gesprächs zurückzukommen: Die Prozessorientierung von Security Defined Networking und die Flexibilität bei der technischen Ausgestaltung mittels proaktiven und reaktiven Sicherheitsregeln erlauben also eine Ausbalancierung sowohl der Schutzziele, der Anwendungsverfügbarkeit als auch der nötigen Administrationsressourcen. Die Möglichkeit zur Delegation von Verantwortlichkeiten ermöglicht eine lokale Optimierung auf die Bedürfnisse der jeweiligen Nutzer, ohne die zentrale Nachvollziehbarkeit aufgeben zu müssen. Beim Security Defined Networking werden die unterschiedlichen Interessen aus den Bereichen Anwendungsbetrieb und IT-Sicherheit in hohem Maße ausgeglichen. Danke für das Gespräch. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Netzwerksicherheit Artikel teilen Weiterführende Links Firewalls & Gateways Eine möglichst undurchdringliche Abwehr vor äußeren Angriffen ist die Basis der IT-Sicherheit. Unsere Firewalls sorgen für die Netzwerksicherheit und schirmen Daten ab. Zurück zur Übersicht

Insights 03.07.2019 Herausforderungen für Verschlüsselungsverfahren Quantencomputer: Ist die Kryptografie für die Zukunft gewappnet? Die Entwicklung von Quantencomputern schreitet voran. Die Superrechner bieten Chancen, stellen aber gleichzeitig eine Gefahr für die heute angewendeten Verschlüsselungsverfahren und damit für die IT-Sicherheit dar. Um den Schutz vertraulicher Daten auch zukünftig sicherzustellen, suchen Forscher nach quantenresistenten Lösungen. Doch die hochkomplexe Materie birgt große Herausforderungen. Quantencomputer faszinieren: Mithilfe quantentheoretischer Effekte ermöglichen sie vollkommen neue Berechnungsmodelle. Dabei ist heute immer noch unklar, wann es Rechner dieser Art in praxisrelevanter Größe geben könnte und welche Möglichkeiten sie uns genau bieten würden. So viel ist sicher: Der Quantencomputer kommt – oder auch nicht Einige Experten rechnen damit, dass es bereits innerhalb der kommenden 10 bis 30 Jahre so weit sein wird. Sie belegen dies mit beachtlichen Fortschritten in der Erforschung und Fertigung entsprechender Hardware sowie dem stetig wachsenden Verständnis für das theoretische Verhalten von Quantenalgorithmen und -rechnern. Ebenso stimmig klingen Argumente, warum es vielleicht nie möglich sein wird, einen beliebig skalierbaren Quantencomputer zu bauen. Sie gehen von einer Obergrenze des Machbaren aus, die eine wirklich praktikable Nutzung verhindert. Die Antwort wird uns die Zukunft liefern. Vertrauliche Daten – heute gesammelt, morgen entschlüsselt? Doch eines wissen wir: Seit rund 25 Jahren sind quantenbasierte Algorithmen bekannt, die alle derzeit in der Praxis relevanten kryptografischen Verfahren schwächen oder zerstören würden. Die möglichen Auswirkungen betreffen uns bereits heute. Große staatliche Dienste mancher Länder speichern längst Unmengen an verschlüsselten Daten, die in Zukunft für sie interessant sein könnten, um sie eines Tages zu knacken und auszuwerten. Dabei stellen auch bessere klassische Supercomputer und Fortschritte in der Kryptanalyse eine Gefahr dar. Doch insbesondere mithilfe eines praktikablen Quantencomputers könnte solch ein Dienst zu einem zukünftigen Zeitpunkt die verwendeten Schlüssel finden und die Daten lesen. Dabei gibt es viele schützenswerte Daten, die einen langen Schutzzeitraum benötigen. Ein Beispiel sind die Gesundheitsdaten, die vermehrt in digitaler Form verarbeitet werden und über Jahrzehnte sicher bestehen müssen. Andererseits könnten auch heute als unbedenklich eingestufte Daten z. B. durch eine sich ändernde politische Lage später als Kompromat oder Repressalie dienen. Symmetrische, asymmetrische und Hash-basierte Verfahren als Forschungsgegenstand Seit knapp 20 Jahren beschäftigen sich immer mehr Kryptografen mit Verschlüsselungs- und Signaturverfahren, die auch Quantencomputer-basierten Angriffen standhalten. Wann kommt der produktive Quantencomputer? Verschlüsselungsverfahren codieren Informationen mithilfe eines Codeworts bzw. Schlüssels, sodass niemand mit praktikablen Hilfsmitteln die ursprüngliche Information extrahieren kann, wenn die Person nicht über den dafür notwendigen Schlüssel verfügt. Bei sogenannten symmetrischen Verfahren sind die Schlüssel gleich, bei asymmetrischen Verfahren codiert man mit einem öffentlichen Schlüssel und benötigt zur Decodierung einen geheimen, privaten Schlüssel. Asymmetrische Signaturverfahren erstellen mithilfe eines privaten Schlüssels eine digitale Unterschrift für bestimmte Daten, z. B. für eine E-Mail oder ein Software-Update. Ist demjenigen, der die Unterschrift überprüfen will, der öffentliche Schlüssel des Unterschreibenden bekannt, kann er die Daten auf Korrektheit hin überprüfen und davon ausgehen, dass sie wirklich vom Unterschreibenden stammen. Die für die quantenresistenten Alternativen notwendige Mathematik ist natürlich nicht neu. Doch trotz intensiver Beschäftigung mit dem Thema fehlt in vielerlei Hinsicht noch immer ein ausreichendes Verständnis der Materie im Bezug auf den hochkomplexen Einsatz in der Kryptografie. Sogenannte Hash-basierte Signaturen gelten als äußerst gut verstanden. Dem Namen entsprechend lassen sich allerdings nur Daten signieren und somit auf Korrektheit und Authentizität hin überprüfen. Hierzu werden bereits zwei Verfahren in Request for Comments (RFCs) der Internet Engineering Task Force (IETF) bzw. Internet Research Task Force (IRTF) beschrieben, nämlich RFC 8391 und RFC 8554. Arbeit an neuen Kryptoverfahren im Wettlauf mit der Zeit Möchte man Daten sicher über das Internet versenden, benötigt man einerseits Verschlüsselungsverfahren und andererseits die Möglichkeit, die nötigen Schlüssel sicher auszutauschen. Geeignete Kandidaten, die dies bewerkstelligen und auch vor Quantencomputern schützen, basieren auf unterschiedlichen mathematischen Fundamenten. Die Möglichkeiten und Grenzen ihres Einsatzes sowie ihre Sicherheit werden zunehmend besser verstanden. Doch schon bei klassischen Verfahren ist die Bewertung der Sicherheit von Kryptosystemen ein diffiziles Unterfangen. So sehr man sich dies auch wünscht: Ein garantiert sicheres Verfahren kann nicht konstruiert werden. Man kann nur versuchen, ein Verfahren hinsichtlich der besten bekannten Angriffe zu bewerten und mithilfe mathematischer Beweise bzw. Sicherheitsmodelle zu untermauern, sodass das Verfahren in einer idealisierten Welt vor verschiedenen Attacken sicher ist. Es reicht aber die eine Person, die die richtige Idee für einen Angriff hat, an den zuvor niemand gedacht hatte. Einerseits möchte man also die Sicherheit besser verstehen und beurteilen können, andererseits drängt die Zeit, da die jetzigen Systeme möglichst schnell aktualisiert werden müssen. US-Institut für Standards und Technologie treibt die weltweite Forschung voran Daher möchte eine amerikanische Behörde, das National Institute of Standards and Technology (NIST), im Rahmen eines Standardisierungsprozesses mehrere quantenresistente Verfahren in den kommenden Jahren normieren und für bestimmte Einsatzszenarien empfehlen. Dazu hatten bis November 2017 Experten weltweit Verfahren eingereicht. Diese werden derzeit von vielen Fachleuten begutachtet und