In der Regel dreht sich die Diskussion in Bezug auf IT-Sicherheit und Cybersecurity primär um Schwachstellen im „virtuellen Raum“. Nicht gepatchte Betriebssysteme, Schwachstellen in Applikationen und Lücken in der Firewall sind typische Themen, wenn man über IT-Sicherheit spricht. Dabei handelt es sich um Aspekte, die „in Code“ verankert sind und die ohne physikalischen Zugriff für Angriffe ausgenutzt werden können. In diesem Abschnitt der Serie zur IT-Sicherheit im Unternehmen wollen wir den Blick auf den „Perimeter“ richten und so den Brückenschlag zwischen virtueller Cybersecurity und physischer Sicherheit schaffen.
„Perimeter“ bezeichnet im allgemeinen Sprachgebrauch die Abgrenzung zwischen einem „innen“ und einem „außen“. In der IT-Sicherheit gibt es zahlreiche Anwendungsbeispiele für den Begriff „Perimeter“, z. B. Netzwerkperimeter (trennt das Unternehmensnetzwerk vom Internet – siehe auch IT-Sicherheit im Unternehmen: Wie Sie als Entscheider effektiv handeln können | Teil 2: „Das Netzwerk“), Datenperimeter (begrenzen den Raum, in dem bestimmte Daten berechtigt ausgetauscht werden dürfen) oder Identitätsperimeter (begrenzt die Gültigkeit von Identitäten auf einen bestimmten Bereich) etc.
Der Fokus dieses Artikels liegt auf dem physischen Perimeter in Bezug auf IT-Sicherheit und Cybersecurity. Genauer gesagt: Wie schützt man IT-Assets wie Server, Notebooks und Switche vor physischem Zugriff durch Angreifer? Und warum ist dieser Schutz im Kontext der Cybersecurity so entscheidend?
Ein Angreifer mit physikalischem Zugriff auf ein System muss „nur noch“ Aufwand betreiben
Der wesentliche Unterschied zwischen einem Angriff in der virtuellen und einem in der physikalischen Welt sind – bei unzureichendem Schutz des Perimeters – „Lautstärke“ und „Abhängigkeit“. Ein virtueller Angriff auf ein Notebook verursacht stets „Lautstärke“ (Log-Einträge, Antivirus-Warnungen, EDR-Meldungen,…). Zudem ist der Angreifer auf bekannte Schwachstellen angewiesen. Das Entdecken und Erstellen von 0-Day-Exploits ist keineswegs Routine; dafür werden in der Regel Spezialisten oder sogar (state-sponsored) Gruppen benötigt.
Im Vergleich dazu ist ein Angriff auf ein entwendetes Notebook – isoliert vom Firmennetz – erst einmal geräuschlos. Die üblichen Warnungen kommen nicht an und die Logs auf dem Notebook werden mangels Anbindung auch nicht an zentrale Log-Instanzen oder SIEM-Tools gesendet. Der Angreifer kann „in aller Ruhe“ sämtliche ihm zur Verfügung stehenden Ressourcen nutzen, um Schwachstellen zu finden und auszunutzen. Zudem kann er an physikalischen Schwachstellen der Assets ansetzen.
Stark vereinfacht gesagt: Wenn jedes Sicherheitssystem im Wesentlichen wie ein Taster funktioniert, der bei korrekter Passworteingabe den Zugang freigibt, dann besteht natürlich die Möglichkeit, diesen Taster zu umgehen und das „Öffnungssignal“ direkt auszusenden – ohne Passwort. Zwei besonders eindrucksvolle Beispiele, die dieses Prinzip nutzen, finden Sie in den folgenden Beiträgen:
Hacking a Secure USB Flash Drive – In diesem Video wird anschaulich gezeigt, welche „weiteren“ Möglichkeiten sich einem Angreifer bieten, wenn er geklaute IT (hier USB-Stick) auseinanderbauen und „in aller Ruhe“ angreifen kann.
