Datenschutz, Sicherheit. Private externe Informationen.
Datenschutz bedeutet, dass Einzelpersonen und Institutionen die Erhebung, Nutzung und Weitergabe ihrer personenbezogenen Daten weitgehend kontrollieren können. Anders ausgedrückt: Sie können die Bedingungen bestimmen, unter denen ihre personenbezogenen Daten erfasst und verwendet werden. Beispielsweise können sie so die Reputation eines Unternehmens bei Suchmaschinen wie Google, Yahoo usw. kontrollieren. Es gibt Compliance-Richtlinien wie LOPS/RMS. Informationssicherheit hingegen ist der kontinuierliche und iterative Prozess, Daten und Ressourcen vor unbefugtem Zugriff, unbefugter Nutzung, Offenlegung, Zerstörung, Veränderung oder Störung zu schützen. Datenschutz ermöglicht es Einzelpersonen und Institutionen, ihre persönlichen bzw. institutionellen Informationen zu kontrollieren, während Sicherheit den Schutz jeglicher Informationen und Ressourcen gewährleistet. Daher kann Sicherheit zum Datenschutz beitragen (ist aber nicht gleichzusetzen mit Datenschutz) und umgekehrt. Zu den gängigen Datenschutztools gehören Cookie-Manager, Anonymisierungsdienste (Tor ist ein Anonymisierungssystem für das Internet, das es Nutzern ermöglicht, Nachrichten zu senden, die nicht nachverfolgt werden können, beispielsweise beim Surfen im Web, Chatten, bei P2P-Netzwerken usw. Es unterstützt derzeit neben der älteren Kommandozeile auch eine grafische Benutzeroberfläche), Verschlüsselungs- und Steganografie-Tools, Dienstprogramme zum Löschen von Festplatten, P3P-Benutzeragenten, ZKIP/CS-Technologien, E-Mail-Anonymisierungs-Remailer, sichere Tunnel, anonymes Banking, Antivirensoftware mit Funktionen zum Entfernen von Tracking-Cookies, Trojanern und Spyware usw. Private externe Informationen sind Informationen, die aus den Daten stammen, die wir bei unseren Informationssuchaktivitäten generieren. Persönliche Informationen sind entweder Informationen, die wir unbewusst preisgeben – Informationen, deren Veröffentlichung wir nicht kontrollieren können, wie z. B. Tracking-Cookies beim Surfen im Web, Webcams, GPS-Geräte von Mobiltelefonen usw. – oder Informationen, zu deren Veröffentlichung wir gezwungen werden, wie z. B. die Nutzungsbedingungen für den Zugriff auf einen Webdienst, ein soziales Netzwerk, ein Betriebssystem oder allgemein auf andere Ressourcen. Weitere Beispiele für private externe Informationen sind die Töne, die beim Drücken von Tasten auf einem Telefon oder einer Tastatur zum Öffnen einer Tür erzeugt werden; Diese Geräusche verraten die gewählte Nummer oder den Zugangscode. Weitere Beispiele sind die Sozialversicherungsnummer auf manchen Führerscheinen, wenn sie als Identifikationsmerkmal verwendet wird, und ungeschredderte Kreditkarten, die in manchen Mülltonnen gefunden werden und eine Verbindung zwischen Name und Adresse einer Person herstellen.
Sicherheitsziele und ihre Wechselwirkungen:
Zu den wichtigsten Zielen im Kontext von Sicherheit und Datenschutz zählen: (1) Datenschutz, insbesondere Datenvertraulichkeit und Anonymität der Teilnehmer; (2) Datenintegrität und Teilnehmerauthentifizierung; (3) Verantwortlichkeit, die Ressourcenverfügbarkeit und die Verantwortung für die Handlungen der Teilnehmer umfasst und deren Aktivitäten durch Protokollierung und Audit-Logs überwacht werden. Manchmal wird hier auch die Nichtabstreitbarkeit berücksichtigt, d. h. niemand darf eine durchgeführte Handlung, wie das Senden oder Empfangen von Daten, abstreiten. Datenvertraulichkeit bedeutet, dass unbefugte Teilnehmer (Benutzer) den Inhalt/die Bedeutung von Nachrichten (im Kontext der Kommunikation) und/oder deren Speicherorte (im Kontext von Speichern/Repositories) sowie deren Ausführung (Ausführung ohne Lesezugriff) nicht ermitteln können. Hierfür werden robuste Datenverschlüsselung (basierend auf symmetrischer, Block- oder Stream-Kryptographie, asymmetrischer oder Quantenkryptographie), Datenverschleierung (basierend auf Steganographie) und eingeschränkter Lesezugriff auf Daten (basierend auf Zugriffskontrolle, z. B. rollenbasierter Zugriff in Betriebssystemen und Anwendungen) eingesetzt. Sicherheitsrichtlinien ermöglichen die Regelung/Kontrolle darüber, wer welche Daten lesen, schreiben, ändern oder ausführen darf, abhängig von Rollen und Berechtigungen und unter welchen Bedingungen (unter Verwendung von Ausnahmen von den Regeln).
Anonymität ermöglicht es Nutzern (Teilnehmern), auf Ressourcen oder Dienste zuzugreifen, ohne ihre Identität preiszugeben. Dadurch wird sichergestellt, dass der jeweilige Dienst oder die Ressource unbekannt bleibt und Sender und Empfänger nicht miteinander in Verbindung gebracht werden können. Dies wird durch Pseudonyme, Anonymisierungsnetzwerke (wie z. B. MIXes), Proxy-Server und Protokolle wie OT/CS/ZKIP erreicht. Ziel ist es, zu verschleiern, wer mit wem kommuniziert oder welche Daten liest. Datenintegrität ermöglicht es, festzustellen, ob unbefugte Teilnehmer (Nutzer) die Daten in irgendeiner Weise manipulieren (Erstellung, Löschung, Änderung). Dies wird durch herkömmliche, blinde digitale Signaturen/Multisignaturen, Hash-Funktionen und Zugriffsbeschränkungen (Schreiben, Ausführen usw.) auf Basis der Zugriffskontrolle erreicht. Authentifizierung ermöglicht die Feststellung (Verifizierung und den Nachweis) der Identität der Teilnehmer (Nutzer). Bei Verwendung gegenseitiger Authentifizierung wäre Phishing schwieriger, da sich sowohl der Client als auch die besuchte Website gegenseitig authentifizieren müssten, nicht nur der Client wie derzeit (einfache Authentifizierung, auch mit Multi-Faktor-Authentifizierung). Die Authentifizierung erfolgt mittels Passwörtern (entweder durch persönliches Wissen – virtuelle Tastaturen schützen vor Keyloggern – oder durch visuelle Passwörter) und durch geteiltes Wissen. Dank der ZKIP-Technologie wird dieses Wissen nicht geteilt, sodass weder Ihre Passwörter noch Ihre Bankdaten offengelegt werden. Weitere Methoden umfassen Biometrie (Identitätsidentifizierung anhand von Verhalten oder physiologischen Merkmalen), PKI (Public-Key-Infrastruktur), Standortbestimmung (GPS, IP-L3- und MAC-L2-Adressen usw.), Zeitstempel (Datum und Uhrzeit), Echtzeit-Video mit unwiderlegbarem Nachweis des aktuellen Zeitpunkts und Datums des Gesprächspartners und vieles mehr. So lässt sich nachvollziehen, wer ein System nutzt oder eine Nachricht sendet. Die Verfügbarkeitsüberwachung dient der Verhinderung potenzieller unbefugter Serviceunterbrechungen. Beispiele hierfür sind die CPU-Blockierung von Ressourcen (Drucker, Server usw.) durch Java-Applets sowie die Überlastung des Netzwerks (z. B. mit E-Mails) und anderer Anwendungen.
