Cybercrime

Dieter Kochheim, Cybercrime - 20 -leben, oder ehemalige Mitarbeiter, die Ihr Wissenzu schädlichen Aktionen ausnutzen.IT-Sicherheit beschränkt sich dabei nicht auf denBetrieb von Technik. Die Beispiele für das SocialEngineering zeigen deutlich, dass auch das sozialeKommunikationsverhalten – nicht zuletzt mit Kunden,Partnern und in sozialen Netzwerken, die physikalischeSicherheit (Serverräume, Schließanlagen,Zugangskontrollen) und das allgemeine Sicherheitsverständnisaller Mitarbeiter gefordertsind.A.1 8. Bestandteile eines professionellenNetzwerkesIn dem abschließenden Teil werfen wir einen grobenBlick auf die professionelle Organisation vonIT-Sicherheit. Sie verlangt nach einer klaren physikalischenOrdnung, um Quereinstiege und Hintertürenzu vermeiden.A.1 8.1 professionelles FirmennetzOhne eine Firewall am unmittelbaren Netzeingangkommt kein professionelles Netzwerk aus. Erforderlichist eine Hardware-basierende Firewall mitnur einem Eingang und einem Ausgang, die auchnur eine einzige Aufgabe hat: den aus- und vor allemeingehenden Datenverkehr zu überwachen, zuanalysieren, nötigenfalls zu blockieren und ganzbesonders alle Anstrengungen von außen zu unterbinden,protokollierend oder steuernd auf dasInnere des Unternehmens Einfluss zu nehmen (imSchaubild: links oben, roter Block, FW1).Im Hinblick darauf, dass immer mehr Dienste miteinem unmittelbaren Außenkontakt für E-Mail oderdie Unternehmenspräsentation gefordert werden(Internet-Shopping, eGovernment), müssenFirewalls in einem gewissen Maße Außenkontaktezulassen. Es hat sich deshalb in der Praxis mehrund mehr durchgesetzt, dass vor der eigentlichen(produktiven) Unternehmens-IT eine besondersgeschützte Zone errichtet wird, die nur für dieAußenkontakte bestimmt ist (demilitarisierte Zone -DMZ; hellblau unterlegter Bereich).Sie muss von der Unternehmens-IT mit einer weiterenund besonders restriktiv arbeitenden Firewallgetrennt werden (links oben, roter Block,FW2).Rechts oben ist im Bild ein sogenannter Honeypotvorgesehen. Es handelt sich dabei um eineArt Hinterzimmer, in dem interessante und in allerRegel falsche Daten bereit gehalten werden. DerHoneypot ist entweder durch keine Firewallgeschützt oder durch eine, die verhältnismäßigeinfach überwunden werden kann. Zu ihm undseinen "Spieldaten" sollen Angreifer gelocktwerden, um sie von dem internen LANabzulenken und bei ihren Handlungenbeobachten zu können.Ich halte das Honeypot-Konzept für eineinformationstheoretische Spielerei mit mehrerenNachteilen: Es akzeptiert, dass sich Angreifer inder DMZ austoben und die dort vorgehaltenen,keineswegs unwichtigen Daten kompromittierenkönnen. Dazu vernachlässigt es womöglich densicheren Betrieb der Firewall "FW1" undverursacht wirtschaftlich fragwürdige Kosten fürdie Technik und den Betrieb des Honeypots.A.1 8.2 Demilitarisierte Zone - DMZIn der DMZ werden die Geräte und Dienste installiert,die einen unmittelbaren Außenkontaktbenötigen. Untereinander werden sie mit einer(intelligenten) aktiven Netzwerkkomponenteverbunden, einem Switch (oranger Block, Sw). ImGegensatz zu "dummen Datenpumpen" (z.B.einem Hub) kann der Switch Datenverbindungenzielgerichtet lenken und zum Beispiel einemHacker, der die Eingangs-Firewall überwundenhat (FW1), schwer behindern.In die DMZ gehört auf jeden Fall der Webserver(gelber Block, WS), auf den die Kunden und dieÖffentlichkeit zugreifen können. Je nach Bedarfmuss ihm auch ein Datenbankserver zur Seitegestellt werden, der jedenfalls einen Teil derUnternehmensdaten enthält, die der Öffentlichkeitzugänglich gemacht werden sollen.Im Beispiel ist auch der Mailserver in der DMZplatziert worden (gelber Block, MS). SeineAufgaben können jedoch auch getrennt werden.