Man muss nicht gleich das Bild des Armageddon bemühen, um die Dimensionen der aktuellen Cyberattacken zu illustrieren. Dennoch häufen sich seit Anfang dieses Jahres die Schlagzeilen zu Attacken, die für die Angreifer erfolgreich verlaufen. In einem sind sich die Experten aus den unterschiedlichen Lagern einig: was wir bis jetzt gesehen haben, ist nicht mehr als die Spitze des Eisbergs an noch bevorstehenden Attacken.
Hinter den Schlagzeilen steckt besonders ausgefeilte Malware. Was ist der Grund dafür, dass sie es sowohl an die Spitze der Prioritätenliste der wichtigsten Bedrohungen als auch in die Schlagzeilen geschafft hat? Diese Art Malware agiert ausgesprochen klug und wenn sie am Zielort angekommen ist lässt sie sich kaum noch beherrschen. Immer häufiger ist sie zusätzlich verschlüsselt.
Das eigentliche Problem
In praktisch jedem Unternehmen gibt es zwei Arten von Datenverkehr: denjenigen, der überprüft wird und dazu den nicht gescannten. Für den Datenverkehr der nicht auf Sicherheitsrisiken geprüft wird gibt es mehrere Gründe: die Performanz des Netzwerks, Skalierbarkeit und Kosten.
In einer von den NSS Labs veröffentlichten Studie hat man beispielsweise herausgefunden, dass Firmen, die auch den SSL-verschlüsselten Datenverkehr inspizieren durchschnittlich 74% an Performanz einbüßen, wenn mit 512 beziehungsweise 1024 Bit verschlüsselt wird; wird mit dem derzeitigen Industriestandard, also mit 2048 Bit verschlüsselt, liegen die Leistungseinbußen sogar bei bis zu 81%. Bei der Performance für den Proxy sieht es noch schlimmer aus.
Die meisten Unternehmen stehen dementsprechend vor der Entscheidung, solche Leistungseinbußen in Kauf zu nehmen oder in Technologien zu investieren, um auch den verschlüsselten Datenverkehr unter die Lupe zu nehmen. Oder sie entscheiden sich auf einem Auge blind zu sein - in diesem Fall in Bezug auf den HTTPS-Traffic. Letzteres hat sich in der Vergangenheit als praktikable Strategie erwiesen. Angesichts der heutigen Gefahrenlage mutet sie eher tollkühn an.
Noch einiges zu tun bei SSL
Derzeit sind etwa 25% des gesamten über das Internet abgewickelten Datenverkehrs auch SSL-verschlüsselt. Und es sieht so aus als würde dieser Traffic nur zu einem geringen Teil im Hinblick auf darin verborgene Schadsoftware gescannt. Sei es, weil die eingesetzten Sicherheitstools dafür nicht geeignet sind, oder weil die erforderliche Bandbreite nicht zur Verfügung steht.
Die dadurch für Unternehmen entstehende Gefahr lässt sich durch ein Bild illustrieren. Von vier Personen, die an die virtuelle Unternehmenstür klopfen, werden drei gründlich gefilzt. Aber einem Besucher unter ihnen gelingt es ungehindert ins Innere zu gelangen. Die Statistiken sprechen dazu eine deutliche Sprache, denn ein Viertel des gesamten Datenverkehrs hat das Potenzial Malware direkt und ohne große Umstände ins Zentrum des Unternehmens zu befördern. Und Prognosen gehen davon aus, dass diese Zahlen Jahr um Jahr 20% ansteigen. Entwickler von Malware und Schadcode setzten zunehmend auf den verschlüsselten und ungescannten Datenverkehr, um ihre Schädlinge in Unternehmen einzuschleusen.
16% des von Zscaler geblockten Malware-Traffics verbirgt sich in SSL-verschlüsseltem Datenverkehr. Man könnte jetzt fälschlicherweise davon ausgehen, dass sich hierbei um eher harmlose Varianten von Schadcode handelt. Leider ist genau das Gegenteil der Fall: ZeroAccess-Attacken, Bitcoin-Mining- und Kazy-Trojaner waren ebenso unter den aufgespürten Schädlingen, wie Black Holes, aktuelle Ransomware und Backdoors. Und alle wurden durch SSL-Traffic transportiert.
Auch einen weiteren Aspekt sollte man nicht unberücksichtigt lassen und das sind Sandboxing-Umgebungen. Sandboxing gestattet es binären Code zu transportieren, um zu untersuchen, ob sich der Code normal verhält oder gegen Regeln verstößt, die ihn als potenziell bösartig identifizieren könnten. Die Zscaler-Statistiken für April, die aus solch einer isolierten Umgebung stammen, haben folgendes ergeben:
46% der blockierten Malware war HTTP-basiert
31% war HTTPS-basiert
und erstaunliche 23% waren eine Mixtur aus beiden.
In Summe haben 54% des Malware-Traffics in diesem Beispiel SSL-verschlüsselten Datenverkehr benutzt um sogenannte Advanced Persistent Threats an ihr Ziel zu bringen.
- Verschlüsselung bei den mobilen Plattformen
Windows Phone 8 kann zwar mittels Bitlocker den Telefonspeicher aber nicht die SD-Cards verschlüsseln. Diese Verschlüsselung kann zudem nur durch einen Administrator mittels ActiveSync-Richtlinie aktiviert werden. - Verschlüsselung ab Android 3.0 möglich
Wie hier unter Android 4.4.2 können zwar die Daten auf dem Tablet verschlüsselt werden – wird die Verschlüsselung aufgehoben, führt das aber zu Datenverlust. - Sophos Secure Workspace
Daten verschlüsselt auf diversen Cloud-Speichern oder auch lokal auf der SD-Karte ablegen: Die Lösung Sophos Secure Workspace (früher Sophos Mobile Encryption) stellt die verschiedenen Möglichkeiten übersichtlich bereit (hier ist auch eine Verbindung zu Microsofts OneDrive eingerichtet). - Verschlüsselt in die Wolke
Wurde Sophos Secure Workspace auf dem Gerät installiert, steht dem Nutzer die Möglichkeit offen, beispielsweise seine Dateien bei einem Upload auf einen Cloud-Speicher zu verschlüsseln. - Privilegien erforderlich
Auch wenn die mit verschlüsselte Datei noch die normale Dateiendung besitzt: Verwenden und auf die Daten darin zugreifen kann nur ein Nutzer, der den entsprechenden Schlüssel besitzt und das Kennwort eingibt. - Boxcryptor
Es ist eher selten, dass Verschlüsselungs-Apps auch für die Windows Phone-Geräte zur Verfügung stehen: Die Lösung "Boxcryptor" ist eine angenehme Ausnahme, die auch unter Windows Phone 8.1 problemlos funktioniert. - Zugriff auf unterschiedliche Cloud-Anbieter
Die meisten Nutzer werden "ihren Cloud-Speicher sicher in der Auflistung der Boxcryptor-App wiederfinden. - Ab in die Cloud
Der Nutzer kann mit Hilfe von Boxcryptor schnell und einfach die Dateien sowohl verschlüsselt als auch offen übertragen. - Sichere WhatsApp-Alternative
Mit der freien App "Signal" können Android-Nutzer sehr sicher verschlüsselte Textnachrichten versenden und empfangen. Mittels eines Passworts werden dazu die lokalen Daten und Nachrichten verschlüsselt. - Verschlüsselt texten
Auch die bereits auf dem Mobil-Gerät vorhandenen SMS-Nachrichten kann Signal (das früher TextSecure hieß) importieren und somit sicher abspeichern. - Verifikation der Nutzer untereinander
Sie können mit Hilfe eines Public Keys sicherstellen, dass die Nachricht tatsächlich vom entsprechenden Anwender stammt. - USB-Sticks sicher verschlüsseln
Die Open-Source-Lösung "SecurStick" verwendet ein zunächst etwas ungewöhnliches Konzept, lässt sich aber ideal auch über Plattformgrenzen hinweg einsetzen. - SecurStick im Einsatz
Nach Eingabe des Passworts werden die Daten aus dem verschlüsselten Bereich mittels WebDAV auf einer montierten Dateifreigabe zur Verfügung gestellt. - Ganze Platte verschlüsseln
Betriebssystempartition verschlüsseln oder auch nur einen USB-Stick sichern? Der freie "DiskCryptor" stellt all diese Möglichkeiten übersichtlich zur Verfügung. - Algorithmische Vielfalt
Besonders beeindruckend bei DiskCryptor: Es werden eine ganze Reihe unterschiedlicher Verschlüsselungsalgorithmen unterstützt. - Die eingebaute Verschlüsselung
Die modernen Microsoft-Betriebssysteme wie Windows 7 und Windows 8 stellen mit der Software Bitlocker bereits in vielen Versionen eine Verschlüsselung bereit, die in der "To Go"-Variante auch für USB-Sticks einzusetzen ist.
