Der Angriff aus dem Cyberspace

Wie viele Viren uns regelmäßig bedrohen und was man dagegen tun kann, erklärt Ing. Michael Gruber in dieser Zusammenfassung mehrerer Referate anläßlich einer Veranstaltung in Wien.

Die Nutzer des kostenlosen Internetzugangs mit PocketNet oder max.online werden langsam mehr. Ebenso führte der A-Online-Internet Account Verkauf der Postämter zu einem raschen Anstieg der Internetgemeinde. Wurden bisher vor allem am Arbeitsplatz gesurft und E-Mails verschickt, so nehmen die Internetanschlüsse in Haushalten stetig zu. Es ist nicht allgemein bekannt, daß auch unerwünschte Gefahren aus dem offenen weltweiten Netz drohen. Nicht nur Unternehmensnetze müssen gesichert werden, auch der Home-Anwender sollte sich rüsten, damit die möglichen Gefahren ihn nicht lahmlegen.

Daß Netzwerksicherheit in den Betrieben noch stark unterbewertet wird, ergab eine Studie von Ernest & Young, die 1997 durchgeführt wurde. Die Unternehmen aber natürlich auch jeder private "Internetter" stehen mehreren potentiellen Gefahren gegenüber. Es sind dies Viren der verschiedensten Arten, Spione, die Mails mitschneiden und schließlich Hacker, die gezielt Informationen suchen. Im Rahmen des Network-Security-Event '98 von Schoeller Network im Wiener Planetarium referierten Fachleute von Network Associates über die neuesten Systeme zur Absicherung auch großer Netzwerke.

Jeden Monat 250 neue Viren

Die bereits seit einigen Jahren bekannte Problematik der Computerviren erhält in der jüngsten Zeit eine völlig neue Dimension durch die rasante Verbreitung der Viren über das Internet. Der Vortragende Bernhard vander Feen vergleicht die Verbreitung von Computer-Viren im Internet mit der Verbreitung einer ansteckenden Krankheit durch ein vollbesetztes Flugzeug. Ganze Programme, die infiziert sein können, werden per E-Mail-Attachments übertragen. Durch die Möglichkeiten der Java-Programme lassen sich alle möglichen Daten vom PC der Internet-Surfer absaugen oder andere böse Dinge tun. Besonders rasch entwickelt sich die Anzahl der Macro-Viren, die durch Microsoft Word oder Excel Dokumente übertragen werden. Wer hat noch kein E-Mail erhalten, dem ein Word- oder Excel-File angehängt worden ist? Es könnten darin Macrokommandos enthalten sein, die ganze Files am PC löschen, oder manipulieren. Sind Macros in einem fremden Wordfile enthalten, wird zur Vorsicht geraten.

Tatsächlich treten pro Monat ca. 250 neue Computer-Viren auf. Es gibt deren harmlose, die praktisch gar keinen Einfluß auf den Betrieb des Computers haben, sich jedoch replizieren und entsprechen vermehren. Die harten Brummer allerdings brechen erst nach mehrmaligen Start der infizierten Programme aus und werden zu unberechenbaren Datenkillern. Amorphe Viren verändern sogar Ihre Struktur und sind so schwer zu entdecken.

Einen wirklich effizienten Schutz gegen Viren erreicht man durch eine Multi-Tier Lösung, die möglichst viele Viren-Eintrittspunkte in das Firmennetze schützt. Total Virus Defense lautet die Gesamtlösung von Network Associates, früher McAfee, in Form einer Programm Suite gegen alle erdenklichen Virus Attacken und Eintrittpunkte. Nicht so sehr die Erkennungsraten der Viren Scanner sind heute entscheidende Kriterien, die Erkennungsrate ist durchwegs eine sehr gute. Wichtig ist, daß das Viren-Hunting nicht zuviel Rechnerkapazität benötigt. Die von McAfee entwickelte Hunter-Methode ist eine vielfach prämierte Antivirus-Suchmethode, die dem Unternehmen zur Marktführung mit einem Weltmarktanteil von über 60 % verholfen hat. Entscheidende Kriterien sind weiters die einfache und rasche Anti-Virussoftwareverteilung und das zentrale Management aller Anti-Virus-Systeme.

Mit dem Projekt AVERT verfügt Network Associates, über ein weltumspannendes Netzwerk an Antiviruscentren die 24 Stunden am Tag an der Lösung anstehender Virenprobleme arbeiten, indem Sie die Virusinformationen nach Dienstschluß an das nächste diensthabende Labor auf einem anderen Kontinent weitergeben. So ist es möglich, daß Network Associates alle 2 Stunden neue Antiviren Download-Files im Internet bereitsstellt.

