SSH-Keys werden häufig für direkte Zugriffe auf kritische Unix-Systeme verwendet. Eine zentrale Überwachung der Keys gibt es in der Regel nicht. Wenn aber SSH-Keys einen unkontrollierten Zugriff auf die Zielsysteme ermöglichen, ist das Sicherheitsrisiko groß. Zu beseitigen ist es nur durch eine durchgängige SSH-Key-Verwaltung.
Auf SSH-Authentifizierung mittels Key-Paaren setzen vor allem im Unix- und Linux-Umfeld sehr viele Unternehmen. Unter Sicherheitsaspekten problematisch ist dabei, dass Key-Paare - Private und Public Keys - zu jeder Zeit von jedem Anwender auf nahezu jedem System generiert werden können.
Und was noch gravierender ist: Sie werden niemals ungültig. Das kann dazu führen, dass SSH-Key-Paare vorhanden sind, die mehrere Jahre alt sind beziehungsweise zu Anwendern gehören, die inzwischen bereits das Unternehmen verlassen haben. Das bedeutet: Nicht autorisierten Anwendern stehen Hintertüren zu unternehmenskritischen Systemen offen.
Von der Ermittlung zur aktiven Kontrolle der SSH-Keys
Wenn man sich die in vielen Unternehmen vorhandene hohe Anzahl von SSH-Keys vor Augen hält, ist klar, dass eine manuelle Verwaltung und Änderung keine Option ist. Erforderlich ist vielmehr eine Lösung, die einen hohen Zentralisierungs- und Automatisierungsgrad bietet.
Der erste Schritt vor der Implementierung einer Sicherheitslösung sollte eine detaillierte Bestandsaufnahme sein. Das heißt, alle vorhandenen Keys müssen identifiziert und lokalisiert werden, einschließlich ihres Alters und ihrer Anwendungsbereiche. Zudem ist dabei zu überprüfen, welche Keys nicht den IT-Sicherheitsrichtlinien des Unternehmens entsprechen.
Sicherheit
Cyber-Bedrohungen betreffen jedes Unternehmen Noch vor einigen Jahren konnten Unternehmen tatsächlich davon ausgehen, dass es unwahrscheinlich ist, zum Ziel eines Cyberangriffs zu werden. Angesichts der aktuellen komplexen Bedrohungslandschaft wäre diese Annahme heute jedoch risikoreich und gefährlich. Bedrohungen können überall entstehen, auch intern im Unternehmen. Die Chance ist groß, dass viele Unternehmen in Deutschland schon angegriffen wurden und nichts davon wissen. Deshalb ist ein Umdenken so wichtig: Man sollte auch hierzulande davon ausgehen, dass man in jedem Fall angegriffen wird und die notwendigen Vorkehrungen treffen, um Bedrohungen so schnell wie möglich zu entdecken und beseitigen. Dass es zu Angriffen kommt, steht außer Frage, lediglich der Zeitpunkt ist ungewiss. Mit diesem Bewusstsein – das in anderen Industrienationen häufig schon besser ausgeprägt ist – kann die deutsche Industrie sicherstellen, dass sich der Schaden in Grenzen hält und die Angriffe schnell und mit großer Genauigkeit analysiert werden können.
Umfassendes Monitoring als Schlüssel für mehr Sicherheit Der Schlüssel zu maximaler Datensicherheit ist eine 360-Grad-Sicht auf alle Netzwerkereignisse. Ohne einen detaillierten Einblick in die Netzwerkstruktur entstehen sogenannte „blinde Flecken“, die Hackern ideale Möglichkeiten bieten, in das Netzwerk einzudringen. Obwohl Perimeter-Lösungen lange Zeit ausreichend gewesen sein mögen, um ein Unternehmen zu schützen, bieten diese allein bei der heutigen Bedrohungslage nicht mehr genügend Schutz. Um einen tieferen Einblick in das Netzwerk zu erhalten, ist ein zentrales Monitoring-System erforderlich, das umfassenden Schutz bietet und die Daten aus verschiedensten Quellen im Netzwerk verarbeiten und auswerten kann. Dies umfasst sowohl Systemereignisse wie auch die Daten aus Anwendungen und Datenbanken.<br /><br /> Die gesammelten Daten müssen intelligent miteinander verknüpft und analysiert werden. Ein einzelnes Ereignis wie beispielsweise ein Anwender, der sich in Düsseldorf in einem Café einloggt, mag für sich allein stehend vollkommen harmlos wirken. Wenn sich dieser Anwender jedoch zehn Minuten zuvor im Münchner Büro ebenfalls im System angemeldet hat, sollten alle Alarmglocken läuten. Können Unternehmen alle verfügbaren Informationen in Bezug zueinander setzen und alle Ereignisse in einem Kontext analysieren, können sie auch Angriffe und Bedrohungen besser erkennen.
Atypische Netzwerkereignisse erkennen Wie wollen Sie wissen, ob etwas Ungewöhnliches in Ihrem Netzwerk passiert, wenn Sie nicht wissen, was der Normalzustand ist? Wahrscheinlich finden zu jedem Zeitpunkt zahlreiche Netzwerkereignisse statt – seien es Anwender, die sich an ihren Desktops anmelden, oder Datenpakete, die an einen Cloud-Provider übermittelt werden. Ohne zu wissen, wie sich Anwender, Systeme und Anwendungen im Normalfall verhalten, ist es nahezu unmöglich festzustellen, wann Abweichungen auftreten. Unternehmen sollten deshalb eine Basis für die normalen Aktivitäten definieren und alles andere eingehend prüfen. Dabei muss sichergestellt sein, dass alle atypischen Ereignisse als solche gekennzeichnet sind.
Lassen Sie interne Bedrohungen nicht außer Acht Wenn es um Datendiebstahl geht, sind die Mitarbeiter eines Unternehmens leider eine ebenso große Bedrohung wie Angreifer von außen. LogRhythm hat im Jahr 2013 in einer Marktuntersuchung herausgefunden, dass 23 Prozent der Angestellten auf vertrauliche Daten zugegriffen oder sich diese angeeignet haben. 94 Prozent dieser Datendiebe konnten nicht gefasst werden. Dieselbe Untersuchung hat auch ergeben, dass 75 Prozent der Unternehmen kein System im Einsatz haben, das den unbefugten Zugriff von Mitarbeitern auf sensible Geschäftsdaten verhindert. Deshalb sollten sich Unternehmen nicht ausschließlich auf die Überwachung und den Schutz vor unerlaubtem Zugriff von außerhalb konzentrieren, sondern auch ein Auge darauf haben, was innerhalb ihrer eigenen Wände passiert – ohne dabei die Privatsphäre ihrer Mitarbeiter einzuschränken. Es ist ein schmaler Grat zwischen Kontrolle und kompletter Überwachung und Unternehmen tun - insbesondere in Deutschland - gut daran, nicht auf der falschen Seite zu landen.
Betrachten Sie Fehler als Chance Fehler sind dazu da, um aus ihnen zu lernen. Ist ein Unternehmen Opfer eines Angriffs geworden und konnte diesen entdecken und eingrenzen, sollten weitere Untersuchungen folgen. Einerseits um zu verstehen, wie das passieren konnte und andererseits, was getan werden muss, um ein derartiges Sicherheitsrisiko in Zukunft zu umgehen. Mit dem passenden Monitoring-Tool im Einsatz kann jede Aktivität und jedes Ereignis im Netzwerk erfasst, dokumentiert und als Basis für die Analyse genutzt werden. Wenn sich Unternehmen eingehend mit diesen Informationen befassen, können sie feststellen, warum sie diese Bedrohung nicht erkannt haben, welche Schwachstellen ihr Sicherheitssystem hat und möglicherweise auch, wer der Eindringling war.<br /><br /> Es ist von großer Bedeutung zu verstehen, ob eine Bedrohung lediglich eine interne Angelegenheit ist und die Daten nicht kompromittiert werden, oder ob ein sicherheitsrelevantes Ereignis auch Kunden oder andere Interessensgruppen betrifft und – vielleicht auch von Rechts wegen – die Benachrichtigung einer dritten Partei erfordert. Damit steht dann fest, wie dieses Ereignis einzustufen ist, welche Maßnahmen aufgesetzt und welche Schritte eingeleitet werden müssen.
Kommunizieren Sie auch Misserfolge Zu verstehen, was passiert ist, ist das Eine. Es kann jedoch auch nützlich sein, diese Informationen mit anderen zu teilen. Das ist vor allem für Unternehmen mit einer großen Anzahl an Standorten wichtig, denn diese Standorte könnten demselben Sicherheitsrisiko ausgesetzt sein. Wenn Unternehmen die Information, welche Bedrohung aufgetreten ist und wie diese entdeckt und beseitigt wurde, weitergeben, kann dies den Unterschied machen zwischen einem weit verbreiteten und verheerendem Angriff oder einer bloßen Unannehmlichkeit. <br /><br /> Außerdem können dadurch Kunden und Partner gegebenenfalls bei sich selbst noch zusätzliche Sicherheitsmaßnahmen ergreifen, wie zum Beispiel die Änderung ihre Passwörter oder die Verfolgung verdächtiger Vorgänge auf ihrem Online-Banking-Account. <a href="http://www.johnsonking.com/library_de/LogRhythm_GER%20Q4%20survey.pdf" target="_blank">In einer weiteren Studie</a> stimmten sogar fast Zweidrittel der Befragten in Deutschland dafür, dass Unternehmen bedingungslos jeden Datenverlust sofort melden muss. Unternehmen müssen erkennen, dass sie sich dadurch weniger an den Pranger stellen – hauptsächlich hilft die Kommunikation von Datenlecks sich und anderen und schafft zusätzliches Vertrauen. Denn dass jedes Unternehmen heute – häufig auch erfolgreich – angegriffen wird, ist Fakt; ein Unternehmen, das die Betroffenen auch sofort darüber in Kenntnis setzt ist hingegen schon eine Besonderheit.<br /><br /><br /><em>(zusammengestellt von Roland Messmer, Director für Zentral- und Osteuropa bei LogRhythm)</em>
Auf Basis dieser Ist-Analyse ist anschließend eine Lösung zu implementieren, die eine sichere Verwaltung der Keys ermöglicht. Das heißt, sie muss auf jeden Fall die drei Leistungsmerkmale Zugriffskontrolle, Überwachung und Reaktionsmöglichkeit bieten. Grundvoraussetzung ist, dass die Anwendung eine Kontrollfunktion für die Verwendung von SSH-Keys und den Zugriff auf Unternehmenssysteme enthält.
Zudem muss eine vollständige Überwachung der Nutzung gewährleistet sein. Nur dadurch können Unternehmen irreguläre oder gefährliche Aktivitäten identifizieren. Nicht zuletzt muss eine SSH-Key-Management-Lösung natürlich auch eine sofortige Reaktion bei Sicherheitsvorfällen ermöglichen - sei es durch den Entzug von Zugriffsberechtigungen, durch das Schließen einer identifizierten Sicherheitslücke oder durch eine Remote-Beendigung von SSH-Sessions.
Grundfunktionen einer Lösung zur SSH-Key-Verwaltung
Im Einzelnen sollte ein Unternehmen bei der Lösungsauswahl darauf achten, dass zumindest die folgenden Funktionen vorhanden sind:
• Zentrale Verwaltung und Überwachung aller SSH-Keys. Die Lösung muss einen SSH-Verbindungsaufbau auf beliebige Zielsysteme zentral berechtigen, jederzeit kontrollieren und revisionssicher auditieren können.
• Verhinderung des Verlusts von SSH-Keys durch Speicherung an einem sicheren, zentralen Speicherplatz. Auf beliebigen Endsystemen gespeicherte SSH-Keys stellen ein erhebliches Risiko dar. Die Sicherheitslösung muss deshalb eine zentrale Speicherung in einem hochverfügbaren Repository unterstützen.
• Beseitigung von "zeitlosen" Keys durch automatische Erneuerung. Analog zu statischen Passwörtern sind auch SSH-Keys, die nie geändert werden, nicht sicherheitsrichtlinienkonform. Sie sollten durch die Sicherheitslösung wie auch privilegierte Passwörter in festgelegten Intervallen automatisch erneuert werden.
• Unterstützung von Audit- und Compliance-Teams durch vollständiges Session Recording. Um alle potenziellen Gefahren auszuschließen, die von Insider- und Cyber-Attacken ausgehen, sollte mit der Lösung eine proaktive Überwachung aller privilegierten Sessions möglich sein, einschließlich derjenigen, die über SSH-Verbindungen erfolgen.
Beispiel: So kann eine SSH-Key-Lösung für die Verwaltung, Sicherung und Überwachung von SSH-Keys aussehen. Foto: CyberArk
Eine zukunftsweisende Sicherheitslösung bietet dabei idealerweise zusätzlich auch Echtzeit-Analytik und -Alarmierung bereits bei einer verdächtigen Verwendung von SSH-Keys. Vergleichbare Threat-Analytics-Komponenten finden sich bereits bei einigen Lösungen im Bereich Privileged Account Security zur permanenten Überwachung der Nutzung aller verwalteten privilegierten Konten.
Über intelligente Mechanismen wird dabei jede verdächtige Aktivität aufgespürt, die vom sonst an den Tag gelegten Normalverhalten eines jeweiligen Users abweicht. Typische verdächtige Eigenschaften sind abweichende Zugriffszeiten oder eine ungewöhnliche Anhäufung von Zugriffen. Auch im Hinblick auf die SSH-Thematik ist eine solche Lösungskomponente sinnvoll. Sicherheitsverantwortliche erhalten damit zielgerichtete Bedrohungsanalysen in Echtzeit, auf deren Basis sie auch auf laufende Angriffe reagieren können. Damit lassen sich solche Attacken stoppen, bevor sie "Schaden" im Unternehmen anrichten können.
Lösungen für ein umfassendes SSH-Key-Management gibt es bisher nur wenige auf dem Markt. Insgesamt sollten Unternehmen aber die mit SSH-Keys verbundenen Sicherheitsgefahren keinesfalls unterschätzen.
Cyber-Kriminelle wissen, dass es in großen Firmen Hunderttausende von SSH-Keys gibt und dass sie sich darüber einen privilegierten Zugang zu kritischen Systemen verschaffen können. Die Absicherung der SSH-Keys sollte damit eine logische Erweiterung jeder Privileged-Account-Security-Lösung sein, denn damit kann die IT-Sicherheit einen entscheidenden Schritt vorangebracht werden. (hal)