Komplexe Bedrohungen und wie sie funktionieren
Ganz offensichtlich ist das, was durch die Vordertüre kommt, nur die eine Seite des Problems. Was an der Oberfläche wie ein gutartiges Programm aussieht, kann sich an geeigneter Stelle im Netzwerk schnell als Büchse der Pandora erweisen. Ein Beispiel dafür deckte Zscaler kürzlich bei einem Fortune 500-Unternehmen mit einer Attacke auf, die unter dem Namen "Dr. Watson" bekannt geworden ist. Ursprünglich handelte es sich um ein HTTP-basiertes Programm, das aus einer vertrauenswürdigen Quelle, in diesem Falle Dropbox, zu stammen schien, und dem der Zutritt ins Netzwerk gewährt wurde. Einmal sicher dort angekommen, begann der Trojaner sofort damit weitere Malware-Bestandteile aus DropBox herunterzuladen. Dabei benutzte er SSL-Verschlüsselung um seine illegalen Aktivitäten wirksam zu verschleiern.
Zeit, hinter die Fassade zu schauen
Will man komplexe Attacken wie APTs wirksam abwehren, sind es im wesentlichen drei Schritte, die Unternehmen berücksichtigen sollten: schützen, aufdecken, beseitigen. Wir konzentrieren uns auf Maßnahmen gegen Attacken, die sich primär über SSL-verschlüsselten Datenverkehr Zugang zum Netzwerk verschaffen.
Es gilt 5 Punkte zu berücksichtigen:
Auch wenn sich diese Erkenntnis noch nicht flächendeckend durchgesetzt hat, in Sachen Malware über SSL wird es Zeit den Kopf aus dem Sand zu nehmen. Es handelt sich um real existierende Bedrohungen. Hat man das ein Mal akzeptiert, kann man damit beginnen wirksame Gegenmaßnahmen zu planen anstatt noch länger zu ignorieren, welche Fracht sich über den verschlüsselten Datenstrom gleich mit ins Netzwerk geholt werden kann.
Pläne sind das eine, Budgets das andere. Unternehmen sollten davon ausgehen, dass sie in der einen oder anderen Weise in die Netzwerkinfrastruktur investieren müssen. Wenn sie nicht eklatante Kompromisse bei der Performanz eingehen wollen, ist das der einzige Weg auch den SSL-verschlüsselten Datenverkehr im Hinblick auf Malware zu überprüfen.
Respektvoller Umgang mit der Privatsphäre und dem Datenschutz der Mitarbeiter durch aktive Kommunikation. Beides sind keine unumstrittenen Themen. Wenn Unternehmen ihren Mitarbeitern bis zu einem gewissen Grad gestatten die Unternehmensinfrastruktur auch für private Zwecke zu nutzen - und es wäre veraltet dies nicht zu tun - dann heißt das zugleich auch die Privatsphäre bis zu einem gewissen Grad zu respektieren. Das heißt aber nicht, dass dies zu Lasten der Sicherheit gehen darf. Aktive Information der Mitarbeiter tut Not über die Bedeutung, wirklich den gesamten Datenverkehr zu überwachen und worin die Vorteile für beide Parteien liegen: für das Unternehmen als Ganzes und für die persönlichen Belange des Einzelnen. Ist ein System einmal kompromittiert gilt das potenziell genauso für das des Mitarbeiters.
