Remote Access als Einfallstor

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

Fsas Technologies GmbH

FAST LTA GmbH

RDP… oder lieber doch nicht?

Am Beispiel RDP werden die Grenzen populärer IT-Werkzeuge deutlich, wenn es um professionelle Umgebungen geht. Ursprünglich war das Remote Desktop Protocol von Microsoft für den Administratorzugriff auf Desktop-Rechner innerhalb eines lokalen Netzwerks gedacht.

Eine RDP-Verbindung über das Internet erfordert deshalb zusätzliche Anpassungen. In der Regel wird ein verschlüsselter VPN-Tunnel (Virtual Private Network) aufgebaut. Die Firewall-Einstellungen müssen dementsprechend auf die besonderen Anforderungen des Protokolls angepasst werden, um zum Beispiel einen Listening-Port nach außen dauerhaft zu öffnen.

Idealerweise werden die RDP-Daten deshalb über eine zentrale Remote-Support-Appliance hinter der zentralen Unternehmens-Firewall geroutet, um die Daten im Rahmen eines abgestimmten Verbindungsprozesses weiterzuleiten und zu protokollieren. Ohne solche Anpassungen bietet RDP nur eine limitierte Unterstützung für Funktionen, die für den produktiven Einsatz im Geschäftsumfeld wichtig sind.

Zentrales Management, Auditierung, Reporting und Collaboration seien an dieser Stelle als Beispiele genannt. Mit Blick auf solche Einschränkungen und zur Vermeidung von Sicherheitsproblemen bleibt ansonsten nur die Alternative, alle Direktverbindungen per RDP zu stoppen und externe Zugriffe auf RDP-Port 3389 generell zu unterbinden.

In vielen Firmen ist allerdings überhaupt nicht bekannt, welche IT-Werkzeuge über die Jahre für den externen Zugriff eingerichtet wurden. Welche Remote-Access-Software ist aktuell noch aktiv? Wurden die Werkzeuge komplett gelöscht, oder gibt es möglicherweise noch Restinstallationen? Wenn die IT-Abteilung nicht diese Punkte beantworten kann, gehen Hacker diesen Fragen nach und verschaffen sich umfassende Zugriffsrechte.

Erforderliche Schritte

IT-Abteilungen müssen in die Lage versetzt werden, alle Zugriffsrechte zentral zu steuern und Aktivitäten im Netzwerk zu überwachen. Nicht zwangsläufig muss deswegen die Arbeitslast der IT-Abteilungen in die Höhe schießen. Moderne Remote-Access-Lösungen unterstützen eine plattformübergreifende Konfiguration – von Windows-, Mac- und Linux-Rechnern bis zu Android-, BlackBerry-, iOS- und anderen Mobilgeräten.

Die zentrale Steuerung von Zugriffsrechten ermöglicht, dass sich Konfigurationsrechte individuell zuweisen lassen. Schließlich benötigen nicht alle Techniker vollständigen Zugriff auf geschäftskritische Datennetze und Systeme – und schon gar nicht zu jeder Zeit. Mit granular einstellbaren Zugriffsrechten können Firmen individuell angepasste Rollen erstellen, damit die produktive Wartung von IT-Systemen nicht zu sicherheitstechnisch problematischen Verwerfungen führt.

Noch ist es allerdings die Regel, dass IT-Mitarbeiter und Wartungstechniker gemeinsame Benutzernamen einsetzen, um Lizenzgebühren einzusparen. Wenn alle volle Zugriffsmöglichkeiten unter dem gleichen Benutzerprofil haben, lässt sich nicht nachvollziehen, welche Person zu welchem Zeitpunkt für welche Konfigurationsänderungen verantwortlich ist. Und auch Ex-Mitarbeiter haben unter diesen Vorzeichen weiterhin Zugriff auf IT-Systeme – mit allen negativen Folgeschäden.

Compliance- und Best-Practice-Vorgaben

Best-Practice-Vorgaben sehen zudem vor, dass sich Support-Techniker grundsätzlich per Zwei-Faktor-Authentifizierung beim Remote-Access-Tool anmelden. So lassen sich Hacker wirksam ausschließen und wichtige Compliance-Regularien einhalten, beispielsweise der Payment Card Industry Data Security Standard (PCI DSS). Und selbstverständlich sollten alle Vorgänge protokolliert werden, um die eigenen IT-Systeme und Arbeitsabläufe anhand von Sicherheitskriterien analysieren und gegebenenfalls korrigieren zu können.

Häufig werden Einbruchsversuche und Hacking-Attacken erst später erkannt. Letztendlich muss der Einsatz von Remote-Access-Techniken durch Drittanbieter also sicher, kontrollierbar und auditierbar sein. Für IT-Verantwortliche bleibt es eine zentrale Managementaufgabe, wie Remote-Access-Dienste von Drittanbietern im Rahmen der allgemeinen Unternehmensstrategie bereitgestellt werden sollen.

* Stuart Facey ist Vice President EMEA bei Bomgar.

(ID:42962419)