Unbefugte Daten-Exfiltration vermeiden

Eine wesentliche Funktion der Computer- und Netzwerksicherheit besteht darin, vertrauliche Daten vor einem Zugriff durch unberechtigte Dritte zu schützen. In diesem Dokument werden die Merkmale der Risiken einer unbefugten Datenweitergabe untersucht und branchenweite Best Practices zur Datensicherung diskutiert. Es wird gezeigt, wie Tools und Funktionen in der Google Cloud Platform genutzt werden können, um Risiken zu reduzieren, eine unbefugte Datenweitergabe zu erkennen und auf diese zu reagieren. Sicherheitsbedrohungen und Verteidigungsansätze werden nach Möglichkeit in einem cloudunabhängigen Kontext beschrieben. Das sich verändernde Regulierungsumfeld, insbesondere die Europäische Datenschutz-Grundverordnung (DSGVO), deren Einhaltung im Jahr 2018 verpflichtend wird, hat der Einführung von Verfahren zur Verhinderung der unbefugten Datenweitergabe neuen Auftrieb gegeben.

Wie wird unbefugte Datenweitergabe definiert?

In diesem Dokument ist mit unbefugter Datenweitergabe der Fall gemeint, dass eine autorisierte Person Daten aus einem gesicherten System, in das die Daten gehören, extrahiert und entweder an nicht autorisierte Dritte weitergibt oder in ein unsicheres System verschiebt. Autorisierte Personen sind Mitarbeiter, Systemadministratoren und vertrauenswürdige Nutzer. Eine unbefugte Datenweitergabe kann aufgrund von Handlungen von böswilligen oder manipulierten Nutzern oder auch versehentlich erfolgen.

Um das Risiko der unbefugten Datenweitergabe zu reduzieren, müssen Sicherheitsbewusstsein und sicherheitsbezogene Best Practices Teil der Unternehmenskultur werden. Die Unternehmen müssen die Risiken sämtlicher Interaktionen mit Computernetzwerken, Geräten, Anwendungen, Daten und anderen Nutzern einheitlich bewerten. Organisationen können auch mit regelmäßigen Audits prüfen, ob Best Practices eingehalten werden.

Risiken unbefugter Datenweitergabe in der Cloud begegnen

Viele traditionelle Datensicherheitsstrategien basieren auf einer Verstärkung des physischen Perimeterschutzes privater Netzwerke. Als Cloudnutzer haben Sie jedoch keine Kontrolle über die physische Netzwerkinfrastruktur Ihrer Dienste. In öffentlichen Clouds ist die Netzwerkstruktur des Hostanbieters freigegeben und es gibt keine Perimeter im herkömmlichen Sinn. Der Schutz der Daten in der Cloud erfordert neue Sicherheitsansätze und -methoden zur Prüfung des Datenzugriffs.

Bedenken Sie analog dazu, dass öffentliche Cloudinfrastrukturen zu den ersten in der Branche gehörten, bei denen Standardhardware im Rechenzentrum genutzt wurde. Obwohl dies zu mehr Hardwarefehlern führen kann, werden die Auswirkungen solcher Fehler durch Redundanz und intelligente Dienstarchitektur minimiert. In einer solchen Umgebung müssen die Dienste in der Lage sein, mehrere Fehler ordnungsgemäß zu neutralisieren. Dienstarchitekturen wurden für Hardware- und Netzwerkausfälle so konzipiert, dass sie die Verarbeitung, Speicherung, Authentifizierung und andere Aufgaben auf mehrere Maschinen und Regionen aufteilen und dadurch die Auswirkungen eines Fehlerereignisses minimieren. Bei der Speicherung Ihrer Daten sollten Sie einen ähnlichen Ansatz verfolgen: Entwerfen Sie eine Architektur, mit der Sie Ausfallzeiten minimieren und die Auswirkungen auf den Rest Ihres Systems im Falle einer Sicherheitsgefährdung begrenzen.

