Security-Startups im Blickpunkt: ReddFort Eine sichere Festung in der Firmen-IT

Festungsbauten versetzen uns auch heute, Jahrhunderte nach Ihre Erbauung immer noch in Erstaunen. Denn eine raffinierte Bauweise und eine strategisch günstige Position machten die Bastion oft unbezwingbar für den zu Land und Wasser angreifenden Feind.

Anbieter zum Thema

SEPPmail - Deutschland GmbH

TXOne Networks

Keeper Security EMEA Ltd.

ReddFort Software GmbH

In dieser Serie stellen wir Security-orientierte Startup-Unternehmen aus Deutschland, Österreich und der Schweiz vor, die mit neuen, innovativen Ideen die IT-Sicherheit nach vorn bringen wollen. Eine moderne Festung passt als Bild auch sehr gut zum Produkt des deutschen Startups ReddFort Software aus Kürten, welches die System von „innen“ schützt. Diese ideale Positionierung im Betriebssystem, erlaubt es, die Endsystem zu schützen, indem man ausführbaren Code überwacht und nur zulässt, was vorab erlaubt wurde (Erlaubniskontrolle aka Whitelisting).

Wobei das Tool nicht einfach nur eine PC-Applikation ist, sondern sich im Betriebssystem festkrallt und so internen Attacken entgegenwirkt. Dieses Verfahren basiert auf einer Technik von Dr. Adrian Spalka, der seine Rechte an den von ihm ersonnenen Algorithmen an ReddFort übertragen hat. Einen kurzen Einblick gibt auch das folgende Video.

ReddFort Software

Das Portfolio des Unternehmens offeriert die Produkte App-Protect (inkl. Administration Center zum Schutz auf Dateiebene) und M-Protect. M-Protect ist ein Outlook-PlugIn, für Microsoft Outlook 2010/2013/2016 (Office 365) welches, vereinfacht gesagt, den verschlüsselten Versand und die Ablage von E-Mails kontrolliert. App-Protect bietet dabei einige elementare Vorteile, mit denen Whitelisting-Tools im Vergleich zu einem klassischen Virenscanner punkten können.

• Der Aufwand flächendeckend, täglich neue Signaturen zu verteilen wird erheblich reduziert

• Laptops bzw. Mobile Devices ohne „Update-Möglichkeit“ unterliegen keinem Alterseffekt, bei dem die Virenscanner-Signaturbasis permanent veraltete

• Für den Worst-Case kann über die Software „Verwaltungskomponente“ der Schutz in den Wartungsmodus oder Installationsmodus gesetzt werden, der entweder die App-Protect deaktiviert oder als eingeschränkte Funktion, die Installation neuer Software erlaubt.

• Bei Outbreak-Situationen einer neuen Schadsoftware ist kein Emergency-Patch zum Update der Signaturen erforderlich.

Das Whitelisting von App-Protction, arbeitet mit einer „weißen Liste“ und erlaubt nur die Ausführung der Executables, die auf dieser Liste stehen und damit als vertrauenswürdig klassifiziert wurden.

Bildergalerie

Bildergalerie mit 11 Bildern

Generell entdeckt man beim Arbeiten mit App-Protect clevere Funktionen, die eine Nutzung der Technologie wesentlich erleichtern. Dazu zählt auch die Option, sogenannte „Pakete“ erstellen zu können. Diese verstehen sich als Erweiterung zu einer regulären Software-Verteilung, bei der beispielsweise Produkte die neu auf dem System installiert werden auch in die App-Protection-Datenbasis eingetragen werden. Ein Paket enthält in der Regel immer eine .MSI-Installationsdatei und eine .IMG-Datei, die für das Update der App-Protection-SQL-Datenbasis verantwortlich zeichnet.

