IT-Sicherheitsaudit

AlsIT-Sicherheitsaudit(englischIT securityaudit,vonlateinischaudit‚er/sie hört‘, sinngemäß ‚er/sie überprüft‘) werden in derInformationstechnik(IT) Maßnahmen zurRisiko-undSchwachstellenanalyse(engl.Vulnerability Scan) eines IT-SystemsoderComputerprogrammsbezeichnet. Bedrohungen für die Sicherheit können ausgehen von kriminellen Angriffen, von organisatorischen Mängeln aber auch von technischen Unfällen oder höherer Gewalt.Schwachstellensind Fehler eines IT-Systems oder einer Organisation, durch die diese für Bedrohungen anfällig werden. Eine Bedrohung oder eine Schwachstelle allein reichen jedoch nicht aus, um die Sicherheit eines Systems zu gefährden. Eine Gefährdung für das angegriffene System besteht nur dann, wenn eine Bedrohung auf eine existierende Schwachstelle trifft. Die Ursachen für Schwachstellen sind vielseitig. Sie können in der Konzeption, Implementierung oder auch im Betrieb liegen und umfassen ebenfalls Design- oder Konstruktionsfehler, menschliches Fehlverhalten oder ungenügende Standortsicherheit. Schwachstellenanalysen dienen dazu, diese Fehler systematisch zu finden, um Bedrohungen und Angriffsszenarien abzuwenden.Sicherheitsaudits finden meist im Rahmen einesQualitätsmanagementsstatt und dienen der Reduzierung vonSicherheitslückensowie der Einführung vonBest practicesin einerOrganisation(öffentlicheVerwaltung,Unternehmen). IT-Sicherheitsaudits zählen zum Bereich derNetzwerk-undInformationssicherheit,wobei die Grenze zurLAN-Analyseinlokalen Netzwerkenbeziehungsweise zurNetzwerk-Analysefließend ist.

In Anlehnung an die englischsprachigenTerminiSecurity TestundSecurity Scanwerden in der deutschsprachigen Literatur stattSicherheitsauditBegriffe wieSicherheitsüberprüfungoderSicherheitsprüfungverwendet. Meist sind hiermit nur Teilaspekte eines vollständigen Audits gemeint. Der Prozess des Audits wird häufig alsAuditingbezeichnet, während die durchführende PersonAuditorheißt.

Übersicht

Regelmäßige IT-Sicherheitsaudits bilden einen unentbehrlichen Teil des deutschenIT-Grundschutzes.International sind die Management-Standards für IT-Sicherheitsaudits in der NormISO/IEC 27001derISOfestgelegt. Darüber hinaus gibt es eine Reihe weiterer internationalerSecurity Policies.Diese dienen der Planung, Dokumentierung und ständigen Weiterentwicklung desInformationssicherheitsmanagementsystemseines Unternehmens (ISMS,siehe auchIT-Service-Management). Die Audits werden meist von externenExperten– auchChief Audit Executives(CAE) genannt – in Absprache mit der Geschäftsführung durchgeführt. Der dabei erstellte Maßnahmenkatalog bildet die Grundlage für weitere Schritte durch dieAdministratorender hausinternen IT-Abteilung. Sie sind für den laufenden Abgleich von Soll und Ist und die Wartung des Systems in Übereinstimmung mit der Security Policy des Unternehmens zuständig. Systeme können dabeiPersonal Computer,Server,Großrechner(Mainframes),RouteroderSwitchesumfassen. Anwendungen können beispielsweiseWebserverwieApache,Datenbank-Systeme wieOracleoderMySQLundMailserverumfassen.

Nach einer Bestandsaufnahme, der IT-Strukturanalyse, finden die jeweiligenTestsstatt. Auf diese folgt in der Regel die Bewertung des Schutzbedarfs sowie eine Auswahl von Maßnahmen, welche in einem Maßnahmenkatalog festgehalten werden. Die Umsetzung der Maßnahmen wird aus Gründen der internen Sicherheit meist nicht vom Auditor selbst durchgeführt, da dieser nach Durchführung eines Audits mit den Sicherheitslücken des Unternehmens zu sehr vertraut ist. Mit der Unterzeichnung einesNon-Disclosure Agreements(NDA) verpflichtet sich der Auditor zur Geheimhaltung. Ein Auditor muss ausreichend Erfahrung im Netzwerkbereich mitbringen und in der Lage sein, sich in einen Angreifer hinein zu versetzen. Gründe und Ziele einer potenziellen Attacke entscheiden über die angewandteMethodik.

