{"id":13596,"date":"2018-11-28T11:46:56","date_gmt":"2018-11-28T10:46:56","guid":{"rendered":"https:\/\/www.sysbus.eu\/?p=13596"},"modified":"2018-11-26T09:50:00","modified_gmt":"2018-11-26T08:50:00","slug":"netzwerk-absicherung-datenschutz-knotenpunkt-dns","status":"publish","type":"post","link":"https:\/\/www.sysbus.eu\/?p=13596","title":{"rendered":"Netzwerk-Absicherung: Datenschutz-Knotenpunkt DNS"},"content":{"rendered":"

Autor\/Redakteur: Rainer Singer, Systems Engineering Manager Zentraleuropa bei Infoblox<\/a>\/gg<\/p>\n

Seit dem 25. Mai 2018 ist die Datenschutz-Grundverordnung (kurz: DSGVO) in Kraft. Hintergrund der Idee war es unter anderem, personenbezogene Daten innerhalb der Europ\u00e4ischen Union zu sch\u00fctzen. Nach knapp drei Monaten sind jedoch immer noch Unsicherheiten zu sp\u00fcren \u2013 Werden Daten ausreichend gesch\u00fctzt? Was passiert mit ihnen, und wer kann sie einsehen? Auch wenn viele Verantwortliche nun deutlich sensibler als zuvor auf das Thema Datenschutz schauen und sogar Sanktionen drohen, k\u00e4mpfen noch immer viele Unternehmen auf ihrem Weg zum DSGVO-konformen Datenschutz. Dabei bietet sich eine Netzwerkkomponente besonders als Knotenpunkt der Datensicherheit an: das Domain Name System (DNS).<\/p>\n

\"\"<\/a><\/p>\n

<\/p>\n

Laut Untersuchungen von ESG Research wurden allein 2017 aus Unternehmen und Organisationen Milliarden Datens\u00e4tze entwendet. Die h\u00e4ufigste Angriffsmethode dazu war Malware, die zum Teil sehr spezifisch konzipiert wurde. Entweder sind die Schadprogramme inzwischen nur auf ein spezielles System ausgelegt oder nur in einem gewissen Zeitraum aktiv, um die Chancen auf Entdeckung zu minimieren. Auch Ransomware ist ein wachsender Risikofaktor. Doch woran sollten Unternehmen bei der Datensicherheit konkret denken?<\/p>\n

Zuerst muss klar definiert sein, wo Daten gespeichert werden, wie und wer sie verwendet und welche Netzwerkstrukturen sie passieren. Die verbreitete Annahme, dass nur personenbezogene Daten gesichert werden m\u00fcssten, ist falsch. Passw\u00f6rter und Anmeldedaten m\u00fcssen ebenfalls ausreichend abgesichert werden, da mit diesen jene personenbezogenen Daten f\u00fcr Angreifer auch erreichbar sind. Nicht zu vergessen sind im DSGVO-konformen Sicherheitskonzept die Netzwerkbereiche Unternehmens-Backups, Anwender-Systeme sowie Server und Schattendaten. Die Zuweisung von Zugriffskontrollen (ob rollenbasiert oder regelbasiert) hilft ebenfalls, einen \u00dcberblick \u00fcber die Daten, Netzwerkdienste und schlie\u00dflich die Umsetzung von Richtlinien zu bewahren.<\/p>\n

Rollenbasierte Zugriffskontrollen weisen den einzelnen Benutzern des Netzwerkes Rollen entsprechend ihrer Funktion im Unternehmen zu und bestimmen auf dieser Grundlage die einzelnen Autorisierungen. Regelbasierte Zugriffskontrollen sind auf Grundlage von Regeln f\u00fcr Personen im Umgang mit entsprechenden Objekten abgestimmt.<\/p>\n

Endpunkt-Kontrollen versus Netzwerkkontrollen<\/strong><\/p>\n

Das eine Patentrezept f\u00fcr Datensicherheit gibt es zwar nicht \u2013 daf\u00fcr sind die immer heterogeneren IT-Infrastrukturen in Unternehmen einfach zu unterschiedlich. Eine gro\u00dfe Landschaft an Security-Tools, die alle auf unterschiedliche Spezialisierungen zielen (wie Endpoint, Firewall, SIEM und \u00c4hnliches) vereinfachen es zudem nicht gerade, \u00dcberblick im Netzwerk zu behalten. Grunds\u00e4tzlich k\u00f6nnen endpunktbasierte und netzwerkbasierte Kontrollen durchgef\u00fchrt werden. Endpunktbasierte Kontrollen sind beispielsweise E-Mail-Sicherheit, Schwachstellen-Management und Anlagenerkennung. Doch das reicht allein nicht aus, denn der VBIR 2017 zum Beispiel zeigt, dass 66 Prozent aller Malware \u00fcber sch\u00e4dliche Anh\u00e4nge in E-Mails installiert wurden. Neben Technologie ist hier nach wie vor auch die Mitarbeiter-Sensibilisierungen wichtig, um das Netzwerk nicht unn\u00f6tigen Risiken durch unbedachtes User-Verhalten auszusetzen.<\/p>\n