Die Nutzung anderer Software-Verteilprodukte die bereits im Unternehmen eingeführt sind, ist grundsätzlich möglich. Im Bedarfsfall ist hier die geeignete Nutzungsart zusammen mit ReddFort abzuklären. Für diese Paket-Funktion ist es erforderlich, das sogenannte „App-Protect-Administration-Centers“ zu installieren. Dieses ist einmalig im Netzwerk auf dem SxReddFortServer zu installieren und nutzt als Datenbasis eine SQL-Datenbank. Für die Wartung und Konfiguration der SQL-DB gelten die üblichen „Best Practice“-Empfehlungen und bedürfen keiner speziellen ReddFort-Anpassung.

Auch an die Unterstützung der Travelling User, die per Notebook unterwegs sind, ist ohne weiteres möglich. Hierbei erfolgt die Administration aus der Ferne über das Administration-Center per VPN.

Ergänzendes zum Thema

Im Gespräch mit Dieter Schulz, Geschäftsführer von ReddFort Security

Security Insider: Hr. Schulz, die beiden Anwendungen App-Protect und M-Protect adressieren den Schutz, den jeder Anwender haben möchte. Vertraulichkeit für seine E-Mails und Programme ohne Malware. Beides ermöglichen Ihre Tools. Wofür braucht nun der Anwender noch den „Sicheren Desktop“ – der ja ein Alleinstellungsmerkmal Ihre Lösung ist?

Dieter Schulz: Der "Sichere Desktop" ist eine "second line of defence", der ein "Trusted Execution Environment" in Software realisiert - eine Art VIP-Bunker. Er garantiert, dass Anwendungen unverfälscht und ohne Beeinträchtigung oder Belauschung der Kommunikation ablaufen können, selbst wenn sich schädliche Software in dem Account eines Benutzers zur Ausführung bringen konnte.

Security Insider: Wie sehen Sie die Zukunft beim Schutz der Endpoint-Systeme? Nutzen wir in drei Jahren noch klassische, signaturbasierte Virenscanner oder machen andere Lösungen das Rennen – wie App-Protect?

Schulz: Klassische Virenscanner werden ihre Rolle als Schutz gegen "bekannten Weltraumschrott" beibehalten. Es ist uns aber klar, dass dieser Mechanismus im Lichte bestehender und neuer Bedrohungen unzureichend ist und durch neue Denkweisen und Technologien ergänzt werden muss. App-Protect realisiert Schutz unter der Annahme, dass Malware auf einen Rechner transportiert werden konnte.

Security Insider: Aktuell bedient die ReddFort Software GmbH den Windows-Markt. Was kommt ggf. in naher Zukunft - Android, Unix oder spezifische Cloud-Lösungen?

Schulz: Wir arbeiten zurzeit an Linux und Android Produkten. Der Einsatz von App-Protect erstreckt sich natürlich auch auf Server - und damit auf die Cloud.

Security Insider: Welches Feedback erhalten Sie von Ihren Kunden bzgl. des Security-Ansatzes. Ist es schwierig für die Security-Administratoren und Anwender, den gewohnten Virenscanner „Lebewohl“ zu sagen und ein neues Whitelisting-Konzept zu akzeptieren und zu etablieren?

Schulz: Wenngleich zu Beginn skeptisch, ist App-Protect so konzipiert, dass es sich in einen Update-Rollout lediglich als ein weiteres Paket integriert, was dann letztendlich auch die Administratoren überzeugt.

Security Insider: Wir danken für das Gespräch!

Ein Plus bei App-Protect ist ein erweiterter Schutzmodus, der für den Anwender als „Sicherer Desktop“ ersichtlich ist. Der Hersteller bezeichnet dies, als „sichere Schutzhülle“ und entspricht einem abgeschotteten Desktop. In der Praxis wird hier eine Anwendung gekapselt und kritische Aktivitäten unterbunden. Dazu zählen beispielsweise:

• Mitschneiden von Tastatureingaben,

• das Kopieren des Bildschirms,

• die Anwendung von Programm-Hooks,

• eine Library-Injection und

• die Veränderung von Messages (aka Message-Corruption).