Verantwortung zielt darauf ab, beispielsweise zu verhindern, dass Sender und/oder Empfänger von Informationen die Übermittlung oder den Empfang von Informationen leugnen (erreicht durch digitale Signaturen und den Nachweis der Kommunikation/aktiven Zustimmung zu einer TTP), unbefugten Zugriff auf Datenbanken oder die Ausführung kritischer Anwendungen zu ermöglichen, etwa im Industriesektor im Kontext von SPS/Speicherprogrammierbaren Steuerungen und SCADA-Systemen usw. Sicherheitsziele sind nicht immer unabhängig; Anonymität schwächt die Verantwortung. Vertraulichkeit schwächt die Verantwortung, und die Zugriffskontrolle basiert auf Identifizierung/Authentifizierung und Autorisierung (Zuweisung von Berechtigungen, Privilegien, Rollen und Ausnahmen). In unserer Informations- und Wissensgesellschaft muss Sicherheit mehrstufig und multilateral sein, sodass jeder Teilnehmer: (i) eigene Sicherheitsbedürfnisse hat. (ii) eigene Probleme formulieren kann. (iii) Konflikte bestehen, die gelöst und angegangen werden müssen. Einige nützliche Überlegungen in diesem Bereich sind: (a) Sicherheit ist ein kontinuierlicher und iterativer Prozess mit mehreren Schutzebenen. (b) Sicherheit kann nicht hinzugefügt werden; (c) Die Unsicherheit muss auf ein dem Risiko, das die Organisation eingeht, angemessenes Niveau reduziert werden. Ein System, Netzwerk oder eine Ressource ist niemals hundertprozentig sicher. (d) Bedrohungen und der Wert des zu schützenden Gutes müssen berücksichtigt werden.
Das Prinzip des angemessenen Schutzes besagt, dass Netzwerk-/Computerressourcen nur so lange geschützt werden sollten, bis sie ihren Wert verlieren, und zwar in einem Umfang, der diesem Wert entspricht. Beim Schutz der Ressourcen einer Organisation werden neben Personen auch folgende Aspekte berücksichtigt: (i) Daten. Informationen/Wissen/Erfahrungen, die gespeichert sind, über Netzwerke übertragen werden und auf physischen und virtuellen Computer- und Netzwerksystemen ausgeführt werden. (ii) Ressourcen. Die Computergeräte selbst (PCs/Macs, Tablets, PDAs, Smartphones, RFID-Chips, SPSen, eingebettete Elektronik usw.), Übertragungsgeräte (Router, Switches, UTMs, WLAN-Zugangspunkte usw.) und Speichergeräte (Datenbanken, Puffer, Caches). (iii) Reputation. Das Risiko für Ihre Organisation beeinträchtigt ihre Glaubwürdigkeit und ihr Ranking in leistungsstarken Suchmaschinen wie Google, Yahoo usw. Wenn Ihre Organisation ihr Risiko nicht managt, haftet sie für Eindringversuche oder Cyberkriminalität. Die Gründe für Unsicherheit sind vielfältig: (1) Teilen wichtiger Ressourcen in sozialen Netzwerken. (2) Komplexität; Aufgrund von Virtualisierung, Cloud Computing, komplexen Protokollen usw. wird es zunehmend schwieriger, die Vorgänge zu überblicken. (3) Schwierigkeiten bei der Abgrenzung von Netzwerken. Verstärkte mobile Kommunikation, Ambient Intelligence (KI) usw. erschweren den Aufbau robuster Perimeterverteidigungen erheblich. (4) Die Anzahl potenzieller Angriffspunkte nimmt zu: intern (Mitarbeiter, Prüfer, Angreifer, Spione, Gäste, Subunternehmer mit SLAs, Terroristen usw.) und extern (Mitarbeiter, Angreifer, Dienstleister/Identitäts-/Sicherheitsanbieter, Spione, Terroristen, Wettbewerber, Cloud usw.). (5) Anonymität der Angreifer und Verschlüsselung/Steganografie ihrer Kommunikation. (6) Mehrere Routen zwischen zwei beliebigen Knoten in einem Netzwerk.
Identifizierung von Kontrollmaßnahmen.
Zu den relevanten Kontrollmaßnahmen, die implementiert werden müssen, gehören: (1) Inventarisierung physischer Komponenten und Software. Derzeit ist es unerlässlich, automatisierte Tools zur Anlagensuche und -inventarisierung einzusetzen, um eine Echtzeit-Aufzeichnung aller mit dem Unternehmensnetzwerk verbundenen Systeme zu erstellen. Diese Aufzeichnung umfasst GPS-Standort, Netzwerk-IP-Adresse, Hardware-MAC-Adresse, Gerätenamen (Hardwaretyp: CPU-RAM, Name und Version des Betriebssystems), Zweck jedes Systems, Verantwortliche Person, Abteilung, Hardware-Lieferant usw. Um die Effektivität des Inventarisierungstools zu bewerten, müssen regelmäßig verschiedene neue Systeme angeschlossen und getrennt werden. Dabei ist die Verzögerung bis zur Aktivierung bzw. Deaktivierung jedes Geräts im Inventar zu messen, zusammen mit Datum und Uhrzeit der Implementierung bzw. Deaktivierung. Ebenso wichtig sind automatisierte Tools, die die gesamte im Unternehmen verteilte Software suchen und inventarisieren können, einschließlich Endgeräte (Server, Benutzerrechner), Festplatten, virtuelle Laufwerke, Workstations, Laptops/Macs, Mobilgeräte (PDAs/iPhones/iPads), Smartphones/Tablets, Cloud-Dienste usw.
Die Typen, Versionen und Patch-Level von Betriebssystemen, Anwendungen, Programmen usw. werden erfasst. Um die Effektivität des automatisierten Inventarisierungstools zu evaluieren, werden verschiedene Software, Updates und Pakete regelmäßig installiert bzw. deinstalliert. Die Verzögerung der Softwareinventarisierung wird gemessen, um die vorgenommenen Änderungen zu erfassen. Diese Vorgänge können auf Kontrollrechnern durchgeführt werden, um negative Auswirkungen auf Produktionssysteme zu vermeiden. (2) Sichere Hardware- und Softwarekonfiguration. Dies ist erforderlich, nachdem die Sicherheitskonfigurationen aller Systemabbilder gründlich analysiert, genehmigt und dokumentiert und anschließend bereitgestellt wurden. Sie müssen den entsprechenden Versionen der Betriebssysteme, Plug-ins und installierten Anwendungen entsprechen. Jede Abweichung vom festgelegten Wert oder nachfolgende Updates müssen im Änderungsmanagementsystem dokumentiert und genehmigt werden. Regelmäßig müssen Bewertungsprogramme durchgeführt werden, die die Konfiguration einiger Systeme variieren, um zu ermitteln, wie viele Systeme gemäß den festgelegten Konfigurationsrichtlinien korrekt konfiguriert sind bzw. nicht korrekt konfiguriert sind. (3) Perimeterverteidigung, mehrschichtige Verteidigung. Organisationen sollten die Kommunikation von bekannten/wahrscheinlich schädlichen IP-Adressen blockieren (Blacklists/Graylists) oder den Zugriff auf vertrauenswürdige Websites einschränken (Whitelists). Sie sollten außerdem Netzwerkarchitekturen definieren, die interne Systeme von Systemen in der DMZ (Demilitarisierten Zone) und Systemen im Extranet oder Internet trennen. Organisationen sollten interne Netzwerksegmentierungsschemata (z. B. basierend auf VLANs mit Switches und IP-Subnetzen) implementieren, um den Datenverkehr im internen Netzwerk (Intranet) auf die für die Organisation notwendigen Dienste zu beschränken. Für alle Fernzugriffe, wie z. B. VPN/SSL-TLS/SSHv2, sollte eine gegenseitige Zwei-Faktor-Authentifizierung erforderlich sein.
Es ist notwendig, regelmäßig zu überprüfen, ob IP-Pakete von gesperrten Quelladressen (die auf der Blacklist mit schädlichen und nicht routbaren Adressen stehen) in unser internes Netzwerk eindringen können. Beispielsweise kann eine Intranet-IP-Adresse nicht die Quell-IP-Adresse einer PDU aus dem Internet sein. Weitere wichtige Kontrollmaßnahmen umfassen: (i) Netzwerkmanagement-Schutzmaßnahmen; beispielsweise kann eine QoS-Studie potenzielle Eindringversuche im Voraus erkennen, selbst bei verschlüsseltem Datenverkehr. (ii) Penetrationstests/Ethical Hacking. Dies ermöglicht es uns, unsere Widerstandsfähigkeit gegen potenzielle Angriffe zu bewerten. Manchmal decken Penetrationstests die Existenz illegaler Glücksspielprogramme auf, die auf Servern von Institutionen installiert sind, die kritische Dienste bereitstellen. (iii) Reaktion auf Sicherheitsvorfälle. Für den Umgang mit Vorfällen muss ein automatisiertes Verfahren vorhanden sein. (iv) Datenwiederherstellung. Dies umfasst regelmäßig getestete und funktionierende Verfahren für Backups und die Wiederherstellung des Zustands vor dem Problem. (v) System- und Anlagenwiederherstellung im Katastrophenfall. Dies kann durch Hot- und Cold-Sites an geografisch getrennten Standorten erreicht werden. Obligatorisch für börsennotierte Unternehmen. (vi) Sensibilisierungsprogramme, unterstützt durch Schulungen und Überwachungstechnologie, dienen dem Kompetenzaufbau, der Stärkung der Sicherheitskultur und der Behebung festgestellter Verhaltenslücken. Diese Tools zur Mitarbeiterunterstützung überwachen Verstöße und Fehler (unbeabsichtigt und vorsätzlich) und ermöglichen die Quarantäne des Arbeitsplatzes eines Mitarbeiters, bis dieser die geltenden Richtlinien einhält. Während der Quarantäne können Mitarbeiter anderen weder absichtlich noch unbewusst Schaden zufügen, beispielsweise durch die Verbreitung von Würmern, die sie sich durch das Anschließen eines infizierten USB-Sticks an ihren Arbeitsplatz eingefangen haben. Sensibilisierung ohne Überwachung und ohne Förderung von Verantwortungsbewusstsein ist nutzlos. (vii) Wartung, Überwachung und Analyse von Audit-Logs, einschließlich derer zwischen Administratoren. (viii) Kontrolle der Rechtenutzung, d. h. kontrollierte Nutzung von Administratorrechten, Protokollierung, Analyse und Überwachung von Logs. Dumpsec ist ein Tool zur Überprüfung von Benutzern und Sicherheitsrichtlinien in Windows-Umgebungen. Es liefert detaillierte Informationen von Domänencontrollern zu Richtlinien, Benutzern, Gruppen, Rechten und Diensten. Es kann über die Befehlszeile auf jedem System mit Domänenadministratorrechten ausgeführt werden. (viii) Passwortstärkeprüfung mit Passwort-Crackern wie JTR (John The Ripper) für Windows und Unix; siehe http://www.openwall.com/john. (ix) Zugriffskontrolle basierend auf individuellen Bedürfnissen. (x) Kontoverwaltung und -überwachung. (xi) Schutz vor Malware/Spyware. (xii) Kontrolle mobiler Geräte. (xiii) Verhinderung von Datenverlust (DLP), z. B. durch Verschlüsselung aller Informationen, die über das Netzwerk, USB-Laufwerke, CDs/DVDs, Wechseldatenträger oder elektromagnetische Strahlung übertragen werden, mithilfe der Verschlüsselungssoftware Soft-Tempest.
Schlussbetrachtungen
Unsere Forschungsgruppe arbeitet seit über zwanzig Jahren auf dem Gebiet der Sicherheit und des Datenschutzes in verschiedenen Arten von Netzwerkumgebungen, von (W)BodyAN bis (W)WideAN, einschließlich (W)PersonalAN, (W)CampusAN, (W)LocalAN, (W)MetropolitanAN, (W)RuralAN usw.
Dieser Artikel ist Teil der Aktivitäten im Rahmen des LEFIS-APTICE-Projekts (finanziert von Socrates, Europäische Kommission).
Literaturverzeichnis
– Areitio, J. „Information Security: Networks, Computing and Information Systems“. Cengage Learning-Paraninfo. 2010.
– Areitio, J. „New approaches in the analysis of systems for detection, preventing and managing attacks and intrusions“. Conectrónica Magazine. Nr. 123. Januar 2009.
– Fry, C. und Nystrom, M. „Security Monitoring. Proven Methods for Incident Detection on Enterprise Networks“. O'Reilly. 2009.
– Norman, TL „Risk Analysis and Security Countermeasure Selection“. CRC Press. 2009.
Autor: Prof. Dr. Javier Areitio Bertolín – Professor an der Fakultät für Ingenieurwissenschaften. Leiter der Forschungsgruppe Netzwerke und Systeme. Universität Deusto.
