interview - Hackner Security Intelligence

24
NEWS
Wetten, dass ... Ihr größtes
Betriebsgeheimnis ungeschützt ist?
Wie ein schlechter Sickerwitz, stellt man sich zuerst die Frage,
was ist unser größtes Betriebsgeheimnis: Die Kundenlisten,
die Projektdokumentationen und Strategiepapiere, die Zahlen
auf den Bankkonten oder gar die private Telefonnummer vom
Vorstandsvorsitzenden? Schlussendlich sind es die Passwörter
und Zugangsberechtigungen auf sämtliche Anwendungen und
Datenbanken in jedem Unternehmen oder Organisation.
Tausende Passwörter von Usern und
Administratoren sind im Umlauf
Man stelle sich komplexe IT Landschaften vor, die geografisch
verteilt sind und viele Mitarbeiter, die in verschiedene
„Rollen“ schlüpfen. Eine Buchhalterin hat nicht nur
Zugang zu standardisierten Anwendungen, sondern auch
zum Internetbanking, der FIBU Software und anderen
kaufmännischen Programmen wie SAP. Interessant und
zunehmend komplex wird es bei den IT Administratoren.
Natürlich können sich diese, von vielen für ihre mathematischen
Fähigkeiten bewunderten, auch nicht dutzende
von Passwörtern merken, sondern helfen etwas nach: Pro
Anwendung wird ein Passwort vergeben, das sich diese
dann für längere Zeit im Gedächtnis behalten. Mit dieser
Feststellung wird die gesamte Problematik sofort offenbar,
ohne in technische Details gehen zu müssen: ein Passwort
... für längere Zeit ... im Gedächtnis.
Guter Rat ist teuer - und umsonst
Richtlinien zur Passwortgestaltung gibt es unzählige und
viele sind gut gemeint: Die Länge wird vorgegeben und
auch die zu verwendenden Zeichen, die alle 4 Wochen
zu ändern sind und natürlich nicht auf einem Post-It unter
der Tastatur kleben sollen. Selbst wenn dies eingehalten
wird, vergisst man sein neues Passwort spätestens,
wenn man 2 Wochen auf Urlaub war und auch der Help-
Desk freut sich, dass man wieder zurück ist. Auch der
Auditor ist zumindest milde gestimmt, wenn die zentralen
Passwörter zumindest in einer gesicherten Excel Liste
zusammengefasst sind. Von IT Security sollte man aber
dabei besser nicht sprechen, da jeder Administrator auf
alle Passwörter zugreifen kann. Spätestens bei automatisierten
(unattended) Passwörtern, die via Skript fixiert
sind und auf eine Anwendung oder Datenbank zugreifen,
sind verhaltensorientierte Ansätze obsolete.
Passwortstruktur ist unbekannt
Kaum ein IT Verantwortlicher hat verlässliche Informationen
über die Strukturen und Verbreitungsgrade von
Passwörtern in einer Organisation. Bei Implementie-
rung eines automatisierten Passwort-Managements
wird oft erst festgestellt, dass zehntausende privilegierte
Administratorkonten vorhanden sind, aber nur 20%
davon als Administratorkonten dienen. Der überwiegende
Teil der Passwörter sind Application-to-Application
(A2A) und Application-to-Database (A2D) Konten, die
in Skripts den Zugriff ermöglichen. Und natürlich nur in
seltensten Fällen geändert werden und somit immer eine
Hintertüre, auch für den Ex-Mitarbeiter, offenlassen.
Die Passwort Autorität: Freiwilligkeit und
Empfehlungen sind nicht angebracht
Die Zugangsberechtigungen sind als Schlüssel für Safes
mit allen Geheimnissen der Organisation anzusehen.. Das
Ergebnis einer Reflektion der Problematik „Passwörter“
kann nur sein, dass ein automatisiertes und auditierbares
Software-Werkzeug in Frage kommen kann. Die Durchsetzung
der Passwörter Policies, Zuteilung von Einmal-Passwörtern
und vor allem eine sichere Authentifizierung und
Ablage dieser ist natürlich ebenso ein Must-Have. In Zeiten
wie diesen, sollte es auf Knopfdruck möglich sein, einen Administrator
zu sperren oder zeitlich begrenzte Passwörter
für externe Dienstleister ausstellen zu können.
Antares NetlogiX empfiehlt nach eingehender Analyse
- des sehr überschaubaren Marktes - die Lösung
„Cloakware Password Authority“. Die ersten erfolgreichen
Referenzprojekte und Kundenmeinungen haben
diese Meinung weiter verstärkt.
9/2010