Ist der Dialog darüber erst ein Mal eröffnet, wird es eine Reihe von Webseiten geben, die als vertraulich eingestuft werden können, beispielsweise solche zum Onlinebanking. Man kann also eine Whitelist anlegen für den Teil des SSL-Traffic, der, als aus einer vertrauenswürdigen Quelle stammend, passieren darf. Solche Listen haben zwei Vorteile. Unternehmen respektieren somit die private Kommunikation der Mitarbeiter einerseits, andererseits senken sie das Volumen des Datenverkehrs, der zu überprüfen ist. Das muss nicht notwendigerweise in einen aufwendigen Prozess münden. Es gibt mittlerweile Technologien, die solche Prozesse automatisieren.
Und noch ein letzter Tipp: auch diese einmal eingerichteten Whitelists müssen regelmäßig überprüft werden, um sicher zu gehen, dass es sich immer noch um vertrauenswürdige Quellen handelt.
SSL dient nur dazu Datenverkehr zu verschlüsseln. SSL kann nicht garantieren, dass es sich um "sauberen" Datenverkehr handelt. Ist die Datenquelle entweder bösartig oder kompromittiert, haben Unternehmen definitiv ein Problem. SSL-verschlüsselten Datenverkehr zu untersuchen ist kompliziert, aber nicht unmöglich. Die Frage ist schlussendlich, ob man nur die Türen verriegelt oder nicht vielleicht besser auch alle offenen Fenster schließt. Eine Cloud-basierte Sicherheitslösung kann dabei helfen, den Datenverkehr ohne Performanz-Einbußen zu scannen und zeitgleich granulare Sicherheitsregeln zu erlauben. (rw)
- Intellicomp IndependenceKey
Der IndependenceKey verschlüsselt Daten für Mail, Skype, Dropbox oder andere Cloud-Speicher. - LaCie Wuala
Cloud-Speicherdienste wie Wuala bieten eine integrierte Verschlüsselung an. Alle Daten, die in bestimmte Nutzerverzeichnisse abgelegt werden, werden automatisch verschlüsselt, bevor sie in die Cloud übertragen werden. - Kaspersky Mobile Security
Mobile Sicherheitssoftware wie Kaspersky Mobile Security hat neben dem Virenschutz auch Verschlüsselungsfunktionen an Bord. - DataLocker EncryptDisc
Bei DataLocker EncryptDisc handelt es sich um optische Speichermedien, die die Verschlüsselungslösung bereits in sich tragen. - NCP Secure Entry Client
Damit VPN-Verbindungen bei Bedarf eines verschlüsselten Netzwerkzugriffs möglichst allen Nutzern zur Verfügung stehen, sollten VPN-Clients gewählt werden, die zum Beispiel auch für Apple-Systeme bereit stehen, wie der NCP Secure Entry Client. - PhoneCrypt
Bei mobilen Endgeräten sollten nicht nur die gespeicherten Daten, sondern auch die vertraulichen Telefonate verschlüsselt werden, zum Beispiel mit PhoneCrypt. - Secusmart SecuVoice Q10
SecuVoice verschlüsselt mobile Telefonate und bildet einen Teil der SecuSuite, die zusätzlich unter anderem SMS und E-Mails verschlüsselt. - Sophos SafeGuard Enterprise
Eine Lösung wie Sophos SafeGuard Enterprise unterstützt die Verschlüsselung von Datenträgern genauso wie von Daten, die in eine Cloud übertragen werden sollen. - Mozilla Thunderbird S/MIME
E-Mail-Clients wie Mozilla Thunderbird ermöglichen eine E-Mail-Verschlüsselung nach S/MIME, doch nur wenige Nutzer machen davon Gebrauch, da vielen die Zertifikatsverwaltung zu aufwändig erscheint. - Z1 SecureMail Gateway Appliance Platform
Appliances mit dem Z1 SecureMail Gateway unterstützen die Verschlüsselung von E-Mail auf mehreren Wegen und erleichtern so die Anbindung von Partnern, die keine Public Key Infrastructure (PKI) betreiben.