Messen wir unsere Verwundbarkeit im Bereich der Netzwerksicherheit

Durch eine Berechnung der Angriffsfläche unseres Netzwerks verfügen wir um einen Mechanismus um die Risiken des ungewollten Netzwerkzugriffs zu messen.

Eine effektive IT-Sicherheit umfasst ein gutes Identitätsmanagement, eine genaue Zugriffssteuerung und eine Protokollierung mit zugehörigen Analysen. Der kontrollierte Zugriff ist eines der Hauptziele der Netzwerksicherheit und eine der Gründe, warum viele Unternehmen auf ein striktes Sicherheitsmodell umsteigen.

Das Hacking basiert auf einem dreistufigen Prozess. Der erste Schritt besteht darin, herauszufinden, was zum Angriff zur Verfügung steht. Im zweiten Schritt müssen die ausgewählten Ziele genauer identifiziert werden. Im letzte Schritt werden die finalen Angriffsziele ausgewählt.

Durch eine Reduzierung der Netzwerkangriffsfläche erhöhen die Unternehmen die Abwehrwälle erheblich und tragen dazu bei, dass die Hacker bei der Infiltration der Netze mit zusätzlichen Schwierigkeiten rechnen müssen.

Unter der Angriffsfläche der Netzwerke versteht man die Gesamtheit aller Netzkomponenten und -dienste, die einen Zugriff auf einen Endpunkt oder eine Anwendung im Netzwerk bereitstellen. Je niedriger dieser Wert ausfällt, desto sicherer der Endpunkt oder die Anwendung im Netzwerk.

Die Variablen zur Berechnung der Netzwerkangriffsfläche lauten:

• Anzahl der Geräte: Anzahl der Geräte, die einen Netzwerkzugriff auf das betreffende Gerät oder die Anwendung haben. Im LAN sind dies alle Geräte innerhalb der Broadcast-Domäne eines VLANs. Im WAN ist dies ein Gerät mit einer IP-Adresse, die an das Gerät oder die Anwendung weitergeleitet werden kann.
• Anzahl der Dienste: Anzahl der Ports, die auf dem Gerät für die Kommunikation geöffnet sind. Übliche sind HTTP (Port 80), HTTPS (Port 443), SSH (Port 22) usw..
• Direktionalität: Wer kann eine TCP- oder UDP-Sitzung initiieren (1 = ja, 10 = nein)
• Anwendungsverschlüsselung: Eine TLS 1.2-Sitzung (Version 1.3 wird bald Verfügbar sein), die das Zertifikat für eine Sitzung validiert und 256-Bit-AES-Verschlüsselung und eine SHA-256-Authentifizierung bereitstellt (1 = ja, 10 = nein)

Ein Beispiel ist eine IoT-Überwachungskamera, die über ein eigenes VLAN kommuniziert. Eine private IP-Adresse öffnet eine HTTPS-Verbindung (nur in eine Richtung) zu einem Server über eine Firewall. Die eingerichteten Routingregeln erlauben es der Kamera nicht, mit anderem Komponenten im Netz – sondern nur mit dem eingetragenen Server - zu kommunizieren. Die Punktzahl berechnet sich für das Beispiel wie folgt: 1 Gerät x 1 Port x 1 Richtung x 1 Ja für TLS = 1.

Ein schlechtes (und nicht unübliches) Beispiel für eine geringe Netzwerksicherheit bietet eine von mir installierte Heimkamera. Mit dieser Kamera kann ich überwachen, wer vor meiner Haustür steht und wer in mein Haus ein- und ausgeht. Von meinem Heimrouter/Firewall können entsprechende Verbindungen nur aus dem internen Netz ins Internet aufgebaut werden. Wir verfügen über %0 Geräte (je nachdem, wer zu Hause ist) in unserem Heimnetzwerk. Damit weist meine Heimkamera eine Angriffsfläche auf die Sicherheit von 200.000 auf: 50 Geräte im Heimnetzwerk x 40 bekannte offene Anschlüsse an meiner Kamera x10 (keine Direktionalität meiner Kamera zum Aufbau von Verbindungen, nur auf unserem Heimrouter) x 10 (keine Verschlüsselung beim genutzten Kameramodell, da die Herstellung davon ausgeht, dass es in einem privaten Netzwerk verwendet wird und die Hardware-/CPU-Kosten durch ein Hinzufügen von Verschlüsselung steigen würde)

Sollte ein Geräte in meinem Heimnetzwerk eines Tages mit Malware infiziert werden, ist diese Malware jederzeit in der Lage meine Heimkamera zu infizieren. Nichts hält meine Heimkamera davon ab, eine Verbindung zu einem Server in China (oder jeden anderen Ort in der Welt) herzustellen. Mein gesamtes Heimnetzwerk wäre dadurch kompromittiert, und Hacker können meine Kamera für verteilte Denial-of-Service-Angriffe nutzen. Mein Heimrouter bzw. meine Firewall verfügt nicht über die notwendige Intelligenz, um eine entsprechende Warnung an mich (den Administrator) zu schicken und mich davor zu warnen, wenn verdächtige Ereignisse in meinem Heimnetzwerk auftreten.

Darüber hinaus gilt es zu bedenken, dass Unternehmen, die viel größer und komplexer als Heimnetzwerke sind, über ein exponentiell höheres Sicherheitsrisiko verfügen. Die aktuelle Netzwerkarchitektur, welche auf einem simplen Edge-Bereich, einer komplexen Verteilschicht und eines schnellen Kerns basiert, bei denen das Routing und die Sicherheit auf der Verteilebene abgearbeitet wird, erfüllt nicht die Anforderungen eines strikten Zugriffs auf die Netzwerke.

Fazit

Die Netzwerksicherheit in den Unternehmen muss sich in allen Bereichen ändern, damit die Angriffsflächen drastisch reduziert werden.  Das Sprichwort: "Wenn man es nicht messen kann, dann kann man es auch nicht managen!“ gilt auch bei der Netzsicherheit. Die Berechnung der Angriffsfläche auf die Netzwerke bietet eine Möglichkeit, die Sicherheitsrisiken beim Zugriff auf die Netzwerke zu messen.

mat

Druckversion Messen wir unsere Verwundbarkeit im Bereich der Netzwerksicherheit