Grundlagen der Informationssicherheit: Schutz, Bedrohungen und Richtlinien

Grundpfeiler der Informationssicherheit

Vertraulichkeit

Informationen dürfen nur von berechtigten Personen eingesehen oder genutzt werden. Die Vertraulichkeit kann gefährdet werden, wenn jemand Datenpakete abfängt, die von einem Ort zum anderen übertragen werden.

Integrität

Integrität bedeutet, dass wir darauf vertrauen können, dass Informationen weder gelöscht, kopiert noch auf irgendeine Weise verändert wurden – nicht nur in ihrem Inhalt, sondern auch in ihrer Herkunft.

Verfügbarkeit

Verfügbarkeit bezieht sich auf Maßnahmen zur Vorsorge gegen mögliche Schäden an Informationen und deren Zugang. Störungen, Unfälle oder Versehen können Faktoren sein, die uns dazu zwingen, entsprechende Methoden zu entwickeln.

Authentizität

Authentizität besagt, dass die betreffende Datei real ist, während Integrität uns mitteilt, dass die Datei nicht nachträglich bearbeitet oder manipuliert wurde. Authentifizierungsmethoden zur Identitätsprüfung können in drei Kategorien eingeteilt werden:

• Etwas, das der Benutzer kennt (z. B. ein Passwort)
• Etwas, das der Benutzer besitzt und ihn identifiziert (z. B. ein Dokument)
• Physische oder unfreiwillige Eigenschaften (z. B. ein Fingerabdruck)

Schutzbereiche der Computersicherheit

Internetsicherheit sollte nicht mit Computersicherheit verwechselt werden, da letztere auch andere Kontextinformationen wie die physische Sicherheit umfasst. Die Computersicherheit versucht, folgende Elemente zu schützen:

• Software: Eine Reihe von logischen Systemen, die auf der Hardware laufen.
• Hardware: Umfasst alle physischen Systeme im EDV-System.
• Daten: Es ist wichtig, Daten nicht mit Informationen gleichzusetzen. Daten sind Fakten, die für sich genommen keinen Sinn ergeben. Daten werden zu Informationen, wenn ihr Schöpfer ihnen Bedeutung verleiht.
• Verbrauchsmaterialien: Verschleißteile, die sich bei weiterer Nutzung abnutzen (z. B. Papier, Patronen).

Arten von Angriffen

Unterbrechung (Verletzung der Verfügbarkeit)

Daten oder Informationen sind in einem System entweder verloren, blockiert oder nicht mehr verfügbar.

Fälschung (Verletzung der Authentizität)

Tritt auf, wenn ein Angreifer die Integrität eines Objekts auf dem angegriffenen System manipuliert.

Manipulation (Verletzung der Integrität)

Ein Angreifer, der möglicherweise autorisiert ist oder nicht, greift auf das System zu und manipuliert Daten, sodass deren Integrität beeinträchtigt wird.

Menschliche Faktoren und Bedrohungen

Interne Bedrohungen

• Personal und ehemalige Mitarbeiter: Diese Gruppe stellt eine der mächtigsten Bedrohungen dar, da sie über internes Wissen verfügen und Daten missbrauchen können.

Externe Bedrohungen

• Hacker, Cracker, Lamer: Viele versuchen, intern oder extern in Systeme einzudringen.
  • Hacker: Eine interessierte oder leidenschaftliche Person im Bereich der Informatik.
  • Cracker: Eine Person, die Reverse Engineering durchführt, oft um Software zu knacken oder Sicherheitsmechanismen zu umgehen.
  • Lamer / Skript-Kiddies: Personen, die Programme nur erfolgreich nutzen können, wenn sie von anderen (oft Hackern) erstellt wurden.
• Professionelle Eindringlinge: Diese Personen verfügen über privilegiertes Wissen und sind in der Lage, für ihre Expertise Geld zu erhalten.
• Sniffer: Programme, die Daten aus dem Netzwerk erfassen, z. B. Passwörter oder Quellcode.

Sicherheitspolitik und Verfahren

Sicherheitspolitik und Bewusstsein

Es ist unerlässlich, eine Sicherheitspolitik zu etablieren und das Bewusstsein der Mitarbeiter zu schärfen. Dies sollte in Zusammenarbeit mit Personen oder Gruppen geschehen, die auf verschiedene Themen der Computerbranche spezialisiert sind. Jedes Mitglied muss eine Haftung gemäß dem festgelegten Plan übernehmen.

Verfahren zur Richtlinienerstellung

Sobald eine Bestandsaufnahme der Risiken vorgenommen und diese akzeptiert wurden, werden Verfahren zur Erstellung einer Sicherheitspolitik aufgeführt. Diese Punkte werden von spezialisierten Einzelpersonen oder Gruppen erarbeitet und von einer offiziellen Stelle genehmigt. Einige Fragen dienen als Richtschnur für die Durchführung dieser Verfahren:

Wer nutzt die Ressource?

Es ist wichtig, die Person oder Personen zu kennen, die Mitglieder des Sicherheitsteams sind, um Rechte, Maßnahmen und Verantwortlichkeiten festzulegen.

Wofür wird jede Ressource genutzt?

Es ist notwendig, Dokumente oder Regeln zu erstellen, die Benutzer lesen und verstehen müssen. Diese Standards werden als "Nutzungsrichtlinien" bezeichnet. Diese Richtlinien legen Verhaltensweisen fest, die streng sind, und definieren, welche Aktionen erlaubt sind und welche nicht.

Welche Verpflichtungen ergeben sich daraus?

Benutzer sind für die Systeme verantwortlich, die sie zur Erledigung ihrer Arbeit nutzen. Die Regeln, denen Mitarbeiter folgen müssen, müssen den Anforderungen entsprechen, die in der Richtlinie festgelegt wurden. Zu berücksichtigende Punkte sind:

• Auswahl und Pflege von Passwörtern
• Passwortablauf
• E-Mail-Nutzung
• Regeln zur Ressourcennutzung
• Informationsprivatsphäre
• Maximale Größe für verschiedene Ressourcen

Wer genehmigt die Nutzung von Ressourcen?

Die Ressourcen eines Unternehmens können je nach Bereich unterschiedliche Genehmigungen erfordern. Daher muss die Zugriffsverwaltung von einer kompetenten Person durchgeführt werden. Es gibt zwei Arten der Zugriffsverteilung:

Arten der Zugriffsverteilung

• Zentrale Verteilung: Alle Anforderungen werden von einer einzigen zentralen Stelle bearbeitet.
• Breite oder sektorale Verteilung: Alle Anforderungen jedes Sektors werden von einer zentralen Stelle für diesen Sektor bearbeitet.

Der Administrator

Administratoren sind jene Personen, die für die Kontrolle der Systemabläufe eines Unternehmens verantwortlich sind. Ihre Befugnisse dürfen jedoch nicht unbegrenzt sein. Die Sicherheitspolitik muss die Namen der Administratoren und die Liste der Regeln enthalten, denen sie verpflichtet sind zu folgen.

Umgang mit Sicherheitsvorfällen

Störungen und Richtlinienverstöße

Es kommt immer wieder vor, dass Einzelpersonen – bewusst oder unbewusst – gegen die Sicherheitspolitik verstoßen. Ein Einzelner kann unbeabsichtigt, aus Versehen oder absichtlich die eingeführten Regeln brechen. In solchen Fällen treten die festgelegten Maßnahmen in Kraft. Je nach Art des Verstoßes wird unterschiedlich reagiert. Sind die Maßnahmen jedoch nicht schriftlich festgehalten, wird der Vorfall umstritten sein. Einige Fragen, die bei einem Vorfall zu klären sind:

• Handelt es sich um einen internen oder externen Benutzer?
• Gab es eine Absicht?
• Wo fand der Vorfall statt (lokal)?
• Wann wurde er vollendet?
• Warum geschah es?

Strategien bei Verstößen

Wenn ein Verstoß begangen wird, sollte richtig gehandelt werden, da dies die Situation verschlechtern oder verbessern kann. Im Falle eines vorsätzlichen Verstoßes gibt es zwei weltweit bekannte Sicherheitsstrategien:

1. Schützen und Vorbeugen: Sicherstellen, dass keine Absicht besteht, und wenn doch, so schnell wie möglich handeln, damit Dienste und Ressourcen wieder normal genutzt werden können. Der Nachteil ist die Geschwindigkeit, die nicht gleichbedeutend mit Identifizierung ist.
2. Verfolgen und Identifizieren: Dies beinhaltet die Überwachung und Identifizierung der Person. Bei Absicht wird die Person überwacht, um nicht nur Beweise gegen sie zu sammeln, sondern auch Techniken und Systemschwächen zu erkennen.

Häufige Sicherheitsprobleme

• Erstellung verschiedener Zugangspunkte für Benutzer
• Systeme sind nicht standardmäßig gesichert
• Nicht aktualisierte Versionen von Anwendungen werden eingesetzt
• Zu starke Abhängigkeit von Mitarbeitern
• Schwache oder fehlende Authentifizierung für offizielle Zugänge
• Private Server mit schwacher oder keiner Authentifizierung (z. B. nur Benutzername/Passwort)

Modelle von Sicherheitsrichtlinien

Bell-LaPadula-Modell

Dieses Modell basiert auf der Zuweisung von Sicherheits-Labels zu Informationen und Benutzern, um den Zugriff zu regeln. Es konzentriert sich auf die Vertraulichkeit von Informationen. Ein Beispiel sind US-Militärsysteme. Das Modell konzentriert sich auf Vertraulichkeit, nicht auf Integrität.

Clark-Wilson-Modell

Ein Modell, das auf der Rangfolge von Anwendungen zur Verwaltung von Informationen basiert. Dieses Modell wurde entwickelt, um die Integrität von Daten zu schützen.