Bedrohung

Bedrohung – Schwachstelle - Gefährdung - Risiko

Beschreibung

Bedrohung

Beeinträchtigung des angestrebten Zustandes der Informationssicherheit

• ungesteuerte oder ungeplante
• gesteuerte oder geplante Aktion
• eines Subjektes oder Objektes,

außerhalb der zweckbestimmten Nutzung

Klassifizierung von Bedrohungen

• Eintrittswahrscheinlichkeit
• Ort der Entstehung
• Aktionsebenen
• allgemein oder speziell

Bedrohungen in der Praxis

Beispiele

• Irrtum
• Nachlässigkeit
• Bequemlichkeit
• Malware
• Internetdienste (WWW, E-Mail,…)‏
• Hacking und Cracking
• Wirtschaftsspionage
• Diebstahl von IT-Einrichtungen
• ...

Irrtum und Nachlässigkeit

• Die meisten Datenverluste entstehen durch Irrtum oder Nachlässigkeit
• Ergebnisse einer Befragung von 300 Windows Netz- und Systemadministratoren
• 70% schätzen die Gefahr durch unbeabsichtigtes Löschen von wichtigen Daten höher ein als durch Virenbefall
  • 90% davon erklären dies durch einfache Anwenderfehler

Risikofaktor Mensch

• Nicht nur Technik kann die Sicherheit einschränken
• Menschliches Verhalten tritt als zusätzlicher Risikofaktor auf

Ein vermeintlich sicheres VPNs kann dazu führen

• dass sich die Benutzer in falscher Sicherheit wiegen
• auch sensitive Informationen übertragen
• die sie sonst lediglich sicheren Netzen anvertrauen würden
• Aufmerksamkeit potenzieller Angreifer konzentriert nach der Implementierung eine VPN wieder verstärkt auf die Firmennetzen selbst
• Da der Übertragungskanal hohe oder unmögliche Hürden stellt

KES-Studie - Bedeutung der Gefahrenbereiche

IT-Sicherheit ist notwendig...Schadensbilanz

Anzahl der Sicherheitsvorfälle steigt

• 75 % aller Unternehmen
• im letzten Jahr Vorfälle
• mit geschäftsschädigenden Auswirkungen

Schadenshöhe eines Einzelschadens

• Maximum: hohe zweistellige Mio-Beträge
• Durchschnitt: 5-6-stellige Beträge

Art der Schäden

• größtes Einzelproblem: Schadsoftware
• überwiegend Grundwert Verfügbarkeit
• Zunehmend gezielte Angriffe

Rangfolge der Ursachen

• Mensch
• Technik
• Umwelt

Bedrohungen zufälliger Art

• Stromausfall
• Benutzerfehler
• Administrationsfehler
• Planungsfehler
• Systemfehler
• Software
• Hardware
• Übertragungsfehler

Gezielte Bedrohungen

• „Hacker“
• Die Kreativen
• „Script Kiddies“
• kriminelle Einzeltäter
• Elektr. Bankraub
• Insider
• Kriminelle Organisationen
• Behörden

Gefährdungen - Gliederung

Elementare Gefährdungen

• Naturkatastrophen
• Abhören
• ...

Höhere Gewalt

• Feuer
• Wasser
• Blitzschlag
• Krankheit
• ...

Organisatorische Mängel

• Fehlende oder unklare Regelungen
• fehlende Konzepte
• ...

Menschliche Fehlhandlungen

• "Die größte Sicherheitslücke sitzt oft vor der Tastatur"
• Irrtum
• Fahrlässigkeit
• ...

Bedrohungen

Abhören übertragener Daten

• Nachrichten
• unverändert noch einmal senden
• verändern und absenden

Maskerade

• Vorspiegeln einer fremden Identität
• Versenden von Nachrichten mit falscher Quelladresse

Unerlaubter Zugriff auf Systeme

• Zugangsrechte erweitern

Bewusst kritische Systemressourcen überbeanspruchen

• Überlastsituation herbeiführen
• Denial of Service
• „Abschießen“ von Protokollinstanzen
• durch illegale Pakete

Code mit speziellen Eigenschaften

• Viren
• Modifizieren Funktion eines „Wirtsprogramms“
• Würmer
• Verwenden eine Sicherheitslücke und ein Transportmittel, um sich fortzupflanzen
• Trojanische Pferde
• Fremder Code wird eingeschleust und von unbedarften Benutzern oder Programmen ausgeführt
• Speicher, CPU, Kommunikationskanäle, Datenstrukturen, ...

Angriffstechniken und Gegenmaßnahmen

Angriffstechniken

Anzapfen

• Leitungen oder Funkstrecken

Zwischenschalten

• Man-in-the-middle-Angriff

Wiedereinspielen abgefangener Nachrichten

• Replay-Angriff
• z. B. von Log-in-Nachrichten zwecks unerlaubtem Zugriff

Gezieltes Verändern von Bit oder Bitfolgen

• Ohne die Nachricht selbst entschlüsseln zu können

Brechen kryptografischer Algorithmen

Gegenmaßnahmen

• Nur bewährte, als sicher geltende Algorithmen verwenden
• Ausreichende Schlüssellänge
• Möglichkeiten zum Auswechseln von Algorithmen vorsehen

Immer die gleichen Fragen

Welche Formen von Missbrauch wären möglich?

