Stonesoft, weltweiter Anbieter integrierter Lösungen für Netzwerksicherheit, fordert Unternehmen auf, ihre bisherigen IT-Sicherheitsstrategien zu überprüfen. Wikileaks, Stuxnet, die Entdeckung von Advanced Evasion Techniques (AETs) und der Angriff auf RSA haben die Sicherheitslandschaft dauerhaft verändert. Unternehmen sollten deshalb ihr Risikomanagement sowie ihre Sicherheitsarchitektur an die neue Gefahrenlage anpassen. Dabei gilt: Je wertvoller die gespeicherten Informationen eines Unternehmens, desto größer ist das Risiko für einen Angriff. Die IT-Sicherheitsstrategie sollte daher zum Verantwortungsbereich des Top-Managements gehören und nicht allein den IT-Verantwortlichen überlassen werden.
Veränderte Bedrohungslage
Sowohl Wikileaks als auch Stuxnet haben gezeigt, dass jede Institution Ziel von Datendiebstahl oder erfolgreicher Cyber-Attacken werden kann. Dabei gibt es Organisationen und/oder Einzelpersonen, die über die Ressourcen und Kompetenzen verfügen, um hochentwickelte, gezielte Attacken auf Unternehmen durchzuführen – vor allem, wenn es dabei um viel Geld geht. Insbesondere Informationen und Daten, deren Veröffentlichung für das Unternehmen geschäftsschädigend wäre, müssen deshalb entsprechend geschützt werden.
Die 2010 von Stonesoft entdeckten Advanced Evasion Techniques sind eine neue Art von Evasion-Techniken. AETs lassen sich beliebig ändern oder kombinieren, um Sicherheitssysteme zu umgehen. Dadurch haben Hacker eine Art Generalschlüssel, mit dem sie (neue oder alte) Schadsoftware unbemerkt selbst in hochgeschützte Netzwerke einschleusen können. Die Sicherheitsbranche hat sich bisher zu stark auf die Geschwindigkeit und Vermarktung ihrer Produkte konzentriert und dabei das Wichtigste vernachlässigt: echte Sicherheit. Nach der Entdeckung von AETs liegt es nun an den Unternehmen selbst, ihre Sicherheitsarchitektur zu überprüfen und einen ausreichenden Schutz für unternehmenskritische Daten und Systeme sicherzustellen.
Überblick über aktuelle Sicherheitsvorfälle
- NASDAQ, 2010
Hacker verschafften sich mehrmals Zugang zum Computernetzwerk des Betreibers der NASDAQ-Börse. Dieser Fall stellt die Behörden vor zwei Herausforderungen: die Stabilität und Zuverlässigkeit des Online-Handels zu gewährleisten und das Vertrauen der Anleger in dieses System zu erhalten.
-RSA, März 2011
Hacker drangen in die Systeme des Sicherheitsunternehmens RSA, der auf IT-Sicherheit spezialisierten Tochtergesellschaft der EMC Corporation, ein und entwendeten dabei Informationen über die Zwei-Faktor-Authentifizierungsprodukte von RSA.
- Sony, 2011
Im Frühjahr 2011 kam es binnen kurzer Zeit zu mehreren Angriffen auf Sony, unter anderem auf das PlayStation Network. Dabei wurden personenbezogene Daten von über 100 Millionen Nutzern gestohlen.
- Comodo, März 2011
Der US-amerikanische Zertifizierungsdienstleister hat eingeräumt, dass zwei weitere so genannte Registration Authorities (RAs), also Partnerunternehmen zur Ausstellung digitaler Zertifikate, attackiert wurden.
- Barracuda, April 2011
Hacker fanden eine SQL-Injection-Schwachstelle auf der Website von Barracuda, über die sie sich Zugang zu unterschiedlichen Datenbanken sowie den Namen und Kontaktdaten von Partnern, Kunden und Mitarbeitern des Unternehmens verschaffen konnten.
- Lockheed Martin Corporation, Mai 2011
Unbekannte Hacker brachen in die Sicherheitsnetzwerke des weltweit größten Rüstungskonzerns Lockheed Martin ein.
