Endgeräte-Sicherheit für Unternehmen
Schutz gegen Insider-Angriffe und Cloud-Risiken
| Autor / Redakteur: Stefan Mutschler / Peter Schmitz
Der Endpoint spielt bei Angriffen von „innen“ und im Zusammenhang mit Cloud-Szenarien eine wichtige Rolle. In Sachen Insider-Bedrohungen können Tools wie Identity and Access Management (IAM) und Data Leakage/Loss Prevention (DLP) wertvolle Dienste leisten. Und moderner Endgeräteschutz ist ohne tatkräftige Unterstützung aus der Cloud und virtuelle Instanzen kaum möglich.
Wenn Endpoint Security den Schutz der Außengrenzen vor Angreifern bedeutet, lassen sich böswillige Insider damit nicht fassen. Eine direkte Abwehr von Insider-Angriffen ist am Endpoint somit schon per Definition nicht möglich. Allerdings besitzen Insider bekannte Identitäten, deren Verhalten sehr wohl auch auf Endpunkten nachzuverfolgen ist. Genau das ist ein wichtiger Hebel, an dem Verteidigungs-Tools gegen Insider-Angriffe ansetzen können. Damit das funktioniert, braucht es ein möglichst granulares Rechtemanagement für digitale Identitäten. Es definiert für jede Identität und die damit verbundene Rolle im Unternehmen die Größe der „Spielfläche“ ebenso wie die „Spielregeln“, also im Wesentlichen: wer darf womit wann wie was.
Moderne IAM-Lösungen gehen heute aber noch einen Schritt weiter: Sie „beobachten“ jede Identität und „lernen“ so das für sie typische Verhalten. Will sich ein User nun beispielsweise zu einer ungewöhnlichen Uhrzeit an seinem Rechner am Arbeitsplatz anmelden, könnte das IAM etwa eine zusätzliche Identifikation anfordern oder/und eine Nachricht an den Administrator schicken. Auch ein Blockieren der Aktion könnte vom Unternehmen gewünscht sein. Das gilt insbesondere, wenn der User plötzlich Dateien aufrufen will, die er sonst nie bearbeitet.
Datenabfluss verhindern
DLP-Lösungen haben ihren Fokus auf den Daten. Grundfunktion ist die Protokollierung aller Dateinamen, die in Verbindung mit mobilen Datenträgern ausgetauscht werden. Je nach Ausgestaltung einer DLP-Lösung gehen die Kontrollmöglichkeiten für Aktionen mit Daten mehr oder weniger ins Detail. Unternehmen müssen besonders sensible Daten genau überwachen, ein Autohersteller beispielsweise die Konstruktionspläne für das neue Fahrzeug. Verschärft durch die neue Datenschutzgrundverordnung (DSGVO) der Europäischen Union, die seit 25. Mai dieses Jahres in Kraft ist, gilt es nun auch den Abfluss personenbezogener Daten noch stärker als bisher zu verhindern – es drohen empfindliche Strafen. Für den Diebstahlschutz von unternehmenskritischen und personenbezogenen Daten bieten sich stärkere DLP-Lösungen an, die jede Bewegung und Änderung von Daten exakt festhalten und gegebenenfalls auch verhindern. Wichtig: DLP schlägt IAM, kann also auch Aktionen mit Daten verhindern, selbst wenn die im IAM vergebenen Rechte dies eigentlich zulassen würden.
Cloud und Endpunktschutz
In der virtuellen Welt multiplizieren sich die verschiedenen Facetten des Endpunktschutzes um ein Vielfaches. Das Zusammenspiel von virtuellen Umgebungen und Clouds mit Endpoint Security eröffnet aber eine Reihe neuer Möglichkeiten für die Verteidigung. So funktionieren beispielsweise moderne Endpoint Protection Tools mit Künstlicher Intelligenz nur dann, wenn sie für ihre äußerst aufwändigen Analysen auf die Kapazitäten aus einer Cloud zurückgreifen können, die sich dynamisch an den Rechenbedarf anpasst. Unternehmen, die sich keine eigene IT-Abteilung leisten können oder wollen, können nahezu alles, was es an IT-Services gibt, auch als Service aus der Cloud beziehen. Dazu zählen auch alle gängigen Endpoint-Protection-Funktionen wie Antimalware, DLP, Firewalls, Geräte-Kontrolle und vieles mehr. Solche Service-Angebote gewinnen im Zuge immer ausgefeilterer Angriffsformen und immer komplexerer Verteidigungsmechanismen derzeit rasch an Boden. Auch für das Management und den Schutz mobiler Endgeräte ist die Cloud heute unerlässlich.
Das Zusammenspiel zwischen virtueller Welt und Endpoints gestaltet sich jedoch auch an weniger offensichtlichen Stellen gewinnbringend. Ein Beispiel ist etwa die Verlagerung von Security-Inspektionen in einen Hypervisor. Einige Anbieter nutzen hier Technologien wie Hypervisor Introspection (HVI). Diese arbeitet direkt mit dem Raw Memory auf der Maschine und fängt auch Malware ab, die sich im Betriebssystem versteckt hat und eine mit gleichen Rechten laufende Schutz-Software gezielt mit Fehlinformationen füttert. Gerade im Zusammenhang mit aktuellen Ransomware- und APT-Angriffen (Advanced Persistant Threats) sind korrumpierte Betriebssysteme ein sehr großes Problem.
Eine andere Möglichkeit, einen Hypervisor für Security zu nutzen, ist es, dort eine Analyse-Software für komplette virtuelle Maschinen (VMs) zu betreiben. Entsprechende Lösungen funktionieren im Prinzip ähnlich wie andere Security-Software mit Verhaltensanalyse: erst lernen, was „normal“ und „gut“ ist, dann im produktiven Betrieb in Echtzeit checken, ob sich die VM „daneben benimmt“, also etwa durch Befall von Malware oder durch sonstige Manipulation vom Normalzustand abweicht. Die Entwicklungen hier stehen aber noch ziemlich am Anfang.
Dieser Text stammt aus dem Security-Insider Kompendium „Endpoint & Mobile Device Security“.
Die kontinuierlich fortschreitende Digitalisierung der deutschen Wirtschaft fordert die IT-Sicherheit zunehmend heraus. Der einzelne Endpunkt – egal ob PC, Notebook, mobiles Gerät oder IoT-Device – steht weiter im Fokus der Angriffe durch Cyberkriminelle, so lange es sich lohnt, diese Systeme anzugreifen. Eine gut funktionierende und moderne Endpoint Security ist deshalb heute mehr denn je unverzichtbar! (PDF | ET 29.06.2018)Kompendium herunterladen »