diskutiert. Die Behörde hat bereits in einer ersten Runde die besten Vorschläge ausgewählt, welche nun einer noch intensiveren Untersuchung unterzogen werden. Im Zeitraum von 2022 bis 2024 sollen diejenigen Verfahren, die der Betrachtung bis zum Schluss standhalten, standardisiert und empfohlen werden. Somit wird die Untersuchung und Verbreitung geeigneter Mechanismen aktiv vorangetrieben, weltweit beobachtet und unterstützt. Natürlich endet mit dem Standardisierungsprozess des NIST die Weiterentwicklung nicht. Es werden immer wieder neue oder verbesserte Verfahren vorgestellt. Ebenso wurden beim NIST mitunter Verfahren eingereicht, bei denen allen Beteiligten klar ist, dass noch viel Forschungsarbeit nötig ist. Diese sind jedoch vielversprechend genug, um Interesse zu wecken und zu weiterer Arbeit daran zu motivieren. Der Praxiseinsatz von Kryptoverfahren als zusätzliche Herausforderung Des Weiteren untersuchen immer mehr Firmen und Institutionen den Einsatz neuartiger Kryptografieverfahren in der Praxis. Diese sind langsamer und haben oft unerfreuliche Datengrößen. Auch passen sie oftmals nicht zu unseren aktuellen Technologien. Das ist zum Teil dem Umstand geschuldet, dass zum Zeitpunkt, als die jeweiligen Kommunikationsprotokolle entwickelt wurden, effizientere Verfahren existierten. Außerdem war damals nicht absehbar, dass es derart gute Angriffe aufgrund neuer Systeme (Quantencomputer), besserer Rechenleistung (Supercomputer) oder neuer Erkenntnisse im Brechen von Kryptografie (Kryptoanalyse) geben könnte. So gestaltet sich der Einsatz sicherer Kommunikation über die gebräuchlichen Protokolle schwierig. Hier können die verwendeten Verfahren in der Regel nicht einfach durch quantenresistente Alternativen ausgetauscht werden. Zwar können bis zu einem gewissen Grad Workarounds genutzt werden, doch nutzen diese meist Ungenauigkeiten in den Protokollspezifikationen oder reizen gegebene Limits aus. Erste Anwendungsbeispiele erfolgreicher Forschungsarbeit gibt es jedoch auch: So liefert genua inzwischen bspw. Software-Updates für Produkte mit hybriden Signaturen aus. Eine Software-Aktualisierung kann nur erfolgen, wenn sowohl eine klassische als auch eine quantenresistente Signatur (nach RFC 8391) bestätigen, dass die Software nicht manipuliert wurde und von genua stammt. Forschung trotz aller Unwägbarkeiten immer ein Gewinn Wir sind jetzt vor dem Hintergrund der Quantencomputer-basierten Angriffe endgültig dazu gezwungen, uns mit diesen Themen auseinanderzusetzen, um funktionale und sichere Lösungen zu finden. Denn selbst falls sich herausstellt, dass es keine großen Quantencomputer geben wird, wird unser Verständnis für die Kryptografie und gerade ihrer Anwendung in der Praxis besser sein. Damit leistet diese Forschung einen wesentlichen Beitrag, die IT-Welt bedeutend sicherer zu machen. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Encryption Artikel teilen Zurück zur Übersicht

Insights 21.08.2019 Hoffnungsträger Artificial Intelligence In Artificial Intelligence (AI) werden in der IT-Sicherheit viele Hoffnungen gesetzt, um die Komplexität zu reduzieren und Aufgaben zu automatisieren. AI macht aber auch Fehler und ist angreifbar – welche Erwartungen kann sie in sicherheitskritischen Bereichen erfüllen? Vernetzte Computer spielen eine zunehmend kritische Rolle in unserem Leben. Entsprechend hohe Anforderungen zum Schutz von Daten und Verfügbarkeit werden an die Betreiber sensitiver Infrastrukturen gestellt. Diese können jedoch wegen der steigenden Komplexität der Netze, unzureichender Verfügbarkeit von kosteneffektiven Lösungen zum Management dieser Komplexität und wegen des Mangels an erfahrenem Personal im Bereich der IT-Sicherheit oft nicht erfüllt werden. Von Artficial Intelligence wird in der IT Security erwartet, dass sie hochkomplexe Zusammenhänge automatisch erkennt, auf eine für den Menschen verständliche Komplexität reduziert sowie wiederkehrende Aufgaben weitgehend automatisiert ausführt. So soll die Produktivität des Fachpersonals gesteigert, das Einsatzspektrum weniger erfahrenen Personals erweitert wie auch schneller und präziser auf Gefahren reagiert werden können. Klassische Herangehensweisen an AI in der IT-Sicherheit Zu den bekanntesten und ältesten Anwendungen von AI-Techniken in der IT-Sicherheit gehören Spam-Filter. Diese arbeiten typischerweise mit überwachtem (supervised) Lernen. Dabei wird ein Teil der Mails vom Menschen oder anhand externer Kriterien wie Blacklists explizit als Spam oder Ham markiert. Mittels AI wird daraus ein Datenmodell erstellt und dieses zur Klassifizierung unbekannter Mails als Spam oder Ham genutzt. Ein klassisches Beispiel für unüberwachtes (unsupervised) Lernen wiederum ist die Anomalie-Erkennung: Hierbei wird ein Modell des aktuellen typischen Systemverhaltens gelernt und später auftretende Abweichungen davon als untypisch deklariert. Unüberwachtes Lernen wird weiterhin zum automatischen Clustering von Malware benutzt, um ähnliche Malware auf die wahrscheinlich gleichen Autoren zurückzuführen. Abb. 1: Supervised Learning (links) erstellt ein näherungsweises Modell von vorab klassifizierten Daten, welches nachfolgend zur Klassifikation unbekannter Daten (offene Kreise) genutzt wird. Unsupervised Learning ermöglicht das Clustering unklassifizierter Daten (rechts), wobei Abweichungen von den Clustern je nach Abstand als mehr oder weniger anomal gesehen werden. Herausforderungen für AI in der IT-Sicherheit Die Anwendung von AI in der IT-Sicherheit bedeutet in vieler Hinsicht andere Herausforderungen als die Nutzung von AI z. B. in Empfehlungssystemen wie Spotify, der automatischen Kategorisierung von Bildern oder Sprachassistenten wie Siri oder Alexa. So hat man es in der IT-Sicherheit oftmals mit vergleichsweise wenig Daten zu tun, welche zusätzlich stark verzerrt sind und deren Charakteristika sich häufig ändern können. Beispielsweise kommen selbst in einem größeren Unternehmen verhältnismäßig wenig Mails an, und von diesen stellt nur ein kleiner Bruchteil wirklich Angriffe da. Außerdem ändern sich über die Zeit sowohl die gutartigen E-Mails als auch das Vorgehen der Angreifer. In diesem Umfeld scheitern typische Big-Data-Methoden, bei denen Algorithmen komplexe Korrelationen finden, solange man ihnen nur genug Daten und genug Rechenzeit gibt. Menschliche Domain-Experten hingegen sind durch ihre fundierte Kenntnis des Problemfelds besser in der Lage, aus den Daten Merkmale zu generieren und zu kombinieren sowie auch bei wenigen und dynamischen Daten sinnvolle Ergebnisse zu erzielen. Im Gegensatz zur Anwendung von AI in vielen anderen Bereichen muss in der IT-Sicherheit explizit davon ausgegangen werden, dass ein Angreifer versucht, inhärente Schwächen der Systeme zu erkennen und auszunutzen. Diese Schwächen existieren, weil ein AI-System basierend auf den Trainingsdaten nur Korrelationen und keine wirklichen Kausalzusammenhänge erlernt. So hatte z. B. ein Modell zur Analyse von PDF-Dateien aus den verfügbaren Trainingsdaten „gelernt“, dass bösartige PDFs typischerweise nur eine Seite haben. Damit reichte bereits das Hinzufügen einer weiteren Seite, um die Erkennung zu umgehen. Entsprechend