Manuelle Maßnahmen einerSicherheitsanalyseumfassen dabei:

• dieBefragungderBelegschafteines Unternehmens (sieheSocial Engineering)
• Security Scans mittelsPortscannernwieNmap,SniffernwieWireshark,Vulnerability Scannern(engl. für „Verwundbarkeitsprüfer “) wieNessusund anderer Tools, nämlichVulnerability Assessment(VA) Produkte
• die Überprüfung derZugangskontrollebeiAnwendungenundBetriebssystemen
• die Analyse des physikalischen Zugangs zum System.

Eine weitere Methode, Sicherheitsschwachstellen festzustellen, sindPenetrationstests.Sie bilden einen wesentlichen Bestandteil eines vollen IT-Sicherheitsaudits. Hierbei werden Angriffe von außen (Internet) als auch von innerhalb des Unternehmensnetzwerkes simuliert. Dieser Vorgang wird häufig auch alsfriendly Hackingund der Auditor als White-Hat-Hacker bezeichnet (siehe auchHackerethik)

Das BSI IT-Sicherheitshandbuch trifft folgende Unterscheidung:

• Informationsbasis (Black-Box, White-Box)
• Aggressivität (passiv, vorsichtig, abwägend, aggressiv)
• Umfang (vollständig, begrenzt, fokussiert)
• Vorgehensweise (offensichtlich, verdeckt)
• Technik (Netzwerkzugang, sonstige Kommunikation, physischer Zugang, Social Engineering)
• Ausgangspunkt (von außen, von innen)

Eine beliebte unauffällige (passive) Methode bei manuellen Audits ist dasGoogle hacking.Während zur groben Abschätzung der IT-Infrastruktur eines Unternehmens oft ein Blick in öffentlicheStellenausschreibungenausreicht, können mit Hilfe komplexerSuchmaschinenabfragenaufGoogle,Live Search,YahooSearch und ähnlichen Suchmaschinenvertraulicheund sensible Daten unbemerkt erspäht werden. Die Bandbreite der „Security Nuggets “(engl. für „Sicherheitsbrocken “) reicht dabei von privaten Informationen wieKreditkartennummern,SozialversicherungsnummernundPasswörternsowie abgelegten Dateien wie internen Auditing-Berichten, Passwort-HashesoderLogdateien(Nessus, Sniffer) über unsichere offene Dienste wieOWA,VPN undRDPbis zur Offenlegung zahlreicher Exploits und Schwachstellen der betreffendenWebsites.Hierbei kommen bestimmte Suchmaschinenfilter undOperatorenzum Einsatz. Mit derGoogle hacking Datenbank(GHDB) existiert eine eigene Sammlung bekannterTaktikenund Einsatzmöglichkeiten.Mehrere Anbieter von automatisierten Vulnerability Scannern fürWebdienstehaben diese Datenbank in ihre Produkte integriert.Zur Erkennung einer „Google-hacking-Attacke “können eigeneHoneypotseingerichtet werden.Häufig finden sich imQuellcodevon Websites Kommentare mit nützlichen Informationen für Angreifer. Werden diese Daten vom Anbieter einer Website gelöscht, sind sie in den meisten Fällen über denCacheeiner Suchmaschine oder überArchivewie dieWayback Machineder Öffentlichkeit nach wie vor zugänglich.

Automatisiertes Auditing mitNagios

Als Alternative oder Ergänzung zu den manuellen Auditing-Maßnahmen könnencomputerunterstützte Auditing-Techniken(engl.Computer Assisted Auditing Techniques,CAAT) eingesetzt werden. Solche automatischen Auditing-Maßnahmen sind Teil der Audit-Standards, welche vomAmerican Institute of Certified Public Accountants(AICPA) herausgegeben werden und in den USA für die Verwaltung verpflichtend sind (sieheSarbanes-Oxley Act).Sie umfassen systemgenerierte Audit-Reports sowie die Verwendung vonMonitoring-Software, welche Änderungen anDateienoder Einstellungen auf einem System berichtet. Eine Checklist der AICPA soll Administratoren diese Arbeit erleichtern.freie Softwarein diesem Bereich sind die Auditing- und Reporting-SoftwareTIGERundOpen Source Tripwiresowie die Monitoring-SoftwareNagios.Hauptzweck dieser Produkte ist die Dokumentation und Warnung bei Änderungen am System.

Richtlinien und Maßnahmen

Die von Sicherheitsexperten vorgeschlagenen Richtlinien und Maßnahmenkataloge im Bereich der IT-Sicherheit sind sehr umfangreich. So gibt es neben der ISO/IEC 27001 auch noch dieISO/IEC 17799sowie die diesen zu Grunde liegende britischeBS 7799.Ferner existieren die SicherheitsarchitekturX.800,dieIT-Grundschutz-Kataloge(früher IT-Grundschutzhandbuch) desBSI,die VerfahrensbibliothekITILsowie dieITSEC-Kriterien. Das AudithandbuchOpen SourceSecurity Testing Methodology Manual(OSSTMM) desInstitute for Security and Open Methodologies(ISECOM) unterscheidet entsprechend der möglichen Angriffsmöglichkeiten fünf Kategorien derSicherheitsinteraktion,Kanäle genannt:

• physikalische Interaktion
• Telekommunikation(analogeKommunikation)
• Datennetzwerke(Paketkommunikation)
• drahtlose Interaktion
• menschliche Interaktion

Grundsätzlich muss sich ein Unternehmen zwischen unterschiedlichen Risikoanalysestrategien entscheiden und darauf aufbauend die Ziele eines Auditings festlegen. Da die Durchführung einer detaillierten Risikoanalyse einer gesamten Organisation teuer und aufwändig ist, wird meist eine Kombination aus Grundschutzmaßnahmen (Baseline Security Controls) und Schutzbedarfsfeststellung (High Level Risk Analysis) gewählt. Alle Systeme, deren Risiko über niedrig bis mittel, also bei hoch bis sehr hoch liegt, werden einer detaillierten Risikoanalyse unterzogen. Je nach möglichem Schadensausmaß (dem Wert der bedrohten Objekte) und Relevanz ergibt sich eine unterschiedliche Risikobewertung und somit auch ein unterschiedlicher Schutzbedarf.

Die Bandbreite der vorgeschlagenen Maßnahmen reicht von der Einrichtung einerDMZfür externe Dienste und der Trennung des Netzwerks in unterschiedlicheSegmentedurchVLANs(beispielsweise ein separates VLAN fürNetzwerkdrucker,ein weiteres fürWLAN,Abteilung A, Abteilung B, Geschäftsführung und so fort) sowie der Einschränkung derAutorisierungdes Zugriffs von außen auf das Netzwerk überVPNüber den Einsatz vonVerschlüsselungsmechanismen,die Einrichtung und Wartung vonFirewalls,IDS/IPS,Virenschutz,Geräte- oder EndpunktkontrolleundIdentitätsmanagementsowie die Evaluierung der vorhandenenBenutzerprofileundZugriffskontrolllisten(ACLs) sowohl auf den Arbeitsplatzrechnern als auch im Netzwerk bis hin zur Einrichtung eines zentralen Update-Servers für alle Betriebssysteme (siehe z. B.Windows Update Server).

Sicherheitsexperten haben die Möglichkeit, ihr Wissen potenziellen Kunden gegenüber durch anerkannteZertifizierungennachzuweisen. Darunter fallen unter anderem derCISSPvon der International Information Systems Security Certification Consortium, derCISAund derCISMvon derISACA,derOSSTMM Professional Security Tester(OPST) und derOSSTMM Professional Security Analyst(OPSA) der ISECOM, eine der zahlreichen ITIL- oderLPI-Zertifizierungen, sowie solche derAPO-IToder von im IT-Sicherheitssektor angesehener Firmen wieCisco.InÖsterreichexistiert fürIT-Beraterferner die Auszeichnung desIT-Ziviltechnikers.Diese und weitere Zertifikate können in speziellenLehrgängenerworben werden.

Ablauf eines Audits

Kompromittierte PCs in einemBotnet

Audits verlaufen im Wesentlichen nach demselben Muster wie bösartige Angriffe. Hacker-Attacken können nach Methode und Zielsetzung grob in drei unterschiedliche Typen unterteilt werden:

• passiv
• aktiv
• aggressiv

Ziel einespassiven,automatisierten Angriffs durchSkripteundBotskann beispielsweise die Ausweitung einesBotnetssein. InsbesondereWürmerwerden zur automatisierten Ausnutzung von Schwachstellen eingesetzt. Andere bösartige Computerprogramme zur Verbreitung derartiger Bots sindVirenundTrojaner.Bei erfolgter Kompromittierung eines (alsZombiebezeichneten)Computerskann dieser zum Versenden vonSpam,alsDatenspeicherfürSchwarzkopien,zum Ausführen vonDDoS-Attacken und dergleichen genutzt werden.
Durch einenaktiven,manuellen Angriff können sensibleDaten ausgelesenoder bei Installation einesBackdoorsBenutzerausspioniertund Anwendungen durch den Angreifer kontrolliert werden.
AggressiveAngriffe sind meist politisch motiviert und sollen in der Regel einen Systemausfall bewirken.
Die Grenzen der Angriffsarten sind fließend.

Ein Audit besteht somit aus mehreren Phasen. Wurden Daten wie der zu scannendeIP-Adressbereich(IP-Range) vom Kunden nicht bekannt gegeben, handelt es sich um einenBlack-Box-Test.Hier kann im ersten Schritt einFootprintingfür den Auditor von Nutzen sein, um eine ungefähreNetzwerktopologiezu entwerfen. Dieser Schritt entfällt bei einemWhite-Box-Test.Das Erstellen einer Netzwerktopologie wird auch„Network Mapping “(engl. für „Netzwerkabbildung “) genannt. Im nächsten Schritt wird dasComputernetzmit einem automatischen Vulnerability Scanner auf potenzielle Schwachstellen hin überprüft. UmFalse Positivesauszuschließen, ist eine genaue Auswertung der Resultate nötig. Eine weitere Phase eines Audits kann einPenetrationstest(PenTest) auf Grundlage der in der Schwachstellenanalyse gewonnenen Erkenntnisse sein. Die Ergebnisse werden schließlich in einem ausführlichen Bericht zusammengefasst, welcher durch einenMaßnahmenkatalogzur Risikominimierung beziehungsweise -dezimierung zu ergänzen ist.

Vor einem Audit müssen Fragen wie Umfang, Dauer und Methoden abgeklärt werden. Darf der Betrieb in einem Unternehmen durch das Auditing nicht gestört werden, muss beispielsweise auf das Ausnutzen von etwaigenProgrammfehlern(Bugs) beziehungsweise Sicherheitslöchern wiePufferüberläufein Software –Exploitgenannt – verzichtet werden. Stark verbreitet sind hierDoS-Attacken.Das Herausfiltern von potenziellen Sicherheitslücken in einem System wird als„Vulnerability Mapping “bezeichnet. Hierbei erstellt der Auditor eine Liste aller laufenden Dienste samt bekannter Bugs. Diese können beispielsweise aufBugtraq,derCVE-Listeoder beimUS-CERTabgefragt werden.

Zu den häufigsten Sicherheitslücken zählen lautMcAfee:

• Vorgabeeinstellungen (default settings) bei kaum konfigurierten Routern, Firewalls, Webservern
• einfache, unverschlüsselte und/oder voreingestellte Passwörter (Fabrikseinstellung)
• mangelnde Sicherheits-, Wartungs- und Programmierkompetenzen beim Personal
• mangelnde Sicherheitskonzepte wieSecurity through obscurity,fahrlässiger Umgang mit vertraulichen Daten, Anfälligkeit fürSocial Engineering
• mangelnde Wartungskonzepte, beispielsweise selteneUpdatesund Passwortänderungen, oder mangelndesMonitoring
• schlechte Programmierkonzepte wie fehlendeQAundCode Reviewssowie Vernachlässigung des Sicherheitsaspekts
• Verwendung unsicherer Dienste wietelnet,SNMP,RDP,X,SMB,MSRPC,Web-GuiswieOWA
• schlecht (meist in Eile) entwickelte Anwendungen mit Buffer Overflows, Format string vulnerabilities, integer overflows und/oder fehlender Eingabeprüfung

Zum Ausführen von Exploits dienen meist fertige Skripte wie sie beispielsweise auch vonScriptkiddiesbei ihren Angriffen verwendet werden. Eine Sammlung von Exploits für viele gängige Betriebssysteme bietetMetasploit,ein Framework zum Erstellen und Testen von Exploits für Sicherheitslücken. Es ist eines der verbreitetsten Werkzeuge für PenTests.