Das Sicherheitsmodell öffentlicher Clouds verfolgt diesen Ansatz, um selbst den höchsten Anforderungen sicherheitsbewusster Kunden gerecht zu werden. Google Cloud Platform bietet Shielded VM, um für Compute Engine-VM-Instanzen eine überprüfbare Integrität bereitzustellen, sodass Sie sich sicher sein können, dass Ihre Instanzen nicht durch Malware auf Boot- oder Kernel-Ebene manipuliert werden. Diese überprüfbare Integrität von Shielded VM wird mithilfe von Secure Boot, Measured Boot mit aktiviertem vTPM und Integritätsüberwachung erreicht.

Außerdem können Anbieter in cloudbasierten virtuellen Maschinen (VMs) spezialisierte Agents einsetzen, um Telemetrie über die Nutzer- und Hostaktivität zu erzeugen. Dadurch erhält das Security Operations Center (SOC) Einblick in Aktivitäten innerhalb und außerhalb der Sicherheitsgrenze, die sich häufig ändert.

Anbieter führen auch explizite Nadelöhre ein, wie zum Beispiel einen Bastion-Host für die Kommunikation mit Flotten von VMs, Netzwerkproxyservern, Netzwerkausgangsservern und projektübergreifenden Netzwerken. Diese Maßnahmen können das Risiko der unbefugten Weitergabe zwar reduzieren, aber nicht vollständig beseitigen.

Ihr Unternehmen muss auch eine starke Infrastruktur aufbauen, um eine unbefugte Datenweitergabe zu erkennen und auf diese zu reagieren. Mit der richtigen Cloudinfrastruktur können Sie riskante oder unzulässige Aktivitäten schnell erkennen, die Auswirkungen dieser Aktivitäten begrenzen und die Möglichkeit einer unbefugten Datenweitergabe durch Nutzer minimieren.

Einteilung der unbefugten Datenweitergabe

Die unbefugte Datenweitergabe kann allgemeine technologische, organisatorische und physische Merkmale aufweisen. In den folgenden Abschnitten widmen wir uns einiger dieser Kategorien und erläutern die jeweiligen Präventions- und Schadensbegrenzungsstrategien.

Ausgehende E-Mails

In diesem Szenario verwenden Nutzer eine autorisierte Telekommunikationsinfrastruktur wie eine geschäftliche E-Mail-Adresse oder ein Mobilgerät, um vertrauliche Daten von einem sicheren Computersystem an nicht vertrauenswürdige Dritte oder ein unsicheres privates System zu übertragen. Die vertraulichen Daten können als reiner Text in einer E-Mail oder SMS oder als Dateianhang übertragen werden. Diese Methode wird häufig verwendet, um den Inhalt von E-Mails, Kalendern, Datenbanken, Bildern, Planungsunterlagen, Geschäftsprognosen und Quellcodes eines Unternehmens unbefugt zu übertragen.

Viele E-Mail- und Nachrichtensysteme speichern Entwürfe in der Cloud. Daher reicht es nicht aus, die Nachricht auf vertrauliche Daten zu überprüfen, wenn sie gesendet wird. Wenn ein Nutzer externen Zugriff auf seine geschäftliche E-Mail-Adresse oder einen anderen Nachrichtendienst hat, in dem Entwürfe gespeichert werden können, kann er auf diese Weise Daten unbefugt weitergeben. Wird ein Entwurf von Geräten und Netzwerken mit Zugriff auf vertrauliche Daten gespeichert und der Entwurf anschließend über einen anderen Client aufgerufen, umgeht der Nutzer Protokollierungs- und Prüfsysteme.

Prävention und Schadensminderung

Dieses Szenario umfasst Telekommunikationssysteme, die von Ihrem Unternehmen ausgewählt und autorisiert wurden und Ihnen mehr Möglichkeiten zum Schutz vor einer unbefugten Datenweitergabe bieten als Szenarien mit privaten Tools oder Drittanbietertools.