sind erneut Domain-Experten gefragt, um die Merkmale und Modelle hinsichtlich Angreifbarkeit zu untersuchen und robustere Verfahren zu entwickeln. Zusätzlich kann versucht werden, den Zugriff des Angreifers auf die Modelle zu erschweren, z. B. durch kundenspezifische statt globale Modelle und durch die Beschränkung der Interaktionsmöglichkeiten des Angreifers mit den Modellen. Und wie der Mensch, so ist auch AI nicht perfekt und macht Fehler. Dies sind eventuell aber andere Fehler, als sie ein Mensch machen würde und daher für diesen nicht verständlich und erwartbar. Solange AI-Systeme nur Empfehlungen geben, ist das nicht so schlimm. Kritischer wird es bei autonomen Entscheidungen. So kann es passieren, dass wichtige Mails abgelehnt und gefährliche Mails als gutartig markiert werden. Oder dass die Bewegungen eines Angreifers im Netz als normal gesehen, dagegen aber eine kritische, selten genutzte Datenverbindung blockiert wird. Entsprechend zurückhaltend ist man derzeit mit dem Einsatz autonom entscheidender AI-Systeme. Eine große Herausforderung ist daher die Entwicklung einer AI, deren Verhalten für den Menschen nachvollziehbar genug ist, dass er ihr für autonome Entscheidungen ausreichend vertraut. Dazu ist es wichtig zu verstehen, was eigentlich gelernt wurde, um auf dieser Basis Fehler im Modell korrigieren zu können. Abb. 2: Die Auswahl der passenden Merkmale kann entscheidend für die Trennschärfe des Modells sein. Eine hohe Domain-Expertise ist daher gerade bei wenigen Daten oder einem starken Ungleichgewicht zwischen den verschiedenen Klassen – z. B. Menge an gutartigen (grün) und bösartigen (rot) Mails – essenziell. AI bei genua Die ersten Schritte mit AI haben wir bei genua im Forschungsprojekt Padiofire (2011–2013) gemacht, bei dem wir AI-Methoden zur Erkennung von eingeschleustem bösartigen JavaScript verwendet haben. Im darauf folgenden Forschungsprojekt APT-Sweeper (2014–2018) haben wir uns mit der besseren Erkennung über Web und Mail erfolgender, gezielter Angriffe befasst. Dabei war AI die zentrale Technologie, um gefälschte Absender in Mails zu erkennen oder Phishing-Webseiten von gutartigen zu unterscheiden. Abb. 3: Forschungsprojekt APT-Sweeper: Verhältnis der Erkennung von Absender-Spoofing hinsichtlich False-Positive-Rate (FPR) und True-Positive-Rate (TPR) bei Angreifern mit verschiedenen Kenntnissen über die Infrastruktur des zu fälschenden Senders. genua war in diesen vom Bundesministerium für Bildung und Forschung (BMBF) geförderten Projekten als Domain-Experte primär für Design und Extraktion von Merkmalen, eine Privacy-freundliche Datenerfassung und die Verifikation der Modelle in der Praxis zuständig und legte so die Grundlagen für die Erstellung leistungsfähiger Modelle durch die AI-Algorithmen. Im Forschungsprojekt INDI (2014–2018) wiederum wurde AI zur Anomalie-Erkennung in Industrieprotokollen benutzt, wobei sich genua hier primär mit der garantiert nebenwirkungsfreien, sicheren Datenerfassung und -analyse in Industrienetzen befasste. Zunehmend werden bei genua auch AI-Algorithmen selber angewendet, sowohl im Kontext von mehreren Bachelor- und Masterarbeiten als auch in Forschungsprojekten. So wurde z. B. im Kontext des Forschungsprojektes APT-Sweeper eine Masterarbeit zur intelligenteren Analyse von Mails durchgeführt, in der es uns durch den Einsatz von Artificial Intelligence gelungen ist, bisher unbekannte Variationen bösartiger Mails besser zu detektieren. Aus unserer Sicht kann AI in der IT-Sicherheit viele der in sie gesetzten Hoffnungen erfüllen, sofern man sich der Probleme und Herausforderungen bewusst ist und diese gezielt angeht. Auch wenn keine Wunder zu erwarten sind, kann mittels AI die Komplexität reduziert und das Wissen einzelner Domain-Experten vielen Anwendern nutzbar gemacht werden. Deshalb haben wir uns auch am aktuellen Forschungsvorhaben „Artificial Intelligence für IT-Sicherheit“ des BMBF mit einem Forschungsantrag beteiligt und werden in naher Zukunft AI-Technologien zum Nutzen unserer Kunden in eigene Produkte integrieren. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Artificial Intelligence Cyber Resilienz Artikel teilen Zurück zur Übersicht

Insights 15.04.2020 Home Office Remote-Zugriffe schnell absichern Die Corona-Pandemie sorgt dafür, dass sich Unternehmen und Behörden intensiv mit der Leistungsfähigkeit ihrer IT-Infrastrukturen im Remote-Modus auseinandersetzen müssen: Laut einer Bitkom-Umfrage hat infolge der Krise bereits fast jeder zweite Berufstätige in Deutschland ganz oder zumindest teilweise sein Büro ins Home Office verlegt. Die meisten Organisationen trifft das völlig überraschend – wenn überhaupt, arbeitete meist nur ein kleiner Anteil der Mitarbeiter „remote“, also von unterwegs, an unterschiedlichen Unternehmensstandorten, beim Kunden oder eben im Home Office. Nun gilt das für den größten Teil der Belegschaft – ohne Vorwarnzeit müssen Arbeitsprozesse und die technologischen Infrastrukturen unter Hochdruck angepasst oder neu eingerichtet werden. Remote-Zugriffe schnell absichern Sicherheitszonen auf das Home Office ausweiten: Vier Handlungsprioritäten für die IT-Security zum Schutz vor Cyberkriminalität In puncto Informationssicherheit stellt das Thema Remote Working allerdings auch außerhalb des Krisenmodus eine einzigartige Herausforderung dar. Denn im Büro sorgen im Idealfall umfassende Schutzmaßnahmen der IT Security dafür, dass die digitale Kommunikation der Mitarbeiter mit mehreren Sicherheitszonen bestmöglich vor externen Angriffen abgeschirmt ist. Sind Desktop-PC, Smartphone oder Laptop jedoch außerhalb dieser Netzwerkinfrastruktur installiert und mit anderen Netzwerken verknüpft, entstehen zusätzliche Angriffsflächen für Cyber-Krmininelle. Um diese Risiken auszuschalten, sollten IT-Security-Verantwortliche bereits beim Wechsel in Remote-Working-Strukturen die folgenden Handlungsfelder priorisieren: 1. Sichere VPN zur Verfügung stellen Eine VPN-Verbindung zwischen den Endgeräten des Nutzers und dem Firmennetzwerk verschlüsselt den gesamten Datenverkehr im Internet und macht ihn unlesbar für jeden, der ihn abfängt. Wir empfehlen die Verwendung eines VPN auf IPsec-Basis unter Nutzung des aktuellen IKEv2-Protokolls. Da alle Betriebssysteme einen „Native Client“ mitbringen, ist man nicht auf Programme von Drittanbietern angewiesen. Diese können aber dennoch sinnvoll sein, da sie die Usability erhöhen und der IT-Abteilung eine einfache Verwaltung ermöglichen. Der sicherste Weg ist, den kompletten Datenverkehr der Remote-Mitarbeiter über das VPN des Arbeitgebers zu leiten. Je nach Anbindung der Firma/Zentrale kann es notwendig sein, die VPN-Zentrale extern zu betreiben oder nur einen Teil des Datenverkehrs über das VPN zu leiten. 2. Laptops mit Zwei-Faktor-Authentifizierung einsetzen Generell sollte man darauf achten, auch außerhalb der Firmen- bzw. Behördennetzwerke streng abgeschirmte IT-Infrastrukturen aufzubauen und permanent zu schützen. Das setzt zwingend voraus, dass jeder Mitarbeiter nur Geräte verwendet, die von der IT Security des Arbeitgebers administriert werden – jeder private Rechner, über den Arbeitsdaten kommuniziert werden, ist ein Sicherheitsrisiko. Wir empfehlen den Einsatz von Laptops, die bereits bei der Aushändigung an die Mitarbeiter über die optimale IT-Security-Ausstattung verfügen. Das ideale Leistungsspektrum veranschaulicht das Security Laptop vs-top von genua: Es verfügt nicht nur über eine Firewall und ein VPN-Gateway, sondern auch über zwei getrennte Arbeitsumgebungen. Eine davon ist gängigen Windows- oder Linux-Programmen vorbehalten, hier können die Mitarbeiter Texte erstellen, E-Mails schreiben, im Internet surfen etc. Die zweite dient ausschließlich der Bearbeitung und verschlüsselten Übertragung sensibler Daten, sie wird von einem Separationssystem strikt von der ersten getrennt. Zusätzlich sind diese besonders geschützten Daten per Zwei-Faktor-Authentifizierung zuverlässig verschlüsselt, ein Zugriff ist nur mittels zugehöriger Smartcard und PIN möglich. Andere Personen im Home Office können auf das gesicherte Gerät also ebenso wenig zugreifen wie Dritte, falls das Laptop einmal unterwegs gestohlen oder verloren wird. 3. Remote Desktop Tools überprüfen Viele Arbeitgeber ermöglichen ihren Mitarbeitern den Zugang zu ihren Arbeitsnetzwerken über Remote-Desktop-Protokolle (wie RDP, Citrix, VNC). Dies ist per se nicht verkehrt, aber bei einigen der beliebtesten RDP-Tools für Linux und Windows wurden 2019 Sicherheitsprobleme festgestellt. RDP-Zugänge sollten keinesfalls offen im Internet erreichbar sein. Dies ist z. B. für Industrieunternehmen wichtig, die per Remote-Desktop-Infrastruktur Fernwartungen und weitere Zugriffe auf den Maschinenpark von außerhalb zulassen. In diesem Fall sollte man unkompliziert eine starke Verschlüsselung und Autorisierung hinzufügen, gerade wenn nicht die aktuellen Softwareversionen eingesetzt werden. Dazu hat genua mit genubox eine „Rendezvous-Lösung“ für Industrie und Anlagenbau entwickelt. Unser Ansatz ist hier, keine einseitigen Zugriffe vom Fernwartungs-Service in Kundennetze zuzulassen. Stattdessen laufen alle Wartungsverbindungen über einen Rendezvous Server, der in einer Demilitarisierten Zone (DMZ) neben der Firewall installiert ist, beim Dienstleister oder bei Kunden. 4. Videokonferenzen absichern Die Kommunikation der Teams im Home-Office-Modus findet in erster Linie via E-Mail, Telefonat, Chat und Videokonferenzen statt. Im letzteren Fall sollten sich IT-Verantwortliche nicht nur auf die Frage konzentrieren, wie hohe Bandbreiten für einen gute Übertragungsqualität sichergestellt werden. Ebenso wichtig ist die Verschlüsselung von Videokonferenzen gegen den Zugriff ungeladener Gäste: Alle Daten sind im gespeicherten Zustand und während der Übertragung zu schützen, was auch unbedingt die Chat-Funktion der Videokonferenz umfassen muss. Idealerweise führen die Mitarbeiter jede Videokonferenz über ein bereits hochgesichertes Laptop (siehe Punkt 2). Ist dies nicht der Fall, sollten nicht nur Administrator-Passwörter hochsicher eingerichtet werden, um einen Angriff wie im Falle des Mirai-Botnets zu verhindern, welches dank unveränderter Standard-Passwörter auf Webcams zugreifen konnte. Als IoT-Malware infiziert Mirai Devices wie Webcams, Router oder andere „smarte“ Systeme und zwingt sie zur Meldung an einen Befehls- und Steuerungsserver. Mit ebensolchen Attacken ist jetzt und in Zukunft verstärkt zu rechnen. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Home Office Mobiles Arbeiten Artikel teilen Weiterführende Links Mobiles Arbeiten Wir bieten hochsichere Remote Working Tools, die sich in allen Einsatzfeldern als individuelle, bedarfsgerechte Lösung kombinieren lassen. Zurück zur Übersicht

Insights 02.06.2020 AI als digitaler Azubi Hybride Security-Abteilungen organisieren Fehler sind menschlich, besonders in hochkomplexen Jobs wie der Software-Programmierung. Und nicht jede Nachlässigkeit in der Codezeile sorgt gleich für ein sicherheitsrelevantes Problem. Nur: Wer kontrolliert und entscheidet das in IT Security Teams, die ihre knappen Ressourcen auf andere Prioritäten konzentrieren müssen? Foto: Arnold Krille, KI-Experte bei genua Diese Aufgabe können IT-Entscheider an eine Artificial Intelligence (AI) übertragen. Schließlich ist die Technologie unschlagbar darin, in kurzer Zeit eine große Menge von Daten zu prüfen. Beispiel Microsoft: Mit einem maschinellen Lernsystem will das Unternehmen die monatlich ca. 30.000 Fehler seiner rund 47.000 Entwickler kennzeichnen und priorisieren (siehe Blogbeitrag vom 16. April 2020). Das Ziel: Fehler als nicht-/relevant sowie un-/kritisch für die Sicherheit zu klassifizieren – mit einem Genauigkeitsgrad, der dem eines Sicherheitsexperten möglichst nahekommt. „Hybride“ Security-Abteilungen organisieren Um ein solches Ziel zu erreichen, ist nicht nur die Datenbasis entscheidend. Sondern auch, wie IT-Security-Experten die AI mit ihrer Expertise „ausbilden“. Das erwies sich auch im Microsoft-Projekt als Erfolgsfaktor für die Ergebnisgenauigkeit der AI. Exakt dieser Erfahrungswert ist spannend. Denn er steht für eine Entwicklung, für die es keinerlei historische Vorbilder oder methodische Blaupausen gibt: den Aufbau von Teams aus IT-Security-Verantwortlichen und „digitalen Auszubildenden“, also Technologien, die menschliche Aufgaben mit einem mehr oder weniger hohen Grad an „Intelligenz“ und Entscheidungskompetenz übernehmen. Das beschränkt sich nicht nur auf die Fehlerklassifikation: Eine spezialisierte und gut trainierte AI kann z. B. auch besser unentdeckte Bedrohungen wie Zero-Day-Angriffe oder Advanced Persistent Threats identifizieren als der Mensch. Diese und weitere Aufgabenstellungen sind in der Regel der Ausgangspunkt für IT-Security-Verantwortliche, sich mit dem Potenzial einer AI-Unterstützung zu beschäftigen. Worauf sollte man bei der Organisation einer „hybriden“ Security-Abteilung achten, die menschliche Mitarbeiter und Artificial Intelligence integriert? Aus unseren Projekten können wir die folgenden Erfahrungswerte bzw. Richtlinien teilen: 1. Definiere ein klares Aufgabenspektrum! Welche Unterstützung soll die AI konkret leisten: Soll sie Bedrohungen aufdecken, für Malware-Prävention zuständig sein oder in einem anderen Bereich der IT-Sicherheit zum Einsatz kommen? Je genauer die Aufgabenbeschreibung, desto höher ist die Wahrscheinlichkeit, dass die Lösung optimale Ergebnisse erzielt. Produkte von genua, die Artificial Intelligence einsetzen, werden in dem Wissen der Grenzen dieser Technologie designt und entwickelt. Unsere Schwerpunkte liegen dabei in der Robustheit gegen Manipulationen und der Nützlichkeit der angewandten Verfahren, um die gewohnte Qualität der Produkte auch gegen weit fortgeschrittene Angreifer zukünftig zu gewährleisten. Außerdem ist ein klarer Nutzwert wichtig, etwa wenn die AI Vorschläge zur Klassifizierung von Netzwerkgeräten nach Verhalten oder zur Verbesserung der Security Policies macht. 2. Begrenze die Risiken! Fehler sind nicht nur menschlich – als statistischer Ansatz weist auch AI stets eine Fehlerquote auf. Dies werden auch Angreifer ausnutzen wollen, um die AI und nachfolgend den Nutzer zu falschen Entscheidungen zu bewegen, welche die Sicherheit unterwandern. Dieses Risiko lässt sich etwa mithilfe mehrerer AI reduzieren, die miteinander kooperieren bzw. synchronisiert arbeiten und sich gegenseitig verifizieren und überprüfen. Außerdem wird es auch auf lange Sicht Einsatzfelder geben, in denen die AI nur die Rolle der Unterstützungstechnologie spielen kann und das letzte Wort beim Menschen liegen muss. Das ist insbesondere bei Aufgaben der Fall, die eine Person erfordern, die Entscheidungen nicht nur treffen, sondern auch verantworten und ggf. dafür haftbar gemacht werden kann. Diese und weitere Einsatzfelder sollte man bei der Konzeption eines hybriden IT-Sicherheitsteams klar voneinander abgrenzen, um unrealistische Zielsetzungen zu vermeiden. Auch langfristig gibt es Einsatzfelder, in denen das letzte Wort beim Menschen liegen muss. Arnold Krille , KI-Experte bei genua 3. Kalkuliere Trainingszeit ein! Wenn die AI in Sekundenschnelle richtige Entscheidungen treffen soll, erfordert das ein entsprechendes Training. Hier ist das geeignete Data Set auszuwählen: Sowohl der „Normalzustand“ als auch die zu erkennenden Arten von Abweichungen müssen erkennbar und vorhanden sein, denn die AI lernt durch Beispiele. Hierfür sollten Unternehmen einen längeren Zeitraum einkalkulieren, der auch mehrere Wochen umfassen kann. Außerdem muss die AI regelmäßig nachtrainiert werden. Schließlich ändern sich die äußeren Gegebenheiten mit der Zeit. Für die menschlichen Kollegen ist das ein automatischer Lernprozess im Alltag, aber bei der AI muss dies schon in der Planung und Konzeption einbezogen werden. Die hier investierte Zeit zahlt sich später aus, wenn die AI dauerhaft gute Ergebnisse liefert und die Anwender nachhaltig unterstützt. Dynamik und Komplexität meistern Aktuell mag der Einsatzfokus von AI in hybriden Sicherheitsabteilungen noch darauf liegen, komplexe Informationsflüsse zu erkennen und automatisiert zu ordnen. Aber wir stellen in unseren Projekten fest, dass sich das Aufgabenspektrum klar weiterentwickelt. Eine eindeutige Stoßrichtung ist die Weiterentwicklung der AI-Rolle vom „Werkzeug zum „Unterstützer“, etwa bei bereits in der Praxis eingesetzten Lösungen wie cognitix Threat Defender. In dieser Funktion liefert die AI Vorschläge zur Umsetzung und Verbesserung von Sicherheitsmaßnahmen, um bestmöglichen Schutz in einem komplexen und dynamischen Umfeld sicherzustellen. Ob AI aber zukünftig tatsächlich als „Arbeitskollege“ wahrgenommen wird, hängt natürlich auch von anderen Faktoren wie einer performanten Kombination mit Technologien wie Sprachsteuerung, Avataren bzw. Interfaces ab. Und vielleicht auch davon, ob sie mal ganz „menschlich“ einen – verzeihbaren – Fehler macht. Mehr zum Thema AI & IT Security AI-Einsatz in der Cyber Kill Chain AI-Verstärkung für die IT Security Wie sich Industrieunternehmen vor AI-gestützten Cyberangriffen schützen Special Force für den AI-Einsatz Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Artificial Intelligence Artikel teilen Weiterführende Links Firewall & VPN-Appliance genuscreen Zuverlässiger Schutz für Datentransfers und Netze Zurück zur Übersicht

Insights 21.08.2020 Herausforderungen der Pandemie COVID-19: Top-Prioritäten für die IT-Sicherheit Während ein Großteil der Unternehmen und staatlichen Organisationen in Deutschland seine Mitarbeiter in den Remote-Betrieb des Home Office entsendet, nimmt gleichzeitig die Anzahl neuer, aggressiver Hackerangriffe zu. In der Corona-Krise lautet die zentrale Aufgabe der IT-Sicherheit mehr denn je, den Schutz der IT-Infrastrukturen und damit die Geschäftskontinuität aufrechtzuerhalten. genua nennt erste wesentliche Ansatzpunkte für IT-Security-Verantwortliche. Deutschland schickt seine Mitarbeiter in den Remote-Betrieb des Home Office 1. Multifaktor-Authentifizierung erweitern Mitarbeiter im Home Office sollten eine Multi-Faktor-Authentifizierung (MFA) für den Zugriff auf Netzwerke und kritische Anwendungen verwenden können. Bei der Ausweitung von MFA auf Home Office bzw. Remote-Working-Infrastrukturen empfehlen wir eine Priorisierung nach der Bedeutung bzw. Kritikalität des Systems für den Geschäftsbetrieb sowie nach Rollen mit erhöhten Privilegien (z. B. mehrstufige Autorisierung für Domänen-, System-Administratoren und Anwendungsentwickler). 2. Fernwartungslösungen einrichten und absichern Fernwartungslösungen in der Industrie sind in der Corona-Krise besonders hilfreich – allerdings nur, wenn man sie auch lückenlos gegen unbefugte Zugriffe absichert. Mit genubox hat genua eine entsprechende „Rendezvous-Lösung“ für Industrie und Anlagenbau entwickelt. Unser Ansatz ist, keine einseitigen Zugriffe vom Fernwartungs-Service in Kundennetze zuzulassen. Stattdessen laufen alle Wartungsverbindungen über einen Rendezvous Server, der in einer Demilitarisierten Zone (DMZ) neben der Firewall installiert ist, beim Dienstleister oder bei Kunden. 3. Netzwerk optimal segmentieren und schützen Wenn dezentralisierte IT-Infrastrukturen entstehen, sollte man auch die Netzwerkarchitektur überprüfen und anpassen. Empfehlenswert ist das „Zwiebelschalen“-Prinzip: Das Netzwerk wird in kritische und weniger kritische Bereiche segmentiert, die Netzwerksegmente wiederum nach unterschiedlichen Risikostufen unterteilt. Firewall-Lösungen zum Schutz des Netzwerkes sind idealerweise nach CC in der Stufe EAL 4+ zertifiziert, wie die High Resistance Firewall genugate. 4. Schatten-IT in offizielle Strukturen überführen In vielen Unternehmen nutzen die Mitarbeiter sogenannte Schatten-IT-Systeme, die sie ohne formale Genehmigung oder Unterstützung durch die IT-Abteilung einrichten und verwalten. Im Home-Office-Betrieb wird das zur Herausforderung, sobald Geschäftsprozesse ins Stocken geraten, die von dieser Schatten-IT im Büro abhängen. IT- und Sicherheitsteams sollten also nicht nur geschäftskritische Systeme umstellen und sichern, sondern auch dafür sorgen, dass im Home Office keine neue Schatten-Systeme entstehen. 5. Sicherheitsbewusstsein der Mitarbeiter sensibilisieren Neben der Schatten-IT gibt es weitere IT-Risiken bei der Arbeit im Home Office, für die IT-Verantwortliche und Führungskräfte die Mitarbeiter sensibilisieren sollten. So können z. B. Videokonferenzprogramme oder Cloud-Dienste zum Versenden umfangreicher Datenpakete Einfallstore für Cyber-Spionage sein. Aufgabe der IT ist es nicht nur, alle kritischen Dienste vorzukonfigurieren. Ebenso wichtig ist eine gute Kommunikation mit verständlichen Guidelines. 6. Teilnehmer bei Online Meetings eindeutig identifizieren Telefon- und Videokonferenzen ersetzen aktuell das persönliche Team Meeting. Vor allem in Konferenzen mit zahlreichen und neuen Teilnehmern können sich auch Unbefugte einklinken. Wer sensible Themen bespricht und Informationen auf dem Bildschirm teilt, sollte daher zu Beginn der Konferenz sicherstellen, dass nur geladene Gäste teilnehmen – einfach, indem sich alle (neuen) Teilnehmer kurz vorstellen, die per Konferenz-Software angezeigt werden. 7. VPNs im Home Office strikt trennen Ist ein Firmen-VPN im Home Office eingerichtet, sind davon alle privaten, mit dem Web verbundenen Geräte unbedingt strikt zu trennen. Wir empfehlen die Verwendung eines Firmen-VPN auf IPsec-Basis unter Nutzung des aktuellen IKEv2-Protokolls. Für zusätzliche Sicherheit sorgen Authentisierung und Key Handling über PIN-Pad und Smartcard. So stellt z. B. genucard mit diesen Funktionen eine VPN-Verbindung zwischen den Endgeräten des Nutzers und dem Firmennetzwerk her und verschlüsselt den gesamten Datenverkehr im Internet. 8. Patching für kritische Systeme sicherstellen Patch-Zyklen für Systeme wie das VPN, Endpunktschutz und Cloud-Schnittstellen, die für das Arbeiten im Home Office oder unterwegs wesentlich sind, sollten möglichst verkürzt werden. Somit kann die IT Patches nach ihrer Bereitstellung schnell einspielen. Insbesondere Systeme, welche die Infrastruktur an entfernten Standorten schützen, sind dabei zu berücksichtigen. Hinweis Bitte beachten Sie, dass genucard abgelöst wurde durch unsere neuen VPN-Lösungen genuconnect und genusecure Suite . Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Home Office Mobiles Arbeiten Artikel teilen Weiterführende Links Mobiles Arbeiten Wir bieten hochsichere Remote Working Tools, die sich in allen Einsatzfeldern als individuelle, bedarfsgerechte Lösung kombinieren lassen. Fernwartungslösung genubox Sicherer Wartungszugriff in sensible Netze unterstützt Zero-Trust-Konzepte Zurück zur Übersicht

Insights 13.02.2020 AI-gestützte IDS/IPS AI ermöglicht Security Teams starke Leistungssteigerung Zum Schutz sensibler Infrastrukturen und Informationen treten in der Regel zwei Teams in einer (Unternehmens-)Mannschaft an: einmal für den Bereich „Safety“, also die Betriebssicherheit, die Mensch und Umwelt vor Schäden bewahren soll. Die Safety-Aufstellung ist in vielen Unternehmen klar definiert, etwa mit einem Wachschutz und maschinellen Instrumenten wie Alarmanlagen oder Lichtschranken in Risikozonen der Fertigung. IDS und IPS als digitale Helfer Wie AI-gestützte IDS/IPS zu einem besseren Schutz vor Cyberangriffen beitragen Im zweiten Team, der „Security“, läuft das anders. Um die Informationssicherheit und dabei in erster Linie den Datenschutz zu gewährleisten, müssen hier die Tools von CTO, CIO und Systemadministratoren mehr als eben nur Tools sein. Tatsächlich übernehmen Technologien der Security IT immer mehr „Verantwortung“ für Überwachungsaufgaben, da sich die Intensität und Komplexität von Cyber-Angriffen nicht durch rein menschliche Kontrolle bewältigen lässt. Hilfreich sind hierbei Security-Systeme zur Intrusion Detection bzw. Intrusion Prevention. Neben klassischen Tools wie Firewalls und Anti-Viren-Software bieten sie hervorragende Unterstützung, um die digitale Sabotage von Informations- und Produktionssystemen oder Betriebsabläufen zu verhindern. Ein Intrusion Detection System, kurz IDS, erfüllt dabei die Funktion eines digitalen Wachhundes, der anhand bestimmter Muster selbstständig Angriffe auf Computersysteme oder Netzwerke erkennt und die Anwender oder Systemadministrationen alarmiert. Es kann als eigenständige Hardware in einem Netzwerk installiert sein und am Mirror Port eines Switches den gesamten Netzwerkverkehr überwachen oder als Software-Komponente in einem vorhandenen System, etwa als Ergänzung einer Firewall-Lösung. AI-Experte: Arnold Krille, Abteilungsleiter Product Development cognitix bei genua Von dieser passiven Wächterfunktion unterscheidet sich ein Intrusion Prevention System (IPS), da es Angriffe erkennt, aktiv verhindert und abwehrt. So kann ein IPS z. B. Datenpakete blockieren oder Netzwerkverbindungen unterbrechen und zurücksetzen. Idealerweise überblickt ein IPS den gesamten Traffic im Unternehmensnetzwerk, etwa am Core Router. Es sucht nach Mustern in einem Datenstrom, die auf Angriffe hinweisen und ergreift erste Schutzmaßnahmen, während es außerdem die verantwortlichen Personen alarmiert und nachgelagerte Reportingsysteme informiert. In der Praxis erweisen sich solche IPS jedoch als sehr wartungsintensiv. Denn die Auswahl der aktiven Erkennungsmuster und Reaktionen muss genau auf das Unternehmensnetzwerk und seine Eigenheiten abgestimmt sein und ständig nachgepflegt werden. Ansonsten ergeben sich sehr zügig Probleme des Overblockings durch False Positives. In der Folge wird darum in vielen Unternehmen das angeschaffte IPS recht schnell zum passiven IDS heruntergestuft, da die Abwägung zwischen Sicherheit und Verfügbarkeit des Netzwerkes doch eher zur Verfügbarkeit umschlägt. Leistungssteigerung mit AI Nun kann man für diese Aufgabe immer bessere IDS/IPS entwickeln und immer mehr personellen und zeitlichen Aufwand in deren Pflege investieren. Viel effektiver ist es aber, alle vorhandenen Elemente des Netzwerkes mittels AI bei der Abwehr einzubinden und somit einen gesamtheitlichen Blick auf das Netzwerk, die Bedrohungen und die Reaktionen zu erhalten. Die gefundenen Muster des IDS sind dann „nur“ ein Merkmal im erkannten Netzwerkverkehr. Dazu kommt u. a. die Auflösung externer IP-Adressen auf Länder und Orte mittels Geolocation. Zusammen bilden diese Informationen einen angereicherten Kontext für die Geräte im Netzwerk und das Verhalten der Kommunikation zwischen diesen Geräten. An diesem Punkt setzt unsere AI an. Sie überwacht den Netzwerkverkehr zwischen den Geräten nach vielen Aspekten und verifiziert Verhalten durch die Kontextinformationen. Damit erfüllt sie u. a. drei wesentliche Sicherheitsleistungen, die Unternehmen generell beim Einsatz einer AI-gestützten IDS/IPS beachten sollten: Identifikation: Wer gehört dazu? „Ungewöhnliche“ Kommunikationspartner können für sich genommen ja gewollt sein. Aber im Zusammenhang mit einem Treffer des IDS bildet ungewöhnliche Kommunikation eine Anomalie, auf die automatisch reagiert werden kann. Selektion: Welche Abweichung ist relevant? Hier geht es darum, mithilfe der AI die richtigen Schwellenwerte für das Auslösen von Alarmmeldungen zu ermitteln. Beispielsweise bei der Telefonanlage, die immer bestimmte IDS-Treffer triggert: Ein Alarm kann hier bei plötzlicher Zunahme der Treffer oder ihrem kompletten Ausbleiben ausgelöst werden. Andere Geräte verzeichnen diese IDS-Treffer in der Regel nicht, hier kann die AI ebenfalls durch Alarmmeldungen unterstützen. Verifikation: Ist der Treffer wirklich ein Treffer? Als potenzieller False Positive klassifiziert, kann ein einzelner Treffer des IDS keine Reaktion hervorrufen. Mehrere gleiche Treffer des IDS für verschiedene Endgeräte in einem kurzen Zeitfenster oder ein Treffer des IDS zusammen mit einem verdächtigen Kommunikationsmuster über viele Datenströme „erkennt“ die AI allerdings als verdächtiges und unerwünschtes Verhalten. Und genau dieses verifizierbare, anomale Verhalten sollte wiederum eine Warnung an den Administrator sowie eine automatische Reaktion im Netzwerk auslösen. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Artificial Intelligence Artikel teilen Zurück zur Übersicht

