Dell nennt ungewöhnliche Einfallstore Fünf oft übersehene Server-Schwachstellen

Anbieter zum Thema

Dell GmbH

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

SEPPmail - Deutschland GmbH

Gefahren wie Ransomware, Phishing oder Exploits sind nahezu täglich in den Schlagzeilen und weithin bekannt. Wie Dell Technologies aus der Erfahrung unterrichtet, gibt es zudem nahezu unbekannte Server-Schwachstellen mit Potenzial für gravierende Folgen.

Bequemlichkeit und Unvorsichtigkeit laden oftmals Diebe ein; nicht viel anders sieht es laut Dell Technlogies im IT-Segment aus. Cyber-Kriminelle nutzen jede nur erdenkliche Lücke für Attacken aus. Unternehmen greifen deshalb auf modernste und stets aktuell gehaltene Systeme zurück, um sich vor Angriffen zu schützen.

Dieser Schutzwall bringt aber nur wenig, wenn vergessene oder unerkannte Sicherheitslücken zum Einfallstor werden. Dell Technologies macht klar, dass sich in Server-Hardware Schwachstellen über den kompletten Produktlebenszyklus finden können. Dies reicht von der Fertigung über den Betrieb bis hin zur Entsorgung. Folgende Schwachstellen bleiben oftmals unter dem Radar:

Infiltration mit Malware während der Herstellung

Nur wenige Unternehmen machen sich Gedanken darüber, ob die bestellte Hardware auf dem Weg vom Fertigungsband bis zum Aufstellen im eigenen Rechenzentrum kompromittiert wurde. Ein Angriff auf die physische Lieferkette ist mithilfe eingeschleuster Malware und Sniffing-Tools oder durch den Einbau manipulierter Komponenten wie Netzwerkkarten möglich. Letztere leiten den Datenverkehr an eine zweite IP-Adresse weiter, so dass wichtige Informationen in die Hände Cyber-Krimineller gelangen können.

Da die meisten Hersteller ihre Rechner über OEMs fertigen lassen, ist das Risiko für Manipulationen groß: Macht sich ein Fremder auf dem Werksgelände an den Geräten zu schaffen, fällt das unter Umständen nicht gleich auf. Hinzu kommt, dass viele Lieferungen erst einmal zwischengelagert werden, bis die Bestellung komplett ist.

Hier kann eine digitale Verifizierung der Konfiguration helfen, um Veränderungen jeder Art auf die Spur zu kommen. Dazu wird ein kryptografisches Zertifikat erstellt, das eine Bestandsaufnahme aller Komponenten und Konfigurationen des Systems zum Zeitpunkt der Fertigstellung im Werk anhand eindeutiger Kenndaten abbildet.

Übernahme des UEFI

Auch das Unified Extensible Firmware Interface (UEFI) ist ein stark unterschätzter Angriffspunkt für Cyber-Kriminelle. Antivirensysteme richten hier nichts aus, da sie noch nicht aktiv geladen sind und auch keinen Zugriff auf die Module haben. Quartiert sich nun ein Angreifer in die Firmware ein, bedeutet das im schlimmsten Fall eine vollständige Kompromittierung des Systems.

Schadsoftware, mit der man Privilegien im innersten Bereich des Rechners erlangt, kann alle anderen darüber liegenden Schichten auslesen. Eine solche Kompromittierung ist schnell passiert, wenn beispielsweise aktuelle Firmware über eine manipulierte Webseite heruntergeladen wird.

Schutz gegen Wegelagerer aller Art, Teil 1

Sicherung der Hardware-Lieferung

Schutz gegen Wegelagerer aller Art, Teil 2

Angriffe auf Server erfordern ein Umdenken

Aus diesem Grund ist eine Hardware notwendig, die nach dem Zero-Trust-Prinzip niemandem vertraut und alles kontrolliert, was sich durch ein so genanntes induktiv konstruierbares Vertrauen erreichen lässt. Dabei wird die Firmware der Server durch einen in Silizium eingebrannten Fingerabdruck – Stichwort „Silicon Root-of-Trust“ – inklusive Verschlüsselung bei der Verifizierung geschützt. Lösungen, die weiter oben im Stack Sicherheitsprüfungen vornehmen sowie die entsprechenden Ergebnisse zusammenführen und bewerten, verstärken zusätzlich die Abwehr.

Außerachtlassen von Security-Features

Oftmals nutzen Unternehmen in die Hardware integrierte Abwehrmaßnahmen nicht oder deaktivieren diese sogar. Dabei lässt sich beispielsweise mit Hilfe der Systemsperre der Server softwareseitig verriegeln, so dass unerwünschte Konfigurationsänderungen, die weitreichende Folgen haben können, verhindert werden. Funktionen, die die Daten während der Nutzung oder der Übertragung schützen, und selbstverschlüsselnde Laufwerke, die skalierbare und flexible Optionen bieten, tragen ebenfalls zur Absicherung bei.

Verschlüsselung bei der Datenabsicherung wiederum ergibt nur Sinn, wenn der Key selbst gut geschützt wird. Mit einem kryptografischen Key-Management-System sind Unternehmen in der Lage, alle sicherheitsrelevanten IT-Prozesse zentral zu verwalten. Zudem ist eine externe Lösung unabdingbar: Wird ein Schlüssel standardmäßig im RAID-Controller gespeichert, ist der Zugriff bereits in der Maschine verankert – mit weitreichenden Folgen bei einem Angriff.

Anstecken unbekannter Geräte

Keylogger sind ein beliebtes Werkzeug von Hackern. Dabei handelt es sich in der Regel um Software, mit deren Hilfe sich die Tastatureingaben eines Anwenders aufzeichnen lassen.

Keylogger gibt es aber längst auch als Hardware. Da eine Box zwischen Tastaturkabel und Rechner auffallen würde, packen die Kriminellen lieber einen kleinen Mikrochip mit der Schadsoftware unsichtbar in ein klassisches Kabel.

Zwar blockieren viele Virenschutzprogramme fremde Neugeräte, allerdings haben die Hacker auch darauf die passende Antwort: Das kompromittierte Kabel wechselt einfach seine Hardware-Identifikationsnummer innerhalb von Sekundenbruchteilen, bis es schließlich die ID eines erlaubten Geräts erraten hat. Da auf dem Rechner oftmals keine visuelle Abfrage angezeigt wird, bleibt der Angriff unbemerkt.

Ausrangieren des Geräts

Am Ende des Lebenszyklus eines Servers oder Speichermediums steht eine fachgerechte Entsorgung an. Festplatten, SSDs und USB-Sticks müssen gelöscht werden, so dass auch wirklich keine Informationen wiederhergestellt werden können. Die früher praktizierte Verfahrensweise mit mehrmaligem Überschreiben der Daten reicht jedoch nicht aus; denn dabei werden zahlreiche Bereiche ausgespart, die den Hackern wertvolle Informationen liefern können. Um dieses Schlupfloch zu schließen, löschen moderne Lösungen auch verborgene, vom Laufwerk nicht mehr zugängliche Nutzerdaten wie defekt deklarierte Blöcke.

(ID:49611359)