• wenn vertrauliche Informationen in die Hände Dritter gelangten?

Welche Konsequenzen hätte es?

• wenn wichtige Informationen verändert würden?
• z. B. während einer Datenübertragung oder auf ihrem Server
• Als Ursache kann nicht nur böse Absicht unbekannter Dritter, sondern auch technisches Versagen in Frage kommen.

Was würde geschehen?

• wenn wichtige Computer oder andere IT-Komponenten plötzlich ausfallen
• und einen längeren Zeitraum (Tage, Wochen, ...) nicht mehr nutzbar sind
• Könnte die Arbeit fortgesetzt werden?
• Wie hoch wäre der mögliche Schaden?

Bedrohungen

Verbrannter Laptop

Verschiedene Szenarien eines Angriffs lassen sich in der IT-Sicherheit vorstellen.

• Eine Manipulation der Daten einer Website über eine sogenannte SQL-Injection ist ein Beispiel.
• Nachfolgend werden einige Angriffe, Ziele sowie Ursachen beschrieben:

Angriffe und Schutz

Unter einem Angriff auf den Datenschutz oder Datensicherheit (repräsentiert durch etwa ein Computersystem) versteht man jeden Vorgang, dessen Folge oder Ziel ein Verlust des Datenschutzes oder der Datensicherheit ist.

• Auch technisches Versagen wird in diesem Sinne als Angriff gewertet.

Statistische Sicherheit: Ein System wird dann als sicher bezeichnet, wenn für den Angreifer der Aufwand für das Eindringen in das System höher ist als der daraus resultierende Nutzen.

• Deshalb ist es wichtig, die Hürden für einen erfolgreichen Einbruch möglichst hoch zu setzen und damit das Risiko zu reduzieren.

Absolute Sicherheit: Ein System ist dann absolut sicher, wenn es jedem denkbaren Angriff widerstehen kann.

• Die absolute Sicherheit kann nur unter besonderen Bedingungen erreicht werden, die die Arbeitsfähigkeit des Systems oft erheblich einschränken (isolierte Systeme, wenige und hochqualifizierte Zugriffsberechtigte).

Der Mangel an Computersicherheit ist eine vielschichtige Bedrohung, die nur durch eine anspruchsvolle Abwehr beantwortet werden kann.

• Der Kauf und die Installation einer Software ist kein Ersatz für eine umsichtige Analyse der Risiken, möglicher Verluste, der Abwehr und von Sicherheitsbestimmungen.

Ist einmal die Sicherheit eines Systems verletzt worden, muss es als kompromittiert betrachtet werden, was Maßnahmen zur Verhinderung weiterer Schäden und ggf. zur Datenrettung erfordert.

Effekte oder Ziele

• Technischer Systemausfall
• Systemmissbrauch z. B. durch illegitime Ressourcennutzung, Veränderung von publizierten Inhalten wie Vandalismus etc.
• Sabotage
• Spionage
• Betrug und Diebstahl

Ursachen oder Mittel

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) klassifiziert die unterschiedlichen Angriffsmethoden und -mittel in:

• Schadsoftware bzw. Malware, zu denen unter anderem Computerviren, Trojaner und Würmer gehören,
• Ransomware, eine besondere Form von Schadsoftware, die den Zugriff auf Daten und Systeme einschränkt und dessen Ressourcen erst gegen Zahlung eines Lösegelds wieder freigibt,
• Social Engineering,
• Advanced Persistent Threats (APT), bei denen der Angreifer sein Ziel sorgfältig aussucht,
• Unerwünscht zugesandte E-Mails (Spam), der wiederum in klassischen Spam, Schadprogramm-Spam und Phishing unterteilt werden,
• Botnetze,
• Distributed-Denial-of-Service-(DDoS)-Angriffe,
• Drive-by-Exploits und Exploit-Kits, die Schwachstellen in Browser, Browser-Plug-ins oder Betriebssystemen ausnutzen,
• Identitätsdiebstahl, wie zum Beispiel Spoofing, Phishing, Pharming oder Vishing,
• Seitenkanalangriffe – also solche Angriffe, die Nebeneffekte (Laufzeitverhalten, Energieverbrauch) beobachten und so Rückschlüsse auf die Daten ziehen; dies findet insbesondere bei Schlüsselmaterial Anwendung.

Daneben können die oben genannten Effekte auch durch

• physischen Einbruch zum Stehlen sensibler Daten wie Schlüssel oder zum Platzieren von Malware,
• höhere Gewalt, zum Beispiel in Form von Blitzschlag, Feuer, Vulkanausbruch oder Überschwemmung oder
• Fehlbedienung durch Personal oder zugangsberechtigte Personen verursacht werden.

