17
Whitepaper CYBERSECURITY ALS STRATEGISCHE HERAUSFORDERUNG: DER CSC SECURITY STACK

Cybersecurity als strategische Herausforderung

Embed Size (px)

DESCRIPTION

In diesem Whitepaper stellen wir ein vierschichtiges Modell, den Security Stack, vor. Er soll die Komplexität der Cybersecurity-Problematik verdeutlichen und umfassende, effiziente Lösungen aufzeigen.

Citation preview

Page 1: Cybersecurity als strategische Herausforderung

Whitepaper

CYBERSECURITY ALS STRATEGISCHE HERAUSFORDERUNG:DER CSC SECURITY STACK

Page 2: Cybersecurity als strategische Herausforderung

Dieses Whitepaper basiert auf dem englischen Original „The Security Stack – A Model for understanding the Cybersecurity we need“ und wurde sowohl sprachlich als auch inhaltlich dem deutschsprachigen Raum angepasst.

Autoren der Originalfassung sind Carlos Solari, Vice President of Cy-ber Technology and Services bei CSC, Dean Weber, Director und Cy-ber Solutions Architect bei CSC USA, Victor Harrison, Leiter der CSC US Public Sector Distinguished Engineering Group.

Das Original kann unter folgender Adresse bezogen werden:

http://www.csc.com/cybersecurity/insights/53094-the_security_stack_a_white_paper

Page 3: Cybersecurity als strategische Herausforderung

s

I

DER CSC SECURITY STACK

EINLEITUNG

Die Angriffe auf IT-Systeme von Unternehmen, Verwaltungen und Regierungen haben sich in jüngster Zeit deutlich verändert. Vor allem der Stuxnet-Wurm markierte 2010 den Beginn einer neuen Ära für IT-Bedrohungen. Er wurde von Experten gezielt darauf prog-rammiert, Sicherheitslücken einer ganz speziellen IT-Infrastruktur auszunutzen und ganze Computersysteme zu sabotieren. Seitdem wird fast täglich über Vorfälle von Industriespionage und Cyberwar in den Medien berichtet. Galt es früher, lokale Netze und Systeme zu schützen, die allenfalls von einzelnen Hackern bedroht wurden (Perimeterschutz, der „Burggraben“-Ansatz), so haben sich die Cybersecurity-Anforderungen heute vor allem in technischer, motivischer und rechtlicher Hinsicht geändert. Wir brauchen dem-nach auch eine neue Art, über diese Bedrohungen nachzudenken und zu handeln. Technische Innovationen wie quasi allgegenwärtiger (mobiler) Inter-netzugang und Cloud Computing oder auch der „Bring your own device“-Ansatz haben zu einer räumlichen Verteilung der zu vertei-digenden Infrastruktur geführt. Gleichzeitig haben sich die Motive und damit das Angriffspotenzial verändert. Während früher Hobby-Hacker bekannte Schwachstellen über vorgefertigte Tools ausnutz-ten, attackieren heute gut organisierte Banden oder gar staatlich unterstützte Spione gezielt sensible Systeme. Mit dem Schlagwort „Advanced Persistent Threats“ etwa werden Bedrohungen bezeich-net, in denen der Angriff nicht „frontal“ und offensichtlich, sondern sehr geschickt und zurückhaltend, dafür jedoch über einen langen Zeitraum und auf strategische Ziele fokussiert erfolgt. Dahinter ste-cken mächtige Organisationen, Firmen im aggressiven Wettbewerb oder Geheimdienste, die ein ganz spezielles Ziel mit diesem Angriff verfolgen und unbedingt erreichen wollen. Die Firma RSA ist z. B. überzeugt, dass der gegen sie gerichtete bekannte Angriff 2011 auf einen staatlichen Geheimdienst zurückzuführen ist. In rechtlicher Hinsicht schließlich sind Unternehmen und Organisationen heute immer häufiger mit zunehmenden staatlichen Regulierungsaktivitä-ten konfrontiert, etwa beim neuen Energiesicherheitsgesetz. Angesichts der neuen Herausforderungen zeigt sich, dass die Si-cherung unternehmens- und verwaltungsrelevanter Prozesse und Daten heute eine strategische Herausforderung geworden ist, die nicht allein durch Einzelmaßnahmen abgedeckt werden kann. Nur ein umfassender Ansatz, der alle Schutzmaßnahmen integriert, kann das Funktionieren von Geschäfts- und Verwaltungsprozessen nachhaltig gewährleisten. Die entscheidende Frage für Politik, Ver-waltung und Wirtschaft lautet somit nicht mehr „Wie schütze ich meine lokalen IT-Systeme?“, sondern „Wie sichere ich ganzheitlich und möglichst proaktiv meine globalen Geschäftsprozesse und Da-ten?“