- L-3 Communications, Hacking-Versuch 2011
Hacker haben versucht, in die Netzwerke des Rüstungskonzerns L-3 Communications einzudringen und an geheime Informationen zu gelangen. L-3 hat sich nicht dazu geäußert, ob der Angriff gelungen ist.
- Citibank, Hacker-Angriff im Mai 2011
Bei einem Angriff wurden Daten von ca. 200.000 Citibank-Kunden aus Nordamerika gestohlen, darunter Kontaktinformationen wie Namen und E-Mail-Adressen.
- IWF, Hacker-Angriff im Juni 2011
Der Internationale Währungsfond (IWF), die zwischenstaatliche Organisation zur Überwachung des globalen Finanzsystems mit 187 Mitgliedsstaaten, war Ziel einer der jüngsten Hacker-Angriffe.
Alle attackierten Unternehmen und Institutionen haben eines gemeinsam: Ihre Netzwerksicherheitssysteme sind auf höchste Sicherheit und Integrität ausgelegt. Sie verfügen allesamt über gut ausgestattete eigene Sicherheits-Teams mit Kontrollinstrumenten, um ihre Netzwerke zu verwalten und vor unterschiedlichen Störfallszenarien zu schützen. Trotzdem konnten sie erfolgreich attackiert werden. Da Hacking-Tools ständig weiterentwickelt werden und zunehmend Verbreitung finden, ist die Wahrscheinlichkeit groß, dass es künftig zu immer mehr Angriffen kommt.
„Die Bedrohungslandschaft hat sich dauerhaft verändert. Deshalb müssen Unternehmen ihre Strategien zum Schutz digitaler Daten überprüfen. Die IT-Sicherheitsstrategie wird ein immer wichtigerer Bereich des Risikomanagements, der zum Aufgabengebiet des Top-Managements eines Unternehmens gehören sollte. Wenn das Thema Sicherheit von den Unternehmensverantwortlichen ignoriert und allein dem IT-Management überlassen wird, deutet das auf eine schwache Unternehmensführung hin“, sagt Hermann Klein, Country Manager DACH von Stonesoft. „Selbst der Vorstand sollte sich beteiligen, indem er die Zuständigkeiten des Managements beaufsichtigt und das Risikoprofil des Unternehmens überprüft.“
Weitere Informationen zu Stonesoft finden sich unter www.stonesoft.de sowie www.antievasion.com.
Folgen Sie uns auf Twitter: http://twitter.com/...
Veränderte Bedrohungslage
Sowohl Wikileaks als auch Stuxnet haben gezeigt, dass jede Institution Ziel von Datendiebstahl oder erfolgreicher Cyber-Attacken werden kann. Dabei gibt es Organisationen und/oder Einzelpersonen, die über die Ressourcen und Kompetenzen verfügen, um hochentwickelte, gezielte Attacken auf Unternehmen durchzuführen – vor allem, wenn es dabei um viel Geld geht. Insbesondere Informationen und Daten, deren Veröffentlichung für das Unternehmen geschäftsschädigend wäre, müssen deshalb entsprechend geschützt werden.
Die 2010 von Stonesoft entdeckten Advanced Evasion Techniques sind eine neue Art von Evasion-Techniken. AETs lassen sich beliebig ändern oder kombinieren, um Sicherheitssysteme zu umgehen. Dadurch haben Hacker eine Art Generalschlüssel, mit dem sie (neue oder alte) Schadsoftware unbemerkt selbst in hochgeschützte Netzwerke einschleusen können. Die Sicherheitsbranche hat sich bisher zu stark auf die Geschwindigkeit und Vermarktung ihrer Produkte konzentriert und dabei das Wichtigste vernachlässigt: echte Sicherheit. Nach der Entdeckung von AETs liegt es nun an den Unternehmen selbst, ihre Sicherheitsarchitektur zu überprüfen und einen ausreichenden Schutz für unternehmenskritische Daten und Systeme sicherzustellen.
Überblick über aktuelle Sicherheitsvorfälle
- NASDAQ, 2010
Hacker verschafften sich mehrmals Zugang zum Computernetzwerk des Betreibers der NASDAQ-Börse. Dieser Fall stellt die Behörden vor zwei Herausforderungen: die Stabilität und Zuverlässigkeit des Online-Handels zu gewährleisten und das Vertrauen der Anleger in dieses System zu erhalten.
-RSA, März 2011
Hacker drangen in die Systeme des Sicherheitsunternehmens RSA, der auf IT-Sicherheit spezialisierten Tochtergesellschaft der EMC Corporation, ein und entwendeten dabei Informationen über die Zwei-Faktor-Authentifizierungsprodukte von RSA.
- Sony, 2011
Im Frühjahr 2011 kam es binnen kurzer Zeit zu mehreren Angriffen auf Sony, unter anderem auf das PlayStation Network. Dabei wurden personenbezogene Daten von über 100 Millionen Nutzern gestohlen.
- Comodo, März 2011
Der US-amerikanische Zertifizierungsdienstleister hat eingeräumt, dass zwei weitere so genannte Registration Authorities (RAs), also Partnerunternehmen zur Ausstellung digitaler Zertifikate, attackiert wurden.
- Barracuda, April 2011
Hacker fanden eine SQL-Injection-Schwachstelle auf der Website von Barracuda, über die sie sich Zugang zu unterschiedlichen Datenbanken sowie den Namen und Kontaktdaten von Partnern, Kunden und Mitarbeitern des Unternehmens verschaffen konnten.
- Lockheed Martin Corporation, Mai 2011
Unbekannte Hacker brachen in die Sicherheitsnetzwerke des weltweit größten Rüstungskonzerns Lockheed Martin ein.
- L-3 Communications, Hacking-Versuch 2011
Hacker haben versucht, in die Netzwerke des Rüstungskonzerns L-3 Communications einzudringen und an geheime Informationen zu gelangen. L-3 hat sich nicht dazu geäußert, ob der Angriff gelungen ist.
- Citibank, Hacker-Angriff im Mai 2011
Bei einem Angriff wurden Daten von ca. 200.000 Citibank-Kunden aus Nordamerika gestohlen, darunter Kontaktinformationen wie Namen und E-Mail-Adressen.
- IWF, Hacker-Angriff im Juni 2011
Der Internationale Währungsfond (IWF), die zwischenstaatliche Organisation zur Überwachung des globalen Finanzsystems mit 187 Mitgliedsstaaten, war Ziel einer der jüngsten Hacker-Angriffe.
Alle attackierten Unternehmen und Institutionen haben eines gemeinsam: Ihre Netzwerksicherheitssysteme sind auf höchste Sicherheit und Integrität ausgelegt. Sie verfügen allesamt über gut ausgestattete eigene Sicherheits-Teams mit Kontrollinstrumenten, um ihre Netzwerke zu verwalten und vor unterschiedlichen Störfallszenarien zu schützen. Trotzdem konnten sie erfolgreich attackiert werden. Da Hacking-Tools ständig weiterentwickelt werden und zunehmend Verbreitung finden, ist die Wahrscheinlichkeit groß, dass es künftig zu immer mehr Angriffen kommt.
„Die Bedrohungslandschaft hat sich dauerhaft verändert. Deshalb müssen Unternehmen ihre Strategien zum Schutz digitaler Daten überprüfen. Die IT-Sicherheitsstrategie wird ein immer wichtigerer Bereich des Risikomanagements, der zum Aufgabengebiet des Top-Managements eines Unternehmens gehören sollte. Wenn das Thema Sicherheit von den Unternehmensverantwortlichen ignoriert und allein dem IT-Management überlassen wird, deutet das auf eine schwache Unternehmensführung hin“, sagt Hermann Klein, Country Manager DACH von Stonesoft. „Selbst der Vorstand sollte sich beteiligen, indem er die Zuständigkeiten des Managements beaufsichtigt und das Risikoprofil des Unternehmens überprüft.“
Weitere Informationen zu Stonesoft finden sich unter www.stonesoft.de sowie www.antievasion.com.
Folgen Sie uns auf Twitter: http://twitter.com/...