PortscannerNmapunter Windows mit Zenmap-GUI

Der Portscanner Nmap kann dabei verwendet werden, um Informationen über die Aktualität der am Zielsystem laufenden Anwendungen (VersionundPatchlevel) zu gewinnen sowie zur Erkennung des Betriebssystems durchOS-Fingerprinting.Das grafische Network MapperFrontendnmapfe wurde mittlerweile durch zenmap ersetzt, welches seinerseits aus Umithervorgegangen ist.Banner Grabbingund Port Scanning können alternativ auch mitNetcatdurchgeführt werden.Eine effiziente und schnelle Alternative zum verbreiteten Nmap bietet unter Umständen PortBunny.Nmap ist jedoch eines der mächtigsten und verbreitetsten Tools auf dem Gebiet.

Bekannte Sicherheitslücken können mit dem Vulnerability Scanner Nessus ausfindig gemacht werden. Auch eine manuelle Prüfung von Exploits in Web-Applikationen wieSQL-InjectionoderCross-Site-Scriptingist mit Nessus möglich. Verwandte Angriffe in diesem Bereich sind:Session Fixation,Cross-Site-Cooking,Cross-Site-Request-Forgery(XSRF),URL-Spoofing,Phishing,E-Mail-Spoofing,Session Poisoning,Cross-Site-Tracing(XST).

Weil Nessus ein sehr „lautes “Tool ist, sein Gebrauch in einem Netzwerk also leicht festzustellen ist, werden oftmals „leise “(meist passive) Tools wie firewalk (PaketfilteringEnumerator), hping3 (TCP/IP-Paketanalyse mitTraceroute-Modus) oder nmap bevorzugt. Zum Testen von Web-Applikationen existiert ferner der Nikto Web Scanner, der allein betrieben oder in Nessus eingebunden werden kann.

Häufig wird bei IT-Sicherheitsaudits (in Absprache mit der IT-Abteilung) versucht,Viren,WürmerundTrojanerund sonstigeMalwarein ein System einzuschleusen. Dies geschieht meist durch Social Engineering, indem der Auditor beispielsweise an alle User ein „wichtiges Sicherheitsupdate “per Mail sendet oder persönlich überreicht. Auf diese Weise kann vorhandene Antivirensoftware,Personal Firewall,Paketfilter,Intrusion Prevention Systemund dergleichen auf Aktualität und Wirksamkeit hin überprüft werden. Wichtiger jedoch ist die Frage, wie die Anwender reagieren und ob sie den Sicherheitsrichtlinien des Unternehmens folgen.

Mit Tools wieJohn the Ripperkann versucht werden, Passwörter im System zu knacken.Diese können beispielsweise aus einem mittels Sniffern wie Wireshark odertcpdumpgewonnenenHashausgelesen werden. Hierzu sind auchPlug-insfür Nessus erhältlich. VerborgeneRootkitskönnen mitChkrootkitentdeckt werden. Auch gewöhnlicheUnix-Bordmittel wielsof(list open files) odertopzurProzessverwaltungkönnen hier helfen. UnterWindowsempfiehlt sich die Verwendung derSysinternalsSuite vonMark Russinovich.

Die meisten der beschriebenen Tools finden sich unter anderem in den folgenden aufGNU/LinuxbasierendenLive-Systemen:BSI OSS Security Suite(BOSS),BackTrack(früher: Auditor Security Collection),KnoppixSTD (Security Tools Distribution),Network Security Toolkit (NST),nUbuntu(oder NetworkUbuntu), Helix.BackTrack wurde im März 2006 von Darknet zur besten Security Live-CD gekürt.