Insights 31.03.2020 Hochsicherheit schneller einsatzbereit Beschleunigte BSI-Verfahren Aktuell hat die zertifizierte High Resistance Firewall genugate von genua eine Zulassung für VS-NfD erhalten. Damit können unsere Kunden das hochsichere zweistufige System jetzt auch zum Schutz eingestufter Netze einsetzen. High Resistance Firewall genugate Bei der Zulassung kam ein neues, beschleunigtes Zulassungsverfahren mit der offiziellen Bezeichnung „Integrationsverfahren BSI-zertifizierter Produkte in das BSI-Zulassungsschema“ zur Anwendung. Über Produktzulassungen und Verfahren des Bundesamts für Sicherheit in der Informationstechnik (BSI) sprechen wir mit Dr. Dirk Husfeld, Experte bei genua für Zertifizierung und Zulassung. BSI-Zulassungen werden benötigt, wenn IT-Sicherheitslösungen im öffentlichen Bereich zum Schutz vertraulicher Daten eingesetzt werden. Sie gelten aber beispielsweise auch bei KRITIS-Betreibern als starker Vertrauensanker. Wie zeitaufwendig ist ein Zulassungsprozess üblicherweise? Dr. Dirk Husfeld: Da gibt es natürlich Schwankungen abhängig von Produkttyp und -komplexität sowie vom angestrebten Zulassungsgrad. Für die Produkte von genua wie Firewalls oder VPN-Gateways kalkulieren wir mit rund einem Jahr für eine VS-NfD-Zulassung im Standardverfahren. Welche Alternativen bietet das BSI inzwischen zum Standardzulassungsverfahren? Dr. Dirk Husfeld: Das „Qualifizierte VS-NfD Zulassungsverfahren“ kann genua seit gut zweieinhalb Jahren nutzen. Es führt zu einer deutlichen Beschleunigung und einer besseren zeitlichen Planbarkeit der Zulassung, da das BSI dem anerkannten Produkthersteller Vertrauen entgegenbringt und auf die routinemäßige Prüfung etlicher Nachweisdokumente verzichtet. Beim „Integrationsverfahren BSI-zertifizierter Produkte“ entsteht ein ähnlicher Vorteil, weil das BSI die Produktevaluation aus einem vorangegangenen Zertifizierungsverfahren nach Common Criteria anerkennt. Auch aufgrund der langjährigen Expertise von genua im Bereich Public IT Security haben verschiedene Produkte das „Qualifizierte VS-NfD Zulassungsverfahren“ bereits erfolgreich durchlaufen. Welche Kriterien muss ein Unternehmen konkret erfüllen, um wie genua als „qualifizierter Hersteller“ zu gelten? Dr. Dirk Husfeld: Zunächst muss der Hersteller Erfahrung aus mehreren erfolgreich durchgeführten Zulassungen nach dem Standardverfahren besitzen. Darüber hinaus ist dem BSI gegenüber detailliert nachzuweisen, wie Sicherheitsprodukte im Unternehmen entwickelt, zum Kunden ausgeliefert und im Lebenszyklus weiter gepflegt werden. Dabei ist der Einsatz eines leistungsfähigen Konfigurationsmanagementsystems eine wichtige Voraussetzung, das alle Abhängigkeiten der Konfigurationselemente wie z. B. Software-Module, Entwicklungs-Tools, Benutzeranleitungen und Zulassungsdokumente erfasst und die Auswirkungen einzelner Änderungen auf andere Elemente automatisch aufzeigt. Die Firewall genugate hat kürzlich das „Integrationsverfahren BSI-zertifizierter Produkte in das BSI-Zulassungsschema“ erfolgreich passiert. Inwieweit erleichtert ein vorhandenes BSI-Zertifikat die Produktzulassung? Dr. Dirk Husfeld: Das angesprochene BSI-Zertifikat wird nach dem erfolgreichen Abschluss einer Produktevaluierung gemäß internationalem Standard der Common Criteria verliehen. Diese Evaluierung umfasst die eingehende Prüfung der Sicherheitseigenschaften des Produktes, sodass im Rahmen einer nachfolgenden Zulassung das BSI auf die nochmalige Prüfung verzichten kann. Voraussetzung ist allerdings, dass die Sicherheitsziele und -funktionen des Produktes die entsprechenden Anforderungen des BSI an zulassungsfähige Erzeugnisse vollständig abdecken. Eben das muss vom Hersteller im Detail nachgewiesen werden. Inwieweit wird genua die neuen Verfahren zukünftig nutzen? Dr. Dirk Husfeld: Das „Qualifizierte VS-NfD Zulassungsverfahren“ ist mittlerweile die bei genua im Regelfall genutzte Methode, die nur in Sonderfällen wie z. B. für Zulassungen bis GEHEIM nicht zur Anwendung kommt. Die Anwendungsmöglichkeiten für das Integrationsverfahren sind dagegen im Moment ausgeschöpft, da alle zurzeit zertifizierten Produktversionen nun ebenfalls eine VS-NfD-Zulassung besitzen. Danke für das Gespräch. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Firewalls & Gateways Öffentlicher Sektor Artikel teilen Weiterführende Links High Resistance Firewall genugate Vollständige Datenanalyse für höchste Netzwerksicherheit Zurück zur Übersicht

Insights 11.12.2019 AI-basiertes Tagging AI-Training für den Cyberwar AI kann beim Schutz von IT-Infrastrukturen zielgerichtet assistieren – wenn man ihre Funktionsweise versteht und ihre Leistungsfähigkeit ausbaut. Im Wettrüsten gegen Cyber-Kriminelle gab es für Unternehmen in diesem Jahr erneut viel zu tun: Bereits zwischen Juni 2018 bis Mai 2019 kamen laut Bundesamt für Sicherheit in der Informationstechnik (BSI) ca. 320.000 neue Schadprogramme in Umlauf – pro Tag. Das erhöht den Druck, eine IT Security aufzubauen, die auch mit dem Spektrum zukünftiger Bedrohungen Schritt hält. Schon heute spielen AI-basierte Programme dabei eine Schlüsselrolle. Die Komplexität der Herausforderungen in der IT-Sicherheit lässt uns gar keine andere Wahl, als viele Schutz- und Überwachungsaufgaben einer „mitdenkenden“ Technologie anzuvertrauen. Allerdings: Vertrauen ist gut, Transparenz ist besser. Heuert man einen Sicherheitsdienst zur Überwachung von Büroräumen, Fabrikhallen oder Laboren an, prüft man schließlich auch dessen Referenzen. Gleiches gilt für den Einsatz von AI in der IT Security: rein kommt nur, wer transparent macht, was er leistet. Sind die Funktionen und Mechanismen der AI nachvollziehbar, rückt das auch die „Zusammenarbeit“ gleich in das richtige Verhältnis: die AI assistiert, schlägt Lösungen vor, der Mensch entscheidet. Devices durch Tagging einbinden Ein gutes Beispiel für diese Nachvollziehbarkeit ist das AI-basierte Tagging Feature, mit dem unser cognitix Threat Defender Angriffe auf Unternehmensnetzwerke identifiziert. Ob Smartphone, Router oder Switches: ist ein Gerät einmal per IP- oder MAC-Adresse im Netzwerk erfasst, kann es getaggt und bei Bedarf mit Tag-spezifischen Sicherheitsrichtlinien versehen werden. So lassen sich Geräte mit gleichen Funktionen zusammenfassen, um Sicherheitsrichtlinien einfacherer zu implementieren. In diesem Fall übernimmt die AI die Assistenzaufgabe, das Verhalten aller gleich getaggten Geräte permanent auf Abweichungen vom Gruppenzustand zu überprüfen. Geschieht z. B. bei einem von fünf als #Drucker markierten Geräten etwas, das vom Verhalten der anderen vier Geräte abweicht, schlägt die AI Alarm. Finde die Katze! KI-Experte: Arnold Krille, Abteilungsleiter Produktentwicklung cognitix Threat Defender bei genua Aber wie „lernt“ der AI-Assistent eigentlich, was „normal“ ist? Oft wird das mit dem Bild des neuronalen Netzwerkes erklärt, also ein Lernvorgang beschrieben, bei dem AI-Systeme nach menschlichem Vorbild Input erhalten und diesen selbstständig zu neuen Informationen verknüpfen. In der AI-Praxis funktioniert das nicht so einfach. Ein Beispiel für den Unterschied: Wir filtern aus der Masse des „Gewöhnlichen“ das „Ungewöhnliche“ heraus, zum Beispiel wenn wir unter 100 Hundebildern schnell das eine Katzenbild identifizieren. Eine AI geht anders vor, denn sie "sieht" nur die ihr bekannten Muster mit variierender Treffsicherheit. Wurde die AI auf das Erkennen von Hunden trainiert, erkennt sie das eine Katzenbild zwischen 100 Hunden nicht etwa als Katze – sondern „mit fünf Prozent Wahrscheinlichkeit einen Hund“. Die AI kann nicht erkennen, dass ihr andere Tiere gezeigt werden, und auch keine Aussagen zu diesen machen. Dazu muss sie erst wieder neu trainiert werden. Gerade in der IT Security ist das eine ganz zentrale Herausforderung, da AI-Systeme immer wieder neu lernen müssen, dass eine Katze, Kuh, Giraffe – sprich neue Bedrohungen im Netzwerk – existieren und wie darauf reagiert werden soll. Um zu „wissen“, was aktuell als „normal“ gilt und damit erwartetes Verhalten ist, benötigt eine AI also konstant gepflegte Daten. Durch das Tagging gleicher Geräte zu funktionalen Gruppen kann sie immer das Verhalten der Gruppe bzw. das Durchschnittsverhalten der Gruppenmitglieder ermitteln und die Abweichungen davon bei einzelnen Geräten erkennen – und somit Abweichungen vom „Normalverhalten“, selbst wenn sich dieses mit der Zeit ändert. Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Artificial Intelligence Artikel teilen Zurück zur Übersicht