Page 4: Cybersecurity als strategische Herausforderung

II

DIE CSC SECURITY STACK

DER CSC SECURITY STACK

In diesem Whitepaper stellen wir ein vierschichtiges Modell, den Security Stack, vor. Er soll die Komplexität der Cyber-security-Problematik verdeutlichen und umfassende, effiziente Lösungen aufzeigen. Wir verwenden den Begriff „Stack“ (dt.: Stapel) ausdrücklich in Analogie zu ähnlichen, bereits etablier-ten Schichten-Modellen wie dem Open System Interconnecti-on Model (OSI-Modell). Sie stellen Services auf unterschiedli-chen Ebenen bereit, durch deren Zusammenwirken der erfor-derliche Sicherheitseffekt erreicht wird. Insofern impliziert der Terminus „Service Stack“, dass Sicherheit nur durch ein integ-riertes Paket verschiedener Services zu gewährleisten ist. Dieser Artikel beschreibt die einzelnen Schichten und liefert Beispiele für die erforderlichen Technologien, Standards und die damit verbundenen Security-Dienstleistungen. Er zeigt außerdem auf, welche Technologien, Standards und Richtli-nien noch der Entwicklung beziehungsweise Umsetzung be-dürfen, damit der Informationsaustausch zwischen den einzel-nen Schichten so schnell erfolgt, dass mit der Dynamik der Bedrohungen Schritt gehalten wird. Das Modell des Security Stack folgt der Maxime, dass Infor-mations- und Kommunikationstechnologie (IT) auf Architektu-ren basiert und dass Sicherheit ein wesentliches Merkmal solcher IT-Architekturen sein muss. Genau wie bei einem si-cheren Gebäude, dessen Stabilität und Funktion von der In-tegrität der verschiedensten Gewerke – Fundament, Mauer-werk, Elektro-/Wasserinstallation etc. – abhängt, ist integrierte Cybersecurity unverzichtbar im Design einer IT-Architektur, soll diese nachhaltig widerstandsfähig sein. Der Artikel schließt mit einer Auflistung der vielfältigen Vorteile des Secu-rity Stack: Er stellt nicht nur Leitlinien für Integrationsaktivitä-ten dar und weist auf die Erfordernis für eine bessere Zusam-menarbeit in der Organisation hin, sondern begründet auch, warum ein Schutz vor heutigen und ausgeklügelten zukünfti-gen Bedrohungen niemals durch eine einzige Security-Ebene gewährleistet werden kann.

Page 5: Cybersecurity als strategische Herausforderung

1

DER CSC SECURITY STACK

EINFÜHRUNG – WAS IST EIN SECURITY STACK, UND WOFÜR BRAUCHEN WIR IHN?

Bislang beschränkte sich IT-Sicherheit auf Schutzfunktionen einzelner Produkte, deren Nutzung dem Endkunden überlas-sen blieb. Dieser Ansatz funktioniert heute nicht mehr, wenn er es überhaupt jemals getan hat. Die heutige Gesellschaft ist von vernetzten Systemen extrem abhängig geworden – bislang jedoch ohne adäquaten Schutz dieser Systeme. Unsere Wertschöpfungsketten hängen von IT-Systemen ab, deren Sicherheit unzureichend ist. Das Un-gleichgewicht zwischen Nutzen (z. B. schnelle und einfache Bedienung) und Risiken steigt deutlich an. Es kommt in besonderem Maße darauf an, Nutzen und Risi-ken besser abzuwägen, indem man die möglichen Verluste und Konsequenzen berücksichtigt. Cyberrisiken gefährden unsere kritischen Infrastrukturen wie z. B. Verkehrs-, Energie-, Finanz- und Gesundheitssysteme grundlegend. Wir können und müssen diese Probleme lösen. Es geht jetzt darum, die Rahmenbedingungen zu schaffen, unter denen wir die He-rausforderungen heute erkennen und für morgen lösen. Wir benötigen einen ganzheitlichen Ansatz, wie den Security Stack. Der Vergleich mit anderen Schichten-Modellen ist dabei als Analogie zu verstehen. Der Internet Stack oder das OSI-Modell beispielsweise sind ebenfalls in Service-Ebenen ge-gliedert, die interagieren und Informationen austauschen. In ihrer Gesamtheit bilden diese Ebenen ein funktionales Netz, das eine Applikation oder einen Service auf übergeordneter Ebene zur Verfügung stellt. Das Modell an sich ist nichts als eine vereinfachte Darstellung, wie eine Bierdeckel-Skizze. Es erleichtert das Verständnis eines großen Problemkomplexes, indem es diesen in überschaubare Komponenten – die einzel-nen Ebenen – gliedert. In mancher Hinsicht bildet der Security Stack einen Rahmen für zukünftige Entwicklungen. Schon heute mangelt es nicht an einem breiten Angebot unterschiedlichster Sicherheits-technologien. Nur werden diese bislang unabhängig vonei-nander eingesetzt. Der Security Stack veranschaulicht, wel-chen Nutzen ihre Integration bringen könnte – in gleicher Wei-se, wie das OSI-Modell der Verdeutlichung zukünftiger Netz-werk-Integration dient. Bislang beschränkte sich Cybersecurity auf mehr oder minder fokussierte Ansätze und Add-on-Technologien, deren Nutzung dem Endkunden überlassen blieb. Trotz jährlicher Investitio-nen in Milliardenhöhe durch Unternehmen und Behörden wachsen die Risiken ständig und die Schadensmeldungen nehmen kontinuierlich zu. Mit einfach aufgesetzten Sicher-heitsinstrumentarien können heutige komplexe Systeme kaum noch geschützt werden, weil sie die Bedrohungen innerhalb

Bislang beschränk-

te sich die IT-

Sicherheit auf

Schutzfunktionen

einzelner Produk-

te, deren Nutzung

dem Endkunden

überlassen blieb.

Dieser Ansatz

funktioniert heute

nicht mehr, wenn

er es überhaupt

jemals getan hat.

Page 6: Cybersecurity als strategische Herausforderung

2

DER CSC SECURITY STACK

des Netzes nicht abdecken. Deshalb musste Microsoft 2003 eigens den monatlichen „Patch Day“ für Schwachstellen im System einführen; deshalb konnte ein Wurm wie Sasser 2004 Pufferüberläufe ausnutzen, um Root-Privilegien zu erhalten.