Viren, Würmer, trojanische Pferde

Während im Firmenumfeld die ganze Themenbreite der Computersicherheit Beachtung findet, verbinden viele Privatanwender mit diesem Begriff primär den Schutz vor Viren, Würmern, Spyware und Trojanern (trojanische Pferde).

Die ersten Computerviren waren noch recht harmlos und dienten lediglich dem Aufzeigen diverser Schwachstellen von Computersystemen.

• Doch recht bald erkannte man, dass Viren zu weitaus mehr in der Lage sind.
• Es begann eine rasante Weiterentwicklung der Schädlinge und der Ausbau ihrer Fähigkeiten – vom simplen Löschen von Dateien über das Ausspionieren von Daten (zum Beispiel von Passwörtern) bis hin zum Öffnen des Rechners für entfernte Benutzer (Backdoor).

Mittlerweile existieren diverse Baukästen im Internet, die neben einer Anleitung auch alle notwendigen Bestandteile für das einfache Programmieren von Viren liefern.

• Nicht zuletzt schleusen kriminelle Organisationen Viren auf PCs ein, um diese für ihre Zwecke (UBE/UCE, DoS-Angriffe etc.) zu nutzen.
• So entstanden bereits riesige Bot-Netze, die auch illegal vermietet werden.

Anhang

Siehe auch

• Bedrohung
• Bedrohungen
• Bedrohungsanalyse
• Bedrohungsbaum
• Bedrohungsmatrix

TMP

Bedrohungen

Bedrohungen der Informationssicherheit Bedrohungen gibt es in vielen verschiedenen Formen

Einige der häufigsten Bedrohungen sind heute Softwareangriffe, Diebstahl von geistigem Eigentum, Identitätsdiebstahl, Diebstahl von Geräten oder Informationen, Sabotage und Informationserpressung.

Viren, Würmer, Phishing-Angriffe und Trojanische Pferde sind einige gängige Beispiele für Software-Angriffe.

• Auch die Diebstahl geistigen Eigentums ist für viele Unternehmen im Bereich der Informationstechnologie (IT) ein großes Problem.

Unter Identitätsdiebstahl versteht man den Versuch, sich als eine andere Person auszugeben, um an deren persönliche Daten zu gelangen oder deren Zugang zu wichtigen Informationen durch Social Engineering auszunutzen.

Der Diebstahl von Geräten oder Informationen wird heutzutage immer häufiger, da die meisten Geräte heutzutage mobil sind, Sie sind anfällig für Diebstahl und mit zunehmender Datenkapazität auch sehr viel begehrter geworden.

Sabotage besteht in der Regel in der Zerstörung der Website eines Unternehmens, um das Vertrauen der Kunden zu erschüttern.

Bei der Informationserpressung wird versucht, das Eigentum oder die Informationen eines Unternehmens zu stehlen, um im Gegenzug eine Zahlung für die Rückgabe der Informationen oder des Eigentums an den Eigentümer zu erhalten, wie bei Ransomware.

Es gibt viele Möglichkeiten, sich vor einigen dieser Angriffe zu schützen, aber eine der funktionellsten Vorsichtsmaßnahmen ist die regelmäßige Sensibilisierung der Benutzer.

Die größte Bedrohung für jede Organisation sind die Benutzer oder internen Mitarbeiter, die auch als Insider-Bedrohungen bezeichnet werden.

Regierungen, Militär, Unternehmene, Finanzinstitute, Krankenhäuser, gemeinnützige Organisationen und private Unternehmen sammeln eine Vielzahl vertraulicher Informationen über ihre Mitarbeiter, Kunden, Produkte, Forschung und Finanzen. Sollten vertrauliche Informationen über Kunden, Finanzen oder eine neue Produktlinie eines Unternehmens in die Hände eines Konkurrenten oder eines Black Hat Hackers fallen, könnten ein Unternehmen und seine Kunden einen weitreichenden, nicht wieder gutzumachenden finanziellen Schaden erleiden und auch der Ruf des Unternehmens könnte Schaden nehmen. Aus geschäftlicher Sicht muss die Informationssicherheit gegen die Kosten abgewogen werden; das Gordon-Loeb-Modell bietet einen mathematisch-ökonomischen Ansatz, um dieses Problem zu lösen.

Für den Einzelnen hat die Informationssicherheit erhebliche Auswirkungen auf die Privatsphäre, die in verschiedenen Kulturen sehr unterschiedlich gehandhabt wird.

Reaktionen auf Bedrohungen

Mögliche Reaktionen auf eine Sicherheitsbedrohung oder ein Risiko sind

• reduzieren/vermindern - Schutzmaßnahmen und Gegenmaßnahmen implementieren, um Schwachstellen zu beseitigen oder Bedrohungen abzuwehren
• zuweisen/übertragen - die Kosten der Bedrohung auf eine andere Einheit oder Organisation übertragen, z.B. durch den Abschluss einer Versicherung oder Outsourcing
• Akzeptieren - abwägen, ob die Kosten der Gegenmaßnahme die möglichen Verlustkosten aufgrund der Bedrohung überwiegen