FROM STOLEN LAPTOP TO INSIDE THE COMPANY NETWORK – Superspannender und detaillierter Artikel, der tief in die Welt des physikalischen Angriffs hineingeht und klarmacht, das mit einem Lötkolben deutlich mehr Möglichkeiten bestehen, auch „Good Practice“ und „Unternehmensstandards“ auszuhebeln, wenn physikalischer Zugriff auf ein Gerät besteht.
Die vorgestellten Beispiele zeigen deutlich: Ohne einen effektiven Perimeter-Schutz kann die gesamte IT-Sicherheit und Cybersecurity eines Unternehmens kompromittiert werden. Virtuelle Sicherheitsmaßnahmen wie Verschlüsselung sind bei physischem Zugriff oft weniger sicher als gedacht ober benötigt. Daher müssen Unternehmen unbedingt verhindern, dass Angreifer physischen Zugriff auf ihre Systeme erlangen.
Einschließen, Zuschließen, Anschließen, Wegschließen, Sperren.
Bei der Absicherung von physischen Assets verfügt die Menschheit – im Gegensatz zur Absicherung von Programmcode und virtuellen Zugängen – über Jahrtausende an Erfahrung. Die ersten Schlösser stammen aus dem alten Ägypten, ca. 2000 Jahre v. Chr. Und viel mehr müssen Unternehmen zunächst auch nicht tun.
- Sichern Sie Ihre Server und Ihr Rechenzentrum mit Schließanlagen, idealerweise mit Multifaktor-Absicherung (z. B. Schlüssel und Fingerabdruck)
- Verschließen Sie Ihre Racks
- Schützen Sie Ihre Rechner mit Kensington-Schlössern vor Diebstahl
- Lassen Sie Notebooks niemals unbeaufsichtigt (z. B. im Kofferraum während Dienstreisen)
- Sperren Sie alle physischen Anschlüsse wie USB-Verbindungen, serielle Schnittstellen usw. und entsperren Sie diese nur kontrolliert
- Sorgen Sie dafür, dass Ihre Mitarbeiter keine USB-Sticks „vom Parkplatz“ an Firmenrechner anschließen
- Stellen Sie sicher, dass freigegebene USB-Sticks sicher verwahrt und nicht offen herumliegen
- Nicht mehr benötigte Datenträger sind sachgemäß zu vernichten – auch darauf sollte ein Angreifer keinen physischen Zugriff erhalten
Kurz gesagt: Behandeln Sie Ihre IT-Assets so, als wären darauf Ihre wichtigsten Daten unverschlüsselt gespeichert. Oder – noch einfacher – behandeln Sie sie wie Ihr Portemonnaie. Auch dieses lassen Sie nicht einfach im Café ungesichert liegen. Unter Umständen ist der Weg von einem entwendeten Notebook zu Ihren kritischsten Daten kürzer, als Sie denken.
Zusätzliche Maßnahmen wie Videoüberwachung und Alarmanlage im Rechenzentrum, Remote-Löschfunktionen oder Überwachung von IT-Assets, die sich längere Zeit nicht im Netzwerk melden, können die Sicherheit an diesem Perimeter weiter erhöhen. Aber auch hier gilt: Eigentlich möchten Sie nicht informiert werden (Alarmanlage), dass etwas entwendet wurde, sondern Sie möchten verhindern, dass überhaupt etwas entwendet wird (entsprechende Schutzklasse der Fenster und Türen).
Wenn Sie diese Maßnahmen konsequent umsetzen, regelmäßig schulen, prüfen und justieren, „zwingen“ Sie Angreifer dazu, virtuelle Angriffe durchzuführen. Hier greifen dann unter anderem die in Teil 1: „Die Endpunkte“ und Teil 2: „Das Netzwerk“ dieser Reihe vorgestellten Sicherungsmaßnahmen. In Kombination ergibt sich daraus ein signifikant höheres Sicherheitsniveau für ihr Unternehmen.