Sie sollten einige der folgenden Strategien zur Vorbeugung und Schadensminderung implementieren:

  • Überwachen Sie die Anzahl und Häufigkeit von Datenübertragungen Ihrer Nutzer durch E-Mail und andere unternehmenseigene Messaging-Tools. Wenn ein Nutzer im Durchschnitt 5 Megabyte Daten pro Tag sendet, sollte bei 500 Megabyte eine Benachrichtigung ausgelöst werden.
  • Protokollieren Sie, welche Adressen zum Versenden von E-Mails genutzt werden, von welchen Geräten E-Mails gesendet werden und an welche Empfängeradressen diese gehen. Dies kann Ihnen dabei helfen, die Art und den Umfang einer Daten-Exfiltration zu ermitteln. In der Sicherheitscheckliste für Administratoren wird erläutert, wie ein E-Mail-Konto in Gmail Enterprise auf Sicherheitsrisiken überprüft werden kann.
  • Scannen Sie E-Mails, die von Systemen mit Zugriff auf vertrauliche Daten gesendet wurden, um sicherzustellen, dass keine nicht autorisierten Inhalte enthalten sind. Dieser Vorgang lässt sich vereinfachen, wenn Sie vertrauliche Daten mit Tags wie Suchbegriffen oder Hashes markieren.
  • Verhindern Sie, dass Nachrichten über unsichere Kanäle gesendet werden, wie HTTP anstelle von HTTPS, und benachrichtigen Sie Ihre IT-Sicherheitsmitarbeiter, wenn es entsprechende Versuche gegeben hat.

Downloads auf unsichere Geräte

Dies passiert, wenn ein Nutzer über autorisierte Kanäle auf vertrauliche Daten zugreift und diese anschließend an ein unsicheres lokales Gerät überträgt. Nutzer können vertrauliche Daten mithilfe von Laptops, Smartphones, externen Festplatten, Kameras oder speziellen Geräten erfassen, um sie anschließend unbefugt weiterzugeben. Der jeweilige Nutzer kann vorhandene Dateien aus Ihren Diensten in der Cloud herunterladen oder Daten in neue Dateien kopieren. Wenn die Dateien an nicht überwachte oder unsichere Geräte übertragen werden, besteht ein hohes Risiko einer unbefugten Datenweitergabe.

Prävention und Schadensminderung

Cloudbasierte Netzwerke bieten Vorteile, wenn es darum geht, diese Art der Weitergabe zu verhindern. Viele Methoden zur Übertragung von Daten an ein lokales Gerät erfordern eine physische Verbindung zu einem übertragbaren Medium. Sind die Daten stattdessen in der Cloud gespeichert, müssen sie vor der Übertragung heruntergeladen werden. Diese Downloads unterliegen den Sicherheits- und Verfolgungsfunktionen des Hostingdienstes und der Clients.

Sie sollten einige der folgenden Richtlinien und Verfahren implementieren:

  • Unterbinden Sie den Download von sehr vertraulichen Daten. Je nachdem, wie Ihre Daten in der Cloud verwendet und verarbeitet werden, kann es sein, dass Nutzer diese Daten im Prinzip nie auf lokale Hardware herunterladen müssen. Speichern Sie nach Möglichkeit alle Daten in der Cloud und lassen Sie auch alle Verarbeitungsprozesse in der Cloud durchführen. Falls technisch die Möglichkeit besteht, Daten herunterzuladen, legen Sie Richtlinien fest, die Downloads untersagen. Klassifizieren und kennzeichnen Sie dann vertrauliche Daten und führen Sie Zugriffs-Logs zu Daten, die über sichere Interaktionen und API-Aufrufe angefordert und bereitgestellt werden. Weitere Informationen finden Sie unter Aktivitäts-Logs ansehen.
  • Verwenden Sie einen Cloud Access Security Broker (CASB), um Verbindungen zwischen autorisierten Clients und Clouddiensten entsprechend den Sicherheitsrichtlinien Ihrer Organisation zu regulieren.
  • Verpacken Sie Dateien mit Digital Rights Management-Tools (DRM-Tools). Dadurch erhält jede Datei einen berechtigungsbasierten Sicherheits- und Verschlüsselungsmechanismus.
  • Implementieren Sie dynamische Wasserzeichen in Ihren autorisierten Clients, um Nutzer zu erfassen, die Screenshots oder Fotos von Ansichten auf dem Computer mit vertraulichen Informationen machen.

Uploads auf externe Dienste

Ähnlich wie die vorher beschriebene Kategorie der unbefugten Datenweitergabe beinhaltet auch diese Kategorie häufig das Herunterladen von vertraulichen Daten in eine lokale Infrastruktur. Der Nutzer lädt die Daten anschließend über einen Webbrowser-Client oder eine andere nicht überwachte Software auf einen Drittanbieterdienst hoch. Drittanbieterdienste können scheinbar harmlose Websites wie soziale Netzwerke sein, bei denen der Nutzer versehentlich die falschen Bilder hochladen oder den falschen Text einfügen könnte. Erfahrene, böswillige Nutzer können in der Lage sein, kleine Mengen an vertraulichen Daten, wie Anmeldedaten oder Verschlüsselungsschlüssel, als URL-Parameter an spezialisierte Webanwendungen weiterzugeben.

Prävention und Schadensminderung

In diesem Fall kann das Risiko durch die gleichen Richtlinieneinschränkungen wie für Downloads reduziert werden, die einen Schutz gegen das lokale Kopieren von vertraulichen Daten bieten. Eine Richtlinie beseitigt jedoch nicht das Risiko, dass Screenshots oder kopierte Texte in soziale Medien, auf File-Sharing-Websites oder andere Clouddienste hochgeladen werden.

Zur Bekämpfung dieses Risikos sollten Sie folgende Sicherheitsmaßnahmen ergreifen:

  • Unterbinden Sie das Herunterladen von Daten grundsätzlich. Speichern Sie alle Daten in der Cloud und lassen Sie auch alle Verarbeitungsprozesse in der Cloud durchführen. Daten sollten durch gesicherte und in Logs erfasste API-Interaktionen angefordert und bereitgestellt werden. Weitere Informationen finden Sie unter Aktivitäts-Logs ansehen.
  • Verhindern Sie, dass unsichere Drittanbietersoftware wie Apps für soziale Medien oder nicht autorisierte Browser-Plug-ins auf Geräten mit Zugriff auf vertrauliche Daten installiert werden.
  • Verwenden Sie einen CASB, um Traffic von Cloud-Zugangspunkten zu überwachen, und setzen Sie Verschlüsselungsrichtlinien für alle Daten durch, die an Clients übertragen werden.

Unsicheres Cloudverhalten

Mit der Nutzung von Clouddiensten ergeben sich neue Kategorien in Bezug auf die unbefugte Datenweitergabe, deren sich IT-Sicherheitsfachkräfte bewusst sein sollten. Dazu gehören eine Reihe von Fällen, in denen Mitarbeiter, Nutzer oder Administratoren Funktionen der Cloudanbieter auf unsichere Weise nutzen. Von jedem Nutzer, der in der Lage ist, virtuelle Maschinen (VMs) anzufordern oder zu ändern, Code bereitzustellen oder Anfragen an Cloudspeicher- oder Berechnungsdienste zu stellen, geht das potenzielle Risiko einer unbefugten Datenweitergabe aus.

Cloudnetzwerke verfügen über öffentliche Front-Ends und können mit dem weiteren Internet kommunizieren. Es ist entscheidend für die Datensicherheit, das Verhalten von in der Cloud ausgeführten Diensten abzusichern und mithilfe von Berechtigungen zu regeln. Nutzer mit ausreichenden Berechtigungen können eine ausgehende Übertragung von vertraulichen Daten initiieren, vertrauliche Daten von sicheren Containern in weniger sichere verschieben oder im Namen eines Unternehmens nicht autorisierte Clouddienste erstellen.

Prävention und Schadensminderung

Um ein sicheres Verhalten Ihrer Clouddienste aufrechtzuerhalten, sind exakte und gezielte Berechtigungen sowie eine umfassende Protokollierung erforderlich. Nach Möglichkeit sollten Sie Nutzern den Zugriff auf die Back-Ends Ihrer Dienste untersagen. Für die meisten Aufgaben, die ein Mitarbeiter oder ein Administrator auf einer VM durchführen muss, sind automatische Agents und Front-End-Clients vorhanden, die sicher und kontrollierbar sind. Nutzen Sie diese nach Möglichkeit, um die Anzahl der Nutzer zu begrenzen, die direkten SSH-Zugriff auf Ihre Cloudmaschinen haben. Scannen Sie wenn möglich alle Daten, die an das weitere Internet gesendet werden, um vertrauliche Informationen zu ermitteln. Scannen Sie bei Anwendungen, die Informationen von externen Nutzern oder Systemen verarbeiten, diese Informationen, um eine versehentliche Erfassung, Speicherung oder Freigabe vertraulicher Daten wie beispielsweise personenbezogener Daten (Personally Identifiable Information, PII) zu verhindern.

Bei VMs in der Cloud sollten Sie die folgenden Sicherheitsgrundsätze in Betracht ziehen:

  • Richten Sie auf Ihren VMs IP-Tabellen ein, mit denen ausgehende Verbindungen zu unbekannten Adressen verboten werden. So lässt sich das Risiko verringern, dass es einem Nutzer gelingt, vertrauliche Daten aus Ihrem Netzwerk zu bewegen.
  • Ordnen Sie Ihren VMs keine öffentlichen IP-Adressen zu. Verwenden Sie außerdem einen NAT-Dienst (Network Address Translation), um eingehende und ausgehende Verbindungen zu verarbeiten. Weitere Informationen finden Sie in diesem Leitfaden zur Einrichtung eines NAT-Gateways für Compute Engine.
  • Überlegen Sie, in der Cloud einen Bastion Host zu einzusetzen, um Verbindungen zu anderen Hosts zu regeln und zu überwachen.
  • Deaktivieren Sie Software für die Remoteverwaltung wie Remote Desktop Protocol (RDP) oder WinRM-Agents (Windows Remote Management) auf Rechnern, die diese nicht benötigen.
  • Nutzen Sie einen privaten Google-Zugriff, damit VM-Instanzen in einem Subnetzwerk Google APIs und -Dienste über eine interne IP-Adresse statt einer externen erreichen können.
  • Überlegen Sie, projektübergreifende Netzwerke (XPN) zu verwenden, um virtuelle Netzwerke der Google Cloud Platform (GCP) gemeinsam in Projekten in Ihrer Cloudorganisation zu nutzen.
  • Beschränken Sie den SSH-Zugriff auf VMs auf Personen, die ihn unbedingt benötigen. Google Compute Engine bietet umfassende Tools zur Verwaltung von SSH-Schlüsseln, um den Zugriff auf VMs zu steuern.