Aus dem gleichen Grunde konnte Conficker angreifbare Com-puter übernehmen. Und dies waren alles noch relativ unge-zielte und rein technische Angriffe. Die aufkommenden Ad-vanced Persistent Threats (APTs) sind gezielt und nutzen jedwede technische, organisatorische und auch soziale Schwäche aus.

Die heute typischen Security Overlays wie Firewalls und IDS-Systeme haben ohne Zwei-fel ihren Wert, aber sie sind unzureichend. Systemische Sicherheit muss bei der Konzep-tion von Beginn an angelegt sein – daher der Begriff „Security by Design“. Nehmen wir die beiden unteren Ebenen des Security Stack: Ebene 1, „Sichere Infrastruktur: Sichere Sys-teme, Anwendungen und Daten gewährleis-ten“, und Ebene 2, „Sicherheitsschicht: Ang-riffe verhindern, erkennen und reagieren“. Beide beinhalten klassische Sicherheitsmaß-nahmen wie Penetrationstests und Firewalls und sind unverzichtbar, aber selbst ihre Kom-bination reicht nicht aus. Um wirklich sicher zu sein, brauchen wir einen umfassenderen, proaktiven Schutz. Wir benötigen dafür ein „Situationsbewuss-tsein: Ganzheitliches Management der integ-rierten Verteidigungssysteme“. Dies entsteht durch konsequente Beobachtung des Cy-

berspace – sowohl innerhalb als auch außerhalb unseres ei-genen Netzwerks. Dies geschieht auf Ebene 3, der Korrelati-ons-, Auswertungs- und Berichtsebene. Hier sind Systeme angeordnet, die Sensor-Informationen langfristig aufbewah-ren, miteinander korrelieren und aggregieren. Über diese lang-fristigen Analysen sind Trendaussagen möglich und es kön-nen auch global verteilte und zeitlich versetzte Angriffe er-kannt werden. Vorausschauende Abwehrmaßnahmen sind möglich; es können z. B. Ports geschlossen und angemesse-ne organisatorische Reaktionen eingeleitet werden, bevor ein tatsächlicher Angriff überhaupt beginnt. Darüber ist eine vierte Ebene wünschenswert: Nationale Sicherheitsstrategie: Integ-ration in nationale Strukturen und internationale Vernetzung. Auch die Verteidigung von Landesgrenzen erfolgt zumindest teilweise im Cyberspace. Es wirkt paradox: Physische Gren-zen sind zu verteidigen, obwohl der Cyberspace selbst keine geografischen Grenzen kennt. Dennoch ist der Cyberspace vom physischen Raum nicht zu trennen, weil wir physische Wesen sind. Auch wenn die Pioniere des Internets einen von den alten Konventionen befreiten Cyberspace erträumten – die Realität ist eine andere. Auch im Cyberspace müssen wir feindliche Handlungen abwehren können, die reale Interessen auf unserem Territorium bedrohen. Das Instrumentarium dazu liegt in der vierten Ebene. Staatliche Cyber-Response-

Grafik 1: Der CSC Security Stack

Die heute typi-

schen Security

Overlays wie Fire-

walls und IDS-

Systeme haben

ohne Zweifel ihren

Wert, aber sie sind

unzureichend.

Page 7: Cybersecurity als strategische Herausforderung

3

DER CSC SECURITY STACK

Maßnahmen ermöglichen den Schutz der nationalen Souve-ränität und den Schutz von Bürgern und kritischen Infrastruk-turen eines Landes. Zusammen ergeben diese vier Ebenen das Security-Stack-Modell, wie es in Grafik 1 abgebildet ist. Anders als beim OSI-Modell sind seine Ebenen nicht statisch voneinander abzu-grenzen. Das Modell bedeutet aber auch nicht, dass keine dieser Sicherheitsebenen ohne die anderen existieren kann. Bis heute sind viele wichtige Systeme fast ausschließlich durch Ebene 2 und evtl. noch Ebene 1 geschützt. Es wird je-doch zunehmend offensichtlicher, dass das nicht reicht. Der Security Stack hilft zu verdeutlichen, dass der Komplexität der Sicherheitsbedrohungen nur durch eine Kombination aller vier Ebenen beizukommen ist. Nur unter Beachtung aller vier Ebe-nen lassen sich Nutzen und Risiken von Cybersystemen bes-ser abwägen. DER SECURITY STACK IM DETAIL

Ebene 1 – Sichere Infrastruktur: Sichere Systeme, An-wendungen und Daten gewährleisten

Ebene 1 basiert auf Technologien und Instrumentarien wie Betriebssystemhärtung, Datenverschlüsselung und anderen „internen“ Sicherungsmechanismen auf Applikationsebene. Ein anderes Beispiel ist das sogenannte Whitelisting: Nur be-sonders autorisierte Software darf zum Einsatz kommen. Da-zu gehören Methoden, um die Herkunft einer Software aus einer verlässlichen Quelle zurückzuverfolgen. Die Verwen-dung von Trust Anchors wie dem Trusted Platform Module (TPM) ist ein weiteres Beispiel. Herkunft, Integrität und Ver-trauenswürdigkeit der Software sind das A und O auf Ebene 1. Strikte Konfigurationsmanagement-Prozesse sind hier unver-zichtbar. Ebene 1 generiert Informationen wie beispielsweise Log-on-Versuche und gibt sie an Ebene 2 weiter. Zu den Kerninstrumenten auf Ebene 1 zählt weiterhin die strik-te Einhaltung von Prozessstandards, die auf dem Erfahrungs-schatz und Wissen von Organisationen wie der Trusted Com-puting Group (TCG), IEEE, OASIS und anderen beruhen. ITU/T X.805 ist ein solcher Standard für das Design von Netzwerken; ISO 27000 regelt Policys und Prozesse. Die Common Criteria (ISO 15408) geben Richtlinien für die siche-re Softwareentwicklung an die Hand. Die Gesamtheit dieser Standards liefert die Grundlage für das Design sicherer Kom-ponenten, Software und IT-Dienste. „Intrinsically Secure Sys-tems“ ist dafür eine passende Beschreibung. Der Informationsaustausch zwischen den Ebenen 1 und 2 (wie z. B. die Übergabe von Protokollen der Ebene 1 an Ebe-ne 2) kann erheblichen Umfang annehmen. Die nötige Ge-schwindigkeit für das rechtzeitige Erkennen von Anomalien ist nur durch die direkte Kommunikation auf Maschinenebene, also ohne menschliches Eingreifen, zu erzielen. Dies wiede-rum erfordert einheitliche Datenformate und -strukturen. Zu

Nur unter Beach-

tung aller vier

Ebenen lassen

sich Nutzen und

Risiken von Cyber-

systemen besser

abwägen.

Page 8: Cybersecurity als strategische Herausforderung

4

DER CSC SECURITY STACK

diesen Informationen zählen Status-Reports (Ebene 1 an 2) an eine Anwendung, die Entscheidungsregeln zur Verarbei-tung von Sicherheitsinformationen anwendet (Ebene 2 an 1). Dies beinhaltet auch das automatische Auslösen von Ab-wehrmaßnahmen wie das Schließen von Ports, das Verwei-gern unautorisierter Konfigurationsänderungen oder das Alarmieren von Experten in einem Security Operations Center. Für Ebene 1 steht bei CSC eine Reihe professioneller Sicher-heitsdienstleistungen bereit. Ausgehend von Common-Criteria-Beratung und -Evaluationen (sichere Softwareentwick-lung) über statische und dynamische Code Reviews, Penetra-tionstests gegen Netzkomponenten, Betriebssysteme, An-wendungsserver oder den Anwendungen und schließlich auch Beratung zum sicheren Netzdesign, Betriebssystemhärtungen etc. Managed Services für z. B. regelmäßige Vulnerability As-sessments oder Konformitätsprüfungen der technischen Kon-figuration der Systeme zu vorgegebenen Policys runden das Angebot ab. Ebene 2 – Sicherheitsschicht: Angriffe verhindern, erken-nen und reagieren

Die Ebene 2 umschreibt die klassischen Sicherheitsinstrumen-te wie Firewalls, Intrusion-Detection-Systeme oder auch Vi-renscanner. Sie umfasst eine Reihe von Kontrollmechanismen auf Netzwerk- und Applikationsebene. Auf dieser Ebene wird „defense in depth“ implementiert, wenn der Schutzbedarf es erfordert. Aus verschiedenen Gründen hat die Security-Branche hier Speziallösungen auf den Markt gebracht, die bestimmte Sicherheitslücken in der Systemarchitektur schlie-ßen. So sollen Web-Application-Firewalls die grundlegenden Probleme lösen, die bei der Kommunikation zwischen Web-servern und unbekannten Kunden über ein „anonymes“ Netz-werk entstehen. Antiviren-Software und ihre Updates sollen Computer gegen bekannte und noch unbekannte bösartige Software schützen. Weil die Vernetzung unserer Systeme so komplex und unü-bersichtlich ist, stellen die Verbindungen eine ideale Spielwie-se für alle Hacker dar, die sie aus Gewinnsucht ausnutzen oder aus anderen Gründen beschädigen wollen. Viele Lösun-gen und Technologien stehen bereit, um Schwachstellen im Netz zu beheben. Von entscheidender Bedeutung bleibt je-doch der Informationsaustausch zwischen diesen Sicherheits-komponenten. Er wird erschwert durch mangelnde Interope-rabilität, verursacht etwa durch inkompatible Datenformate von verschiedenen Produkten und Sensoren, was den Infor-mationsabgleich und damit die Echtzeit-Erkennung von Angrif-fen verzögert. Standardisierungsgremien wie IEEE und TCG bemühen sich um Abhilfe, aber das braucht Zeit und schafft neue Probleme für die Anbieter derartiger Lösungen. Vielfach sind zunächst neue Schnittstellen-Technologien zu entwi-ckeln. Auch für Ebene 2 bietet CSC diverse Services an: über die Beratung zu Netzwerksicherheitssystemen wie Firewalls, IDS/IPS, NAC/NAP, Proxies etc. oder hostbasierten Sicher-

Viele Lösungen

und Technologien

stehen bereit, um

Schwachstellen im

Netz zu beheben.

Von entscheiden-

der Bedeutung

bleibt jedoch der

Informations-

austausch zwi-

schen diesen

Sicherheits-

komponenten.

Page 9: Cybersecurity als strategische Herausforderung

5

DER CSC SECURITY STACK

heitssystemen wie Virenscanner, HIDS, Festplattenverschlüs-selung, Endpoint Protection, Data Loss Prevention etc. oder auch zu Prozessen zum Management der Regeln (Beantra-gung, Genehmigung, Dokumentation, Audit) und Einbindung in das firmenweite Sicherheitsmanagementsystem über be-triebliche Prozesse z. B. nach ITIL. Auch hier wirken ergän-zend unsere Managed Services wie der Betrieb der Firewalls oder der IDS/IPS-Systeme. Bemerkenswert ist hier, dass CSC über viele Jahre hinweg die Regeln für IDS/IPS-Systeme ver-feinert hat und damit deutlich bessere Erkennungsraten bieten kann, als jeder Eigenbetrieb es ermöglicht. Zudem wirken sich erkannte Angriffe bei einem Kunden und die damit verbunde-nen Regelanpassungen auch automatisch positiv auf alle an-deren Kunden aus – und das global. Ebene 3 – Situationsbewusstsein: Ganzheitliches Mana-gement der integrierten Verteidigungssysteme