Insights 10.12.2020 "Computerkriminalität ist der sichere Gewinner im EU-Crypto War" Perspektiven und technologische Herausforderungen der EU-Resolution "Security Through Encryption and Security Despite Encryption". Computerkriminalität im EU-Crypto War Im November machte der EU-Ministerrat den Weg frei für eine Resolution zur "Sicherheit durch Verschlüsselung und Sicherheit trotz Verschlüsselung". In einer Videokonferenz bestätigten die Innenminister der EU-Länder das Papier nun formal. Damit geht eine seit Jahrzehnten andauernde Debatte in die nächste Runde. Seit dem kalten Krieg wird über die staatliche Reglementierung von Kryptografie unter dem Schlagwort "Crypto Wars" diskutiert. Entsprechende Vorstöße werden von Experten stets kritisiert und abgelehnt. Erneut steht eine Forderung der Resolution besonders im Fokus der Kritik: Anbieter von IT-Sicherheitslösungen bzw. Verschlüsselungssoftware sollen Mechanismen in ihre Produkte einbauen, die staatlichen Institutionen Zugriff auf die verschlüsselte Kommunikation erlauben. Mögliche Folgen und technologische Kernpunkte dieser Entwicklung schildert Dr. Andreas Fiessler, Ingenieur Forschung und Entwicklung bei genua, im Interview: Herr Fiessler, warum ist die Entscheidung der EU-Innenminister so brisant? Eine staatliche Reglementierung von Kryptografie ist in vielfacher Hinsicht als sehr kritisch einzuordnen: generell gefährdet sie überall auf der Welt Bürger, Unternehmen und auch die staatlichen Institutionen selbst, da in der Praxis eine wirksame Absicherung bereits ohne eine künstliche Einschränkung eine Herausforderung darstellt. Mit Blick auf den Wirtschaftsstandort Deutschland möchte ich sogar von einem massiven Bedrohungsszenario sprechen. Wenn eine generalisierte Zugriffsmöglichkeit auf verschlüsselte Kommunikation in der EU geschaffen werden soll, ist das weder eine ethische noch technologische Trivialität. Mit dieser Entscheidung wird eine rote Linie unser IT-Sicherheitspolitik überschritten, die in den vergangenen Jahren zu Recht sakrosankt war. Jenseits dieser Linie ist unklar, wie sich gesetzestreue Bürger und Unternehmen gegen die allgegenwärtigen Gefahren wirksam schützen können – ganz eindeutig ist hingegen der Vorteil für versierte Verbrecher. Denn diese halten sich nun einmal nicht an Gesetze, sondern werden weiterhin starke Kryptografie für ihre Kommunikation verwenden. Man kann also davon ausgehen, dass wir uns im Falle einer Umsetzung der Resolution noch angreifbarer gegenüber jedem denkbaren Akteur aus der Schattenwelt der Computerkriminalität und Spionage machen. Wenn Sie so wollen, steht also bereits jetzt ein sicherer Gewinner im EU-Crypto War fest: die Computerkriminalität. Kein wünschenswertes Szenario … Richtig, und es wird durch einen weiteren Aspekt zusätzlich verschärft: Anbieter von IT-Sicherheitslösungen in Deutschland würden ein wichtiges Vertrauensmerkmal verlieren, verschlüsselte Software explizit nicht mit "Backdoors", also Zugängen für Behördenzugriffe auszustatten. Genau das ist aber ein ganz zentraler Mehrwert. Das Zeichen "IT Security Made in Germany" steht beispielsweise für höchste Vertrauenswürdigkeit. Und Vertrauen ist ein Aktivposten, der über Jahre aufgebaut wird und den man nicht leichtfertig aufs Spiel setzen darf. Diese Perspektive geht in der aktuellen Diskussion leider zuweilen oft unter. Für wünschenswert und hilfreich halte ich eine sachliche, technologisch orientierte Diskussion über alle Aspekte des Problems. Dabei sollte man die verschiedenen Maßnahmen und Zugriffsoptionen objektiv abwägen, anstatt nur einseitig neue Befugnisse zu fordern. Um welche konkreten Zugriffsoptionen auf verschlüsselte Kommunikation geht es? Hierzu macht der Entwurf keine konkreten Vorgaben, sondern legt es in die Verantwortung der privaten Unternehmen, entsprechende Schnittstellen bereitzustellen. Es sind verschiedene Varianten vorstellbar, jede mit eigenen Vor- und Nachteilen. Hier möchte ich drei Beispiele nennen: Man-in-the-Middle-Angriffe, Zugriffe direkt am Endgerät und die Schwächung von Kryptografie. Ein Abhören als Man in the Middle funktioniert, indem sich der Angreifer aktiv in die Kommunikation schaltet und sich gegenüber den Kommunikationspartnern jeweils als die andere Gegenstelle ausgibt. Hierdurch erhält er selbst vollen lesenden und schreibenden Zugriff auf die Kommunikation. Verhindert wird dies z. B. durch Authentisierung mittels Zertifikaten. Per gesetzlicher Vorgabe könnte nun erzwungen werden, einer staatlichen Certificate Authority (CA) zu vertrauen, womit diese für den Endanwender unbemerkt jeglichen Online-Dienst imitieren kann – Kasachstan unternimmt aktuell einen neuen Anlauf für ein solches Verfahren. In Deutschland greifen Behörden doch ebenfalls auf Daten von Unternehmen und Privatpersonen zu? Ja, ein Beispiel ist die sog. Online-Durchsuchung, auch bekannt als Bundestrojaner. Das ist die zweite Variante, der direkte Zugriff am Endgerät. Bei einer starken Ende-zu-Ende-Verschlüsselung ist das die praktisch einzige Möglichkeit eines Abgriffs, da die Daten nur dort entschlüsselt vorliegen. Problematisch ist dabei einerseits, dass der Staat dazu selbst Sicherheitslücken entdecken oder auf dem Schwarzmarkt beschaffen muss und diese Lücken nicht geschlossen werden. Andererseits können die betroffenen Endgeräte von jedem, der den Zugriff erlangt, beliebig manipuliert werden. Und das dritte Beispiel? Eine weitere Option besteht darin, Kryptografie künstlich abzuschwächen, um sie bei Bedarf leichter brechen zu können. Dies wurde beispielsweise schon mit Exportrestriktionen bei kryptografischen Algorithmen umgesetzt. Das offensichtliche Problem dabei liegt natürlich darin, dass der Aufwand nicht nur für eine eigene staatliche Behörde, sondern für jeden beliebigen Angreifer sinkt. Besonders im Kontext von Industriespionage und Angriffen durch Fremdstaaten muss immer damit gerechnet werden, dass auf der Gegenseite entsprechendes Know-how und Rechenleistung vorhanden ist. Mehr zum Thema Staatliche Regulierung von Kryptografie – ein Überblick (PDF-Download) Ein Fachartikel von Dr. Andreas Fiessler, Ingenieur Forschung und Entwicklung, genua GmbH Bildquelle: © tostphoto – stock.adobe.com Kontakt Vertrieb + 49 89 991950-902 vertrieb@genua.de Topics Encryption Artikel teilen Zurück zur Übersicht