Bei Cloudspeicherdiensten wie Cloud Storage oder Cloud Bigtable kann das Risiko einer Datenexfiltration durch die folgenden Maßnahmen reduziert werden:

  • Verwenden Sie die Identitäts- und Zugriffsverwaltung (Cloud IAM), um Nutzern und Anwendungen nur diejenigen Berechtigungen zu erteilen, die für den Datenzugriff nötig sind. Speichern Sie Daten mit unterschiedlichen Vertraulichkeits- und Zugriffsanforderungen in verschiedenen Containern, damit Berechtigungen so detailliert wie möglich sein können.
  • Überwachen und begrenzen Sie die Häufigkeit, mit der Daten aus Ihren Speicherressourcen gelesen werden können. Verwenden Sie Monitoring-Agents, um Ihr Sicherheitsteam zu benachrichtigen, wenn es Versuche gegeben hat, mehr Daten als im Normalfall erwartet zu bewegen.
  • Erteilen Sie für sehr vertrauliche Daten temporäre Berechtigungen. Diese sollten regelmäßig überprüft und widerrufen werden. Hier können zum Beispiel AppEngine-Kontingente nützlich sein.
  • Lassen Sie die Gruppe von Nutzern mit Zugriff auf sehr vertrauliche Container regelmäßig durch ein menschliches Team überprüfen.
  • Protokollieren Sie alle Zugriffe auf Ihre Speicherdienste gründlich. Im Idealfall sind die Nutzer mit Zugriff auf die Speicherdienste und die Nutzer mit Zugriff auf die Logs zwei verschiedene Gruppen. Dadurch verringert sich das Risiko, dass Logs von böswilligen Nutzern manipuliert werden. Es kann auch sinnvoll sein, Dienstprogramme für Zugriffs-Logs von Cloud Storage zu verwenden, um Log-Daten in einen separaten Storage-Bucket zu schreiben.
  • Für Cloud Storage sind weitere umfassende sicherheitsrelevante Best Practices verfügbar.

Einhaltung von Sicherheitsrichtlinien durchsetzen

Die umfassende Infrastruktur der Google Cloud Platform (GCP) bietet Kunden vielfältige Möglichkeiten zur Entwicklung von Lösungen, die auf ihre Bedürfnisse zugeschnitten sind. Gleichzeitig schafft diese Infrastruktur neue Herausforderungen, beispielsweise die notwendige Durchsetzung erforderlicher Sicherheitsrichtlinien für verschiedene Projekte einer Organisation. Um das Sicherheitsmanagement zu vereinfachen, verwendet die GCP für alle Ressourcen eine Hierarchie von Entitäten. Diese Hierarchie basiert auf dem Konzept der Organisationen. Organisationen können optional Ordner oder Projekte enthalten. In Ordnern können wiederum optional Unterordner oder Projekte enthalten sein. Alle GCP-Dienstressourcen gehören zu einem Projekt.

Mit dieser Hierarchie (Organisation -> Ordner -> Projekt -> GCP-Dienste -> Ressource) können Sicherheitsrichtlinien auf jeder einzelnen Hierarchieebene festgelegt und von den nachfolgenden Ebenen der Hierarchie übernommen werden. Sicherheitsrichtlinien werden in der Ressourcenhierarchie von oben nach unten ausgewertet. Lautet die Antwort "Zulassen", kann auf die Ressource zugegriffen werden.

Compliance durchsetzen

Die Ressourcenhierarchie und die Übernahme ("Vererbung") von Sicherheitsrichtlinien vereinfachen die Prüfung und stellen sicher, dass die gewünschten Sicherheitsrichtlinien einheitlich eingehalten werden. Über die Vererbungseigenschaft können Administratoren beispielsweise festlegen, dass für alle Projekte dieselbe Gruppe von Prüfern für ihre Daten verwendet werden können. Dazu muss eine entsprechende Sicherheitsrichtlinie auf Ebene der Organisation vorhanden sein, die auf den untergeordneten Ebenen nicht außer Kraft gesetzt werden kann. Diese Sicherheitsrichtlinien werden in Softwareprüfungsaktivitäten festgelegt. Ihre Überprüfung kann automatisiert erfolgen.

Vertrauliche Daten ermitteln und entfernen

Einer der ersten Schritte zur Verwaltung vertraulicher Daten ist die Ermittlung des Standorts der Daten. Mit dessen Kenntnis haben Sie bessere Möglichkeiten zur Einrichtung der Zugriffssteuerung. Sie können damit einen ordnungsgemäßen Zugriff bzw. eine ordnungsgemäße Verarbeitung gewährleisten und mithilfe von Techniken die Gefahr des Missbrauchs durch Entfernen, Maskieren und Deidentifizieren der Daten reduzieren. Das Entfernen von Daten ermöglicht die Einhaltung der Vertraulichkeit bei Daten wie Sozialversicherungsnummern, gültigen Kreditkartennummern oder personenbezogenen Daten (Personally Identifiable Information, PII).

Die grundlegende Herausforderung bei der Entfernung großer Mengen unterschiedlicher Daten ist die notwendige Automatisierung der Erkennung, Klassifizierung und entsprechenden Entfernung. Eine Neuerung ist hierbei die automatisierte Systemunterstützung zur Einordnung des Inhalts von Datenfeldern. Durch dieses Maß an automatisierter Bewertung beliebiger Datenströme kann mit Anwendungen festgelegt werden, welche Daten an welche Endpunkte übertragen, welche Systeme zum Speichern von verwalteten Daten unterschiedlicher Art verwendet und wann Benachrichtigungen über bestimmte Arten von übertragenen Daten übermittelt werden.

Prävention und Schadensminderung

In Google Cloud können Sie vertrauliche Daten mit der Data Loss Prevention (DLP) ermitteln und verwalten. Diese ermöglicht eine schnelle, skalierbare Klassifizierung und eine optionale Entfernung für vertrauliche Daten wie Kreditkartennummern, Namen, Sozialversicherungsnummern, Reisepassnummern, US- und ausgewählte internationale Führerscheinnummern sowie Telefonnummern. Cloud DLP unterstützt Text, strukturierte Daten und Bilder. Senden Sie einfach Daten an Cloud DLP oder geben Sie Daten an, die auf Ihren Instanzen Google Cloud Storage, BigQuery und Cloud Datastore gespeichert sind. Mit den Erkenntnissen der Cloud DLP können Sie die Einstellungen der Identitäts- und Zugriffsverwaltung (Cloud IAM), den Datenstandort oder andere Richtlinien automatisch überwachen oder diese entsprechend anpassen. Cloud DLP bietet auch eine Unterstützung für die Entfernung oder Maskierung bestimmter Bestandteile dieser Daten, um die Vertraulichkeit zu verringern, oder für eine Datenminimierung als Teil einer Richtlinie für möglichst wenig Zugriffsrechte oder einer Richtlinie vom Typ "Wer muss informiert werden?". Hierfür stehen Techniken wie Maskierung, formaterhaltende Verschlüsselung, Tokenisierung und Bucketing für strukturierte oder Freitextdaten zur Verfügung.

Böswillige Administratoren

Die meisten Computersysteme sind so konzipiert, dass ausgewiesenen Administratoren uneingeschränkte Rechte erteilt werden. Böswillige oder manipulierte Administratoren verfügen somit über ausreichende Berechtigungen, um die in einem der in diesem Dokument behandelten Szenarien beschriebenen Schäden anzurichten. Darüber hinaus sind sie am besten in der Lage, Protokolle und Beweise für ihre Handlungen zu löschen. Um diese Risiken zu reduzieren, müssen Rechte und Befugnisse über Teile Ihres Netzwerks getrennt aufgeteilt werden. Außerdem müssen Administratoren in der Lage sein, sich gegenseitig zu kontrollieren.

Prävention und Schadensminderung

Die Begrenzung der Befugnisse der einzelnen Nutzer ist unerlässlich, um die Risiken zu reduzieren, die von einem böswilligen Administrator ausgehen.