Der anonyme Charakter des Internets sowie einige Eigen-schaften des TCP/IP-Standards erschweren die Identifikation von potenziellen Angreifern. Wir brauchen für die Absicherung daher mehr Informationen bezüglich aller Vorgänge innerhalb und außerhalb der Systemgrenzen. Aus diesen vielen Infor-mationen lässt sich über die Zeit hinweg „Wissen“ erzeugen. Wir wissen dann, was um uns herum vorgeht, können Ten-denzen erkennen und proaktiv reagieren. Das ist es, was wir als Situationsbewusstsein bezeichnen. Situationsbewusstsein entsteht durch lückenlose Wachsamkeit auf Basis der dafür wichtigen Informationen. Im Cyberspace ist dies nur be-schränkt möglich.

Wir haben begonnen, diese Grenzen zu überwinden. Dazu gehört beispielsweise, die Vertrauenswürdigkeit von IP-Adressen auf der Basis ihrer bisherigen und gegenwärtigen Aktivitäten stärker zu werten. Browser-basierte Aktivitäten werden für sogenannte Reputation-Services und für einheit-liche Filter-Verfahren der Informationsquellen eingesetzt. „Re-putation“ wird zunehmend zum Entscheidungskriterium im Situationsbewusstsein eingesetzt. Noch wird der Herkunfts-nachweis von Software nur selten als Kriterium für ihre Ver-trauenswürdigkeit herangezogen. Das Konzept ist jedoch auf dem Vormarsch. Das Situationsbewusstsein leidet auch unter der babyloni-schen Sprachverwirrung bei der Datenkommunikation. Wir brauchen Kommunikationsmechanismen, die die Zusammen-führung von Datenquellen erleichtern. Ob es um Reputation, Quelle-Ziel-Abgleiche oder einfach die Bestätigung geht, dass unsere DNS-Anfrage an einen vertrauenswürdigen Anbieter ging – was wir brauchen, ist ein einheitliches Vorgehen. Sys-teme, die ein solches Vorgehen unterstützen, nennt man Ent-scheidungshilfe-Systeme. Sie helfen uns bei der Einschät-zung, mit welchen Auswirkungen zu rechnen ist, wenn wir bestimmte Informationen auf bestimmte Art und Weise nutzen. Unser situatives Bewusstsein ist auch deshalb noch unterent-wickelt, weil unsere Entscheidungshilfe-Systeme nicht gut genug sind. Die Identifikation von Bedrohungen und Abwehr-maßnahmen stützt sich auf unzureichende Datenquellen (Pro-

Page 10: Cybersecurity als strategische Herausforderung

6

DER CSC SECURITY STACK

tokolle) und unvollständige Filterregeln. Allerdings bemüht die Industrie sich um schnelle Abhilfe. Dass wir immer noch keine automatisierten Abwehrmaßnah-men haben, liegt nicht zuletzt daran, dass es noch keine Ent-scheidungshilfe-Systeme gibt, die bestimmte Transaktionen, Updates oder andere Handlungen effektiv verhindern können. Die Automatisierung zukünftiger Schutzmaßnahmen hängt maßgeblich von der Etablierung von Vertrauensbeziehungen ab. Situationsbewusstsein ist daher ein erster Schritt in Rich-tung auf ein Schutzsystem, das in „Internet-Zeit“ agiert. CSC bietet auf der Ebene 3 insbesondere die Korrelation von Ereignissen und die langfristige Auswertung dieser Daten in mehreren Service Levels an. Der Bronze-Level enthält nur das reine Sammeln und Aufbewahren der Informationen und ein einfaches, regelmäßiges und standardisiertes Reporting, wäh-rend im Gold-Level umfangreiches, regelmäßiges Reporting auch mit kundenspezifischen Regeln und Warnungen bei aku-ten Gefährdungen möglich ist. Ebene 4 – Nationale Sicherheitsstrategie: Integration in nationale Strukturen und internationale Vernetzung Die vierte Ebene ist eine jüngere Entwicklung, die die Domäne der Cybersecurity bedeutend erweitert. Hier überschneiden sich private Interessen mit denen der nationalen Sicherheit. Ebene 4 unterscheidet sich von den anderen insofern, als sie den eigenen Bereich verlässt und eine – wenngleich schmale – Brücke zwischen dem öffentlichen und privaten Sektor zu schlagen versucht. Dabei nimmt der Staat in Hinblick auf be-stimmte Funktionen die Rolle des Beschützers ein. Wie immer bei staatlichen Eingriffen ist hier die Balance zwischen einem Zuviel und Zuwenig zu finden. Ein heutiges Problem liegt dar-in, dass Bedrohungen quasi aus dem Nichts, also in „Internet-Zeit“ auftauchen. Der Informationsaustausch zwischen Behör-den und Betreibern von kritischen Infrastrukturen läuft jedoch immer noch in bürokratischen Zeitdimensionen ab – falls überhaupt. Kritische Infrastrukturen wie Telekommunikations-, Energie- und Finanznetze sind im Interesse der nationalen Sicherheit zu schützen; das aber erlaubt keine bürokratischen Verzögerungen. Ebene 4 beinhaltet u. U. auch Themen wie offensive Cyber-security-Maßnahmen. Dieses Whitepaper beschränkt sich jedoch auf den defensiven Austausch von Bedrohungsinfor-mationen. Alarmierungen müssen nahezu in Echtzeit erfolgen und von den einschlägigen staatlichen Einrichtungen an andere staat-liche Einrichtungen, an andere Staaten und multinationale Organisationen (z.B. NATO, UNO, EDA, ENISA), aber auch die Privatwirtschaft (z. B. an deren CERT, SIRC, SOC) wei-tergegeben werden, die sicherheits-relevante Infrastrukturen und Dienstleistungen bereitstellen. Natürlich ist auch eine Alarmierung oder zumindest Information in die Gegenrichtung möglich und gewünscht, damit

Ein heutiges Prob-

lem liegt darin,

dass Bedrohungen

quasi aus dem

Nichts, also in

„Internet-Zeit“ auf-

tauchen. Der In-

formationsaus-

tausch zwischen

Behörden und Be-

treibern von kriti-

schen Infrastruktu-

ren läuft jedoch

immer noch in bü-

rokratischen Zeit-

dimensionen ab –

falls überhaupt.

Page 11: Cybersecurity als strategische Herausforderung

7

DER CSC SECURITY STACK

„Situationsbewusstsein” auch auf nationaler Ebene erreicht werden kann. Ebene 4 kommt beispielsweise zum Einsatz, wenn ein ande-rer Staat versucht, die Systeme zur nationalen Stromversor-gung (Kraftwerke, Umspannwerke etc.) über das Internet aus-zuspionieren oder zu stören. Hier ist enge Zusammenarbeit zwischen allen Energieversorgern und Behörden gefragt, um die tatsächliche Bedrohung abzuwehren und nationale Inter-essen durch staatliche Reaktionsmechanismen zu verteidigen. Das Konzept ist nicht neu, es wird nun lediglich auf den Cy-berspace angewendet. Organisationseinheiten wie die Com-puter Emergency Response Teams (CERTs) spielen auf Ebe-ne 4 eine wichtige Rolle, indem sie einen der wenigen existie-renden Prozessstandards für den Informationsaustausch be-reitstellen. So fördern und institutionalisieren sie die Zusam-menarbeit zwischen privatem und öffentlichem Sektor. Der Anfang ist gemacht – die Bestimmung von Ebene 4 ist es jedoch, die Reaktionsfähigkeit auf nahezu Echtzeit zu be-schleunigen. Gleichzeitig muss sie nationale Cyberinteressen im politischen Prozess etablieren helfen. Dies ist teilweise absolutes Neuland. Die Auswirkungen auf die nationale und internationale Politik sind noch nicht vollständig absehbar. Der Informationsaustausch auf Ebene 4 ist verwandt mit dem auf Ebene 3: Staatliche Sicherheitseinrichtungen können und müssen Sicherheitssysteme im privaten Sektor rechtzeitig alarmieren. Bislang erfordert dies in der Regel Kommunikation zwischen Menschen. Für eine automatisierte Kommunikation gibt es jedoch hinreichende Entwicklungsmöglichkeiten; bilate-rales Situationsbewusstsein ist nur ein Stichwort in diesem Zusammenhang. Wie auf allen Ebenen ist Schnelligkeit das maßgebliche Kriterium. Diese wiederum hängt vom Standar-disierungsgrad ab, der es Maschinen ermöglicht, Informatio-nen zu sammeln, zu filtern und abzugleichen und auf dieser Basis den Analysten perfekt vorbereitete Entscheidungsvorla-gen an die Hand zu geben.

Page 12: Cybersecurity als strategische Herausforderung

8

DER CSC SECURITY STACK

DER SECURITY STACK IM VERHÄLTNIS ZU ANDEREN REFERENZARCHITEKTUREN UND ALS INTEGRALER BESTANDTEIL DER SYSTEM-ARCHITEKTUR

Ein fundamentaler Glaubenssatz unter Sicherheitsexperten lautet: „Sicherheit muss eingebaut und nicht aufgesetzt sein.“ Das ist jedoch leichter gesagt als getan. Der Schlüssel zu „in-tegrierter Sicherheit“ liegt in der Erkenntnis, dass der Security Stack nichts anderes als eine besondere Art und Weise ist, ein System, das System der Systeme oder eine umfassende Umgebung zu betrachten.

Ein Datenarchitekt zum Beispiel wird ein Sys-tem immer als eine Anordnung von Datensät-zen, -flüssen und -zusammenhängen wahr-nehmen. Der Enterprise-Architekt hingegen sieht eine Anordnung von Komponenten, Schnittstellen, Daten und Speichern. Der technische Architekt wiederum denkt an Ser-ver, Firewalls, Router, Serverfarmen und so weiter. Keine dieser Betrachtungsweisen lie-fert ein korrektes Bild. Jede aber ist unverzich-tbar für eine vollständige Beschreibung der Landschaft. In diesem Sinne ist auch der Se-curity Stack lediglich eine architektonische Darstellungsweise, die der Vollständigkeit hal-ber zu liefern ist. Sie berücksichtigt Nutzungs-absichten und Betriebsumgebungen. Die vier-schichtige Gliederung hilft, die richtigen Si-cherheitsentscheidungen zu treffen und ver-hindert den unkoordinierten Einsatz punktuel-ler Lösungen.

Grafik 2 verdeutlicht, wie sich der Security Stack zu anderen Architektur-Ansichten verhält. Er ist eine von vielen Bestand-teilen der gesamten System-Architektur, die sich aus einer Ansammlung der verschiedensten Darstellungen zusammen-setzt. Sie alle gemeinsam definieren die Elemente des Sys-tems im Kontext seiner Umgebung. Wie bei einem Biotop oder Ökosystem sind alle Elemente voneinander abhängig. In glei-cher Weise wirkt der Security Stack auf die anderen darges-tellten Sichtweisen der Gesamtarchitektur ein – und umge-kehrt. Nur in einer solchen Wechselwirkung ist Sicherheit ein-gebaut und nicht aufgesetzt. Die gleichen Erwägungen müssen bei der Konzeption des System-Lifecycle angelegt werden: Das Sicherheitssystem in seiner Gesamtheit ist, visualisiert als Security Stack, von der Definition der Funktionsanforderungen über die technische und fachliche Konzeption bis hin zu Programmierung, Validie-rung und Inbetriebnahme des Gesamtsystems einzubeziehen.

Grafik 2: Architektur Ökosystem

Page 13: Cybersecurity als strategische Herausforderung

9

DER CSC SECURITY STACK

DIE VORTEILE DES SECURITY-STACK-MODELLS Modellhafte Betrachtungen haben sich bewährt, und auch bei dem Security Stack sind die Vorteile offenkundig: Er verschafft Übersicht und hilft, ein komplexes Funktionsgefüge zu erklä-ren und zu organisieren. Der größte Gewinn liegt jedoch in der Erkenntnis, dass speziell bei dem Security Stack keine Ebene an sich ausreichend sein kann. Hier wird deutlich, dass die IT-Branche möglicherweise den Wald vor lauter Bäumen nicht sieht. Der Security Stack bietet die Plattform, von der aus man über die Wipfel blicken kann. Software, die gleichzeitig effizient und unempfindlich gegen Angriffe sein soll, kann und muss notwendigerweise Kompro-misse eingehen. Um im Kontext des Security Stack voll funkti-onsfähig zu sein, muss Software Teil einer durchdachten Netzwerkarchitektur sein, die beim Austausch von Daten oder Endnutzer-Informationen ihre Schnittstellen schützt, bei-spielsweise durch Verschlüsselung der Kommunikationspfade zwischen den einzelnen Netzwerk-Komponenten. Das Securi-ty-Stack-Modell verdeutlicht jedoch auch, dass der Schutz von Schnittstellen zwar notwendig, aber keinesfalls hinreichend ist. Ebenfalls unverzichtbar ist ein robustes integriertes Security Overlay auf Ebene 2 sowie die Ebene 3, auf der SIEM-Software (Security Incident and Event Management) hilft, die Anzeichen eventuell vielschichtiger und komplexer Attacken zu verknüpfen und zu erkennen. Auf Ebene 3 erfolgt auch der Abgleich für eine externe Sicht des Angriffs. Handelt es sich um eine nationale Bedrohung, kommt Ebene 4 mit geeigneten staatlichen Abwehrmaßnahmen zum Einsatz. Der Security Stack kann auch dazu dienen, geeignete Richt-linien von der Netzwerkebene bis hinauf auf die staatliche Ebene zu entwickeln. In seiner Abstraktion verdeutlicht das Modell, dass Integration unverzichtbar ist und dass Regeln und Standards für schnelleren Informationsaustausch erfor-derlich sind. Auf Ebene 3 wird klar, dass ein Situationsbe-wusstsein von höchster Wichtigkeit ist, dass dieses aber ohne gut strukturierte, integrierte Formate für den Datenaustausch kaum schnell genug zu erreichen ist. Auf diese Weise kann der Security Stack auch helfen, den nötigen Druck für über-greifende Zusammenarbeit aufzubauen, und zwar nicht nur auf Ebene der allgemeinen Vorgaben, sondern auch in techni-scher Hinsicht, wo Standards extrem sinnvoll sind.

Hier wird deutlich,

dass die IT-

Branche mögli-

cherweise den

Wald vor lauter

Bäumen nicht

sieht. Der Security

Stack bietet die

Plattform, von der

aus man über die

Wipfel blicken

kann.

Page 14: Cybersecurity als strategische Herausforderung

10

DER CSC SECURITY STACK

ZUSAMMENFASSUNG

Unsere IT-Systeme zeichnen sich durch zunehmende Komp-lexität aus. Darüber hinaus sind sie untrennbar vernetzt mit kritischen nationalen Infrastrukturen (auch solchen physischer Natur). Die IT-Gemeinschaft muss darauf dringend reagieren. Ein angemessener Schutz der IT-Systeme verlangt entspre-chend ausgereifte Schutzsysteme. Die Architektur von IT-Systemen und ihren Daten muss demzufolge inhärente Si-cherheitsmerkmale beinhalten; Systeme und Daten brauchen jeweils eigene Sicherheitsmerkmale. Es muss geeignete Auf-klärung nach innen wie nach außen stattfinden; wir brauchen dringend zuverlässige Frühwarnsysteme. Zu guter Letzt müs-sen wir die Wechselwirkung zwischen privatem und öffentli-chem Sektor endlich ernst nehmen. Die Abschnitte II und III dieses Whitepapers liefern Definitio-nen und beschreiben die Rolle von Sicherheitsarchitekturen im Kontext anderer Architekturmodelle. Wir empfehlen eine strukturierte Herangehensweise auf Basis des Modells und der damit verbundenen Standards. Der Security Stack zerlegt das Problem und visualisiert die notwendige Integration an-hand eines vierschichtigen Modells. Unsere derzeitige Bedro-hungslage ist nicht zuletzt auf das bisherige Fehlen eines ver-gleichbaren Ansatzes zurückzuführen. Wir blicken auf eine Historie von Sicherheitslücken in Programmen aus der Ver-gangenheit zurück, die sich in der Gegenwart auswirken und noch immer in der Systementwicklung unberücksichtigt blei-ben. Diese Sicherheitslücken stellen ein ebenso erhebliches Risiko für Staaten wie Wirtschaft dar.