Die gleichzeitige Nutzung von mehreren gekapselten „Sicheren Desktops“ ist dabei problemlos möglich.

Elementare Komponente für die Sicherheit der ReddFort-Anwendung ist dabei die Nutzung von Windows-Services, Windows-Kernel-Filtertreiber und die verschlüsselte Kommunikation der Einheiten untereinander. Eine Manipulation ist damit deutlich erschwert, wenn nicht gar unmöglich. Siehe hierzu auch das Interview mit dem Technologie-Erfinder Dr. Spalka.

Die gegenwärtige Produktplanung sieht eine Schnittstelle zu einem SIEM-System nicht vor. Jedoch solle ein findiger Security-Administrator selbst in der Lage sein, einen relevanten Connector zu seinem SIEM-System zu erstellen, der die SQL-Datenbasis „anzapft“ oder die entsprechenden Client-Logfiles auswertet (Ansicht via im Administration Center). Aber Produkte entwickeln sich weiter, möglicherweise plant ReddFort selbst für die Zukunft eine Erweiterung ein.

Betriebskosten

Wie bereits erwähnt, lässt sich mit einer signaturlosen Technologie der Arbeitsaufwand reduzieren. Denn das Deployment von Signaturdateien entfällt komplett und damit die Aufwendungen für Nachkontrolle, Sonderbehandlung für Mobile Devices, die Bereitstellung von Netzwerk-Ressourcen und die ggf. erforderliche Nachbesserung in den Virenscanner-Settings (Exklusionen von performancekritischen Dateien). Ebenso sollte sich die Kosten für Lizenz- und Produktmanagement reduzieren, welche turnusmäßig anfallen.

Allerdings ist der Einsatz der neuen Technologie auch nicht umsonst – denn für die Erstanschaffung muss auch ein Budget bereitgestellt werden. Ebenso muss eine Logistik etabliert werden, die Software-Updates für Programme entsprechend der App-Protect-Rahmenwerte installiert und für eine Berechtigung sorgt.

Letztendlich braucht es trotz allem, immer noch einen Virenscanner – denn auf einem Test-PC muss ja initial, vor Verteilung, überprüft werden, ob die zu verteilende Software bekannte Malware enthält. Ganz ohne Virenscanner geht es also nicht - auch wenn dafür nur eine Lizenz erforderlich ist.

Die Preisgestaltung für App-Protect und das E-Mail-Schutzsystem M-Protect, ist wie üblich, immer abhängen von der Anzahl der Lizenzmenge und der Laufzeit. ReddFort benennt hier einen Listenpreis, der für eine 2000er-Lizenz von App-Protect und 2 Jahren Laufzeit je Lizenz 37 Euro und für bei M-Protect bei etwa 30 Euro. Letztendlich sind dies Richtwerte, denn individuelle Anpassungen sind in der Regel erforderlich, da man Kombi-Angebote erwirbt oder abweichende Stückzahlen

Zusammenfassung

Im Endpoint-Bereich kämpfen derzeit mehrerer Techniken darum, den klassischen, signaturbasierten Virenscanner zu verdrängen und zu beerben. Auf der einen Seite sind dies Produkte, die das Verhalten von Software analysieren und damit Schadsoftware blockieren und auf der anderen Seite, Whitelisting-Software (Prüfsummenprogramme), die Veränderungen am Programmbestand erkennen und damit Schadsoftware an der Ausführung hindern.

Empfehlenswert ist es, sich die Techniken anzusehen, bevor man in die Security-Zukunft investiert. Über die Partner der ReddFort Software GmbH kann man dies für App-Protect und M-Protect tun, wobei diese auch mit Schulungen und Unternehmensspezifischen Beratungsleistungen unterstützen.

Bildergalerie

Bildergalerie mit 11 Bildern

(ID:45272008)