Um ihre zugewiesenen Aufgaben erfüllen zu können, haben Administratoren Rechte, die auch zur unbefugten Weitergabe von Daten verwendet werden können. Mit den folgenden Maßnahmen können die Auswirkungen und das Ausmaß eines solchen Ereignisses jedoch reduziert werden, wenn es eintritt:

  • Schützen Sie ein großes Netzwerk vor Vergehen durch Administratoren, indem Sie ihre Aktivitäten in Logs an einem Ort erfassen, auf den diese keinen Zugriff haben. Lassen Sie die Monitoring- und Logging-Dienste durch ein eigenständiges Sicherheitsteam verwalten.
  • Prüfen Sie auch, ob es sinnvoll ist, Administratoren gegebenenfalls nur temporären Zugriff mit kurzem Ablaufzeitraum zu gewähren. In vielen Netzwerken brauchen Administratoren keinen dauerhaften Zugriff.
  • Lassen Sie Administrationsaufgaben von mehreren Nutzern genehmigen. Indem Sie alle administrativen Aufgaben wie Quellcode behandeln, der eine Genehmigung erfordert, können Sie die Risiken verringern, die von einem einzigen Nutzer ausgehen.

Mitarbeiterkündigungen

Das Computer Emergency Response Team (CERT) am Software Engineering Institute der Carnegie Mellon University hat 2011 eine Untersuchung veröffentlicht, in der gezeigt wird, dass Mitarbeiter Daten eher unbefugt weitergeben, wenn ihnen eine Kündigung bevorsteht. Eine bevorstehende Mitarbeiterkündigung stellt deshalb ein erhöhtes Risiko dar, das zusätzliche Aufmerksamkeit vonseiten des IT-Sicherheitsteams erfordert.

Prävention und Schadensminderung

Bei Netzwerken mit sehr vertraulichen Daten sollten Sie die Protokollierungs- und Monitoringsysteme gegebenenfalls mit der HR-Software verbinden, die eine bevorstehende Kündigung erfasst, und konservativere Grenzwerte festlegen, nach denen die Sicherheitsteams bei einem abnormalen Verhalten der jeweiligen Nutzer alarmiert werden.

Fazit

Vorteile wie Flexibilität, Kosteneinsparungen und Leistungsfähigkeit, die sich durch die Nutzung öffentlicher Cloudinfrastrukturen bieten, erfordern zugleich erhöhte Wachsamkeit und neue Ansätze, um Daten vor unbefugter Weitergabe zu schützen. Mithilfe der in diesem Dokument beschriebenen Verfahren können Sie Richtlinien und Implementierungen für Ihr Unternehmen entwerfen, die auf die Umgebung angewendet werden:

  • Minimieren Sie durch eine Aufgliederung der Daten das Ausmaß einer Exfiltration.
  • Sorgen Sie für Redundanz und Genehmigungserfordernisse in den Workflows von Systemadministratoren, um die Rechenschaftspflicht zu stärken.
  • Verwenden Sie detaillierte Berechtigungen und gewähren Sie Zugriff auf vertrauliche Daten nur dann, wenn es die stellenspezifische Funktion der Person erfordert.
  • Nutzen Sie das Logging, um den Zugriff auf und die Bewegung von Daten in Ihrer Organisation transparenter zu gestalten.
  • Beschränken und überwachen Sie mithilfe von Netzwerkregeln, der Identitäts- und Zugriffsverwaltung (Cloud IAM) und Bastion Hosts ein- und ausgehende Daten für Computer in Ihrer Organisation.
  • Definieren Sie Basiswerte für normale Datenströme, z. B. die Menge von Daten, auf die zugegriffen wird oder die übertragen werden, und die geografischen Standorte, von denen der Zugriff erfolgt. So ist bei abnormalem Verhalten ein Abgleich möglich.

Nächste Schritte

Hat Ihnen diese Seite weitergeholfen? Teilen Sie uns Ihr Feedback mit:

Feedback geben zu...