Datenschutz mit PGP (Pretty Good Privacy)

Ein zuverlässiges, millionenfach bewährtes Verschlüsselungsprogramm, welches seine große Verbreitung durch Shareware erreicht hat, wird nun auf kommerzieller Basis für den professionellen Betrieb von File- und E-Mail-Verschlüsselung in Unternehmen angeboten. PGP Business basiert auf der Verwendung von asymmetrischen Schlüsseln mit einer Länge von 128 Bits. Es wird ein privater Schlüssel und eine öffentlicher Schlüssel für jeden Anwender definiert.

Unternehmen, die eine Security Policy ausgeben, können die öffentlichen Schlüssel Ihrer Mitarbeiter und Partner auf einem Key-Server verwalten. Den privaten Schlüssel kennt nur der Anwender selbst. Ein Policy Server dient zur Kontrolle, daß auch wirklich kein E-Mail unverschlüsselt das Unternehmen verläßt, sofern der Anwender damit gegen die Security Regeln des Unternehmens verstößt.

PGP Business verfügt über einen Company Key mit dem das Unternehmen im Notfall, bei Krankheit oder Urlaub des Mitarbeiters die dringenden Mails wieder entschlüsseln kann. Angeboten wird die Software als PGP Security Suite mit DeskTop Software zur Verschlüsselung von Files und E-Mails. Besonderes interessant sind die Plugins für E-Mail-Systeme wie Eudora oder MS Exchange.

Die Key-Generierung erfolgt nach Diffie-Heilmann oder RSA und es werden 4096 Bit Keylängen und eine Verschlüsselung von 128 Bit unterstützt. Das bedeutet, daß mit heutigen Mitteln ein Knacken des Schlüssels mehrere Jahre dauern würde. PGP wird für Business und auch für Heimanwender angeboten, wobei man sich in Seminaren beim Distributor schulen lassen kann.

CyberCop gegen Datenklau

Firewalls können zwar die Hacker aus dem Internet abhalten, gegen die 70-80 Prozent der Hackerattacken, die von betriebsinternen Hackern (illoyale Mitarbeiter) durchgeführt werden, sind sie jedoch nutzlos. Dazu kommt, daß der geübte Hacker eine unsachgemäß verwaltete Firewall überspringen kann, stellte Walter Hofstätter, Senior Consultant bei Network Associates, fest.

Gegen eingedrungene Hacker hilft der CyberCop. Dieser funktioniert sinngemäß wie ein Bewegungsmelder mit eingebauter Videokamera und Abfangeinrichtung zugleich. Das System des Cybercop besteht aus einem oder mehreren Sensoren, die für den Hacker unerkenntlich, die zu schützenden Netzsegmente nach Hacker-Aktivitäten untersuchen. Dabei kennt der CyberCop mehr als 170 sogenannter "Fingerprints" die Hacker zeigen, wenn sie in fremde Netze einbrechen wollen. Damit sind ganz bestimmte Abfragemuster wie z.B. Ping-Sweep, Port-Sweep, verdächtige SNMP-Requests u.a. gemeint, die die Hacker verwenden, um Schlupflöcher in fremde Netzwerke zu finden. Sobald eine solche Aktivität durch einen Sensor entdeckt worden ist, erfolgt die Alarmierung des Sicherheitsbeauftragten. Die Attacke läßt sich auf Wunsch automatisch aufzeichnen. So kann verfolgt werden, welchen Rechner der Hacker im Auge hat, was ihn interessiert, was er geändert hat, aber auch woher er kommt.

Der CyberCop hat seinen Namen nicht weil er Hacker "aufschreibt", sondern wegen seiner Fähigkeit Hacker sozusagen "an- bzw. abschießen" zu können. Wird eine Hackerverbindung entdeckt, so kann der CyberCop diese Verbindung abbrechen indem er den Rechner des Hackers mit Reset-Paketen sozusagen beschießt. Wurde früher ein Hacker im Netzwerk erkannt, so mußte wohl oder übel der gesamte Datenstrom zum Internet oder Intranet blockiert werden. Diese Maßnahme bringt jedoch für alle "braven", oft mehrere 100 User im Netz den Nachteil, daß sie auch nicht mehr kommunizieren können. Und was macht man wenn der Hacker nach der Netzanschaltung wieder da ist? Der CyberCop entdeckt den Hacker auch wenn er seinen Herkunftsrechner wechselt an seinen "Fingerprints" und terminiert die Hacker-Verbindung ohne daß die anderen User gestört werden!

Quelle: Schoeller Network Control GmbH,
Beichlgasse 8, 1101 Wien,
Ing. Michael Gruber,
Tel.: 01/689 29 29-216,
Email: michael.gruber@schoeller.at