Page 15: Cybersecurity als strategische Herausforderung

11

DER CSC SECURITY STACK

DIE AUTOREN

Dr. Goswin Eisen ist Leiter des Competence Centers „Cy-bersecurity“ bei CSC in Deutschland. Er verfügt über mehr als 20 Jahre Beratungserfahrung in Themen der Informations-sicherheit, vertritt das Thema IT-Sicherheit bei CSC seit zwölf Jahren und ist verantwortlich für ein Team von 17 Experten und die Entwicklung, den Vertrieb und die Lieferung der Dienstleistungen im Bereich Consulting und System Integra-tion in allen Branchen in Zentraleuropa. Vor seinem Einstieg bei CSC hat er nationale und internationale Grundsteine für das Thema IT-Sicherheit durch die Autorenschaft von Stan-dards im Auftrag des Bundesamtes für Sicherheit in der Infor-mationstechnik (BSI) gelegt. Bei der IABG war er als Abtei-lungsleiter für IT-Sicherheit verantwortlich für ein Experten-Team und das Beratungsgeschäft vorwiegend im öffentlichen und Verteidigungsbereich. Zuvor hat er bei Siemens Entwick-lungserfahrungen in Großrechner-Betriebssystemen gemacht und als Projektleiter die Zugriffskontrollmechanismen in BS2000 verantwortet.

Dr. Philipp S. Müller ist Business Development Director für den Öffentlichen Sektor bei CSC in Deutschland und Acade-mic Dean der Business School (SMBS) der Universität Salz-burg. Bis 2007 war er Professor an der Graduate School for Public Administration and Public Policy of Tecnológico de Monterrey (EGAP – Tec de Monterrey), Mexico, und vor 2003 wissenschaftlicher Mitarbeiter an der Stiftung Wissenschaft und Politik in Berlin. Seine Alma Mater ist die Ludwig-Maxi-milians-Universität in München. Er arbeitet an der Schnittstelle zwischen Politik, Verwaltung, Wirtschaft und Wissenschaft und interessiert sich dafür, wie die Möglichkeiten der digitalen, vernetzten Welt Organisation, Strategie und Führung verän-dern. Anfang 2012 erscheint sein drittes Buch „Machiavelli.net – Strategie für eine vernetzte Welt“ bei Scoventa.

Peter Rehäußer ist Lead Architect für Cybersecurity bei CSC in Deutschland. Seine Kernkompetenzen liegen im IT-Security-Umfeld mit Schwerpunkt auf technologischen Aspek-ten. Dazu gehören neben IT-Sicherheitskonzepten und Audits für komplexe Systeme nach IT-Grundschutz/ISO 27001 eben-so die Erstellung von Studien und Standards, sichere Soft-wareentwicklung und Sicherheitsevaluierungen nach Common Criteria, Betriebssystem- und Netzwerksicherheit, Kryptogra-phie und elektronische Signaturen. Die elektronische Lang-zeitarchivierung ebenso wie Projekte im militärischen und Hochsicherheitsbereichen zählen zu seinen Referenzen. Herr Rehäußer ist Diplom-Informatiker (FH) mit den Schwerpunk-ten auf Softwareentwicklung und Betriebswirtschaft.

Page 16: Cybersecurity als strategische Herausforderung

12

DER CSC SECURITY STACK

Page 17: Cybersecurity als strategische Herausforderung

13

CSC weltweit Amerika Corporate Headquarter USA 3170 Fairview Park Drive Falls Church, Virgina 22042 +1.703.876.1000 www.csc.com Europa, Naher Osten, Afrika Royal Pavilion, Wellesley Road Aldershot, Hampshire GU11 1PZ Großbritannien +44.1252.534000 www.csc.com/uk Australien 26 Talavera Road Macquarie Park, NSW 2113 +61.29034.3000 www.csc.com/au Asien 20 Anson Road #11-01 Twenty Anson Singapur 079912 Republik Singapur +65.6221.9095

CSC in Zentraleuropa Deutschland Abraham-Lincoln-Park 1 65189 Wiesbaden +49.611.142.22222 www.csc.com/de Österreich BC20 Dresdner Straße 47 1200 Wien +43.1.20.777.0 www.csc.com/at Schweiz Grossmattstrasse 9 8902 Urdorf +41.58.200.8888 www.csc.com/ch Osteuropa Radlická 751/113e 158 00 Prag +420.234.707.211 www.csc.com/cz

www.csc.com/sg

Über CSC CSC ist ein weltweit führendes Unternehmen für IT-gestützte Businesslösungen und Dienstleistungen. Mit großem Know-how und fundierter Branchenkenntnis hilft CSC weltweit Kunden, sich auf ihr Kerngeschäft zu konzentrieren, Betriebsabläufe zu optimieren, erfolgreich mit Geschäfts-partnern und Lieferanten zusammenzuarbeiten und komplexe Herausforderungen zu meis-tern. Das präzise Verständnis der Bedürfnisse und Anforderungen unserer Kunden ist die Voraus-setzung für eine erfolgreiche Zusammenarbeit. Als herstellerunabhängiger Dienstleister ent-wickelt CSC individuell maßgeschneiderte Lösungen. Industrieunternehmen und Institutionen der öffentlichen Hand betrauen CSC seit über 50 Jahren mit ihren Geschäftsabläufen und Informationssystemen, mit Systemintegration und Beratungsleistungen. Das Unternehmen ist unter der Marke „CSC“ an der New Yorker Börse notiert. Weitere Informationen über CSC finden Sie auf der deutschen Website von CSC unter www.csc.com/de oder unter www.csc.com.