Neben den zahlreichen freienFOSS-Toolsexistiert eine Reihe von weit verbreitetenClosed-Source-Produkten wie der Paketanalyseplattform OmniPeek von WildPackets, dem Web Application Security Scanner N-Stalker,den automatischen Vulnerability Scannern Qualys,SecPoint Penetrator Vulnerability ScannerRetina von eEye Digital Security,den automatischen Vulnerability Scannern Quatrashield,IBMInternet Scanner (vormals: Internet Security Scanner),Shadow Security Scannerund GFI LANguard Network Security Scanner,sowie dem PaketsnifferCain & Abelund anderen. Kostenpflichtige Tools zur Erstellung von Sicherheitskonzepten auf Basis des IT-Grundschutzes sind dasGSTOOLdes BSI sowieSecuMaxund die HiScout GRC Suite. Im Unterschied zu den meisten freien Tools funktionieren die meisten dieser Produkte jedoch nur unter Windows. Eine freie und betriebssystemübergreifende Alternative zum GSTOOL bietet das aufJavabasierende ISMS-ToolVerinice.

Siehe auch

• Informationssicherheit
• ISO/IEC 17799
• OpenBSD-Sicherheitsmerkmale
• Penetrationstest

Literatur

• Anonymous:Maximum Security.Hrsg.: Que. 4. Auflage. Sams Publishing,Indianapolis,Indiana2002,ISBN 0-672-32459-8(976 S.,Online-Version– inkl. CD-ROM).
• Brian Hatch, James Lee,George Kurtz:Hacking Linux Exposed: Linux Security Secrets and Solutions.Hrsg.:McAfee,ISECOM. McGraw-Hill / Osborne, Emeryville,California2003,ISBN 0-07-222564-5(712 S.,Voransicht bei Google;Website zum Buch).
• Stuart McClure, Joel Scambray, George Kurtz:Hacking Exposed: Network Security Secrets & Solutions.Hrsg.: McAfee. McGraw-Hill / Osborne, Emeryville, California 2005,ISBN 0-07-226081-5(692 S.,Voransicht bei Google).
• Johnny Long, Ed Skoudis:Google Hacking for Penetration Testers.Syngress, 2005,ISBN 1-931836-36-1(448 S.,Voransicht bei Google).
• Sasha Romanosky, Gene Kim, Bridget Kravchenko,:Managing and Auditing IT Vulnerabilities.In: Institute of Internal Auditors (Hrsg.):Global Technology Audit Guide.Band6.Altamonte Springs, FL 2006,ISBN 0-89413-597-X(Online-Versionder gesamten Serie).
• Joel Scambray, Stuart McClure:Hacking Exposed Windows: Windows Security Secrets and Solutions.2007,ISBN 0-07-149426-X(451 S.,Voransicht bei Google;Website zum Buch).
• Christian Hawellek:Die strafrechtliche Relevanz von IT-Sicherheitsaudits.Hrsg.:EICAR.Grin Verlag, 2007 (15 S.,Online-Version;PDF).
• Dennis Jlussi:Strafbarkeit beim Umgang mit IT-Sicherheitstools nach dem 41. Strafrechtsänderungsgesetz zur Bekämpfung der Computerkriminalität.Hrsg.: EICAR. Grin Verlag, 2007 (13 S.,Online-Version;PDF).
• Österreichisches Bundeskanzleramt,Informationssicherheitsbüro (Hrsg.):Österreichisches Informationssicherheitshandbuch.Österreichische Computer Gesellschaft (OCG), Wien 2007,ISBN 978-3-85403-226-7(Online-Version[abgerufen am 5. November 2008]).
• Marc Ruef:Die Kunst des Penetration Testing.1. Auflage. Computer & Literatur (CuL), Böblingen 2007,ISBN 3-936546-49-5(911 S.).

Weblinks

• Top 100 Network Security Tools,Insecure.Org 2006
• Durchführungskonzept für Penetrationstests,BSIim November 2003
• Managing and Auditing IT Vulnerabilities(aus:Global Technology Audit Guide) mit Zusammenfassung durch die AICPA
• Open Vulnerability Assessment Language(OVAL): offener Mitre-Standard für Sicherheitslücken
• SecurityFocus:Community von IT-Sicherheitsexperten
• Blog Boris Koch:Fachbericht zum Thema Google Hacking, Datenpannen und Deep Web