Netzwerkbasierte Security (wie SSH-, HTTPS- und VPN-Verschl\u00fcsselungen oder Firewalls) geh\u00f6ren erg\u00e4nzend unbedingt zum Sicherheitskonzept. Allerdings k\u00f6nnen es auch genau einzelne Netzwerkdienste sein, die als Einfallstor f\u00fcr Angreifer missbraucht werden, wenn es an der konsistenten Kontrolle mangelt. Denn auch zum Transport verschl\u00fcsselter Daten kommunizieren Server miteinander \u2013 und diese Kommunikation kann unterwandert werden.<\/p>\n

<\/p>\n

Das Domain Name System als erste Abwehr<\/strong><\/p>\n

Die Kommunikation im Internet basiert auf dem Domain Name System (DNS), das verst\u00e4ndliche und lesbare URLs in die deutlich sperrigeren IP-Adressen aufl\u00f6st, so dass \u00fcber Router Anfragen und Antworten je passend zuzuordnen sind. Die enormen Mengen an Serveranfragen, die in gro\u00dfen Netzwerken transportiert werden, kann man sich wie eine vielbefahrene LKW-Spur vorstellen: Einige Laster transportieren ihre Waren offen, andere Frachten sind unter Planen verborgen. Sind in bestimmten DNS-Queries zum Beispiel kleine Datenpakete verborgen, die nur dazu da sind, am Zielort Schaden anzurichten, wird es problematisch \u2013 \u00e4hnlich einem LKW, der unentdeckt gef\u00e4hrliche G\u00fcter transportiert. F\u00fcr m\u00f6glichst gro\u00dfe Sicherheit empfiehlt sich daher auch der Blick \u201eunter die Plane\u201c, um im Bild zu bleiben. Will hei\u00dfen: der Blick in Aufbau und Charakteristik der einzelnen DNS-Queries, konsistent und in Echtzeit. Da dies aufgrund der schieren Menge in den meisten Organisationen manuell kaum darstellbar ist, sollten entsprechende L\u00f6sungen automatisiert und zentral gemanagt sein.<\/p>\n

Eine zentrale L\u00f6sung f\u00fcr den Datenschutz<\/strong><\/p>\n

Damit dies gerade auch f\u00fcr die firmeninterne IT-Security einfacher zu realisieren ist, empfiehlt es sich, ein zentrales Management f\u00fcr den DNS-Datenverkehr einzurichten. Nur so k\u00f6nnen Richtlinien und Konfigurationen auch zuverl\u00e4ssig protokolliert werden. Nicht zu vergessen sind zudem Security-Integrationen, da alle verschiedenen Komponenten zur Netzwerksicherheit Zugriff auf die relevanten Informationen haben sollten. Denn Threat Intelligence lebt davon, dass Threat-Informationen nicht in \u201eWissens-Silos\u201c bleiben, sondern ge\u00f6ffnet, gesammelt, stets aktualisiert und in m\u00f6glichst gro\u00dfer Breite verf\u00fcgbar gemacht werden.<\/p>\n

Fazit<\/strong><\/p>\n

Angreifer nutzen das DNS zunehmend, um Standard-Sicherheitskontrollen zu umgehen. Der SANS-Report zeigt etwa, dass zwar 42 Prozent von 257 befragten IT- und Sicherheitsbeauftragten ihre DNS-Infrastrukturen scannen, aber nur 19 Prozent dies mindestens einmal pro Woche und nur neun Prozent ununterbrochen tun. Der gr\u00f6\u00dfte Teil (58 Prozent) nutzt die \u00dcberpr\u00fcfung der DNS-Infrastruktur nicht. Ein unn\u00f6tiges Risiko, wenn die DNS-Security auch weiterhin ignoriert wird. Eine gro\u00dfe Chance allerdings, wenn das DNS als potente Netzwerkkomponente erkannt wird, die sich gut eignet, um ein ganzheitliches Security-Konzept aufzusetzen.<\/p>\n","protected":false},"excerpt":{"rendered":"

Autor\/Redakteur: Rainer Singer, Systems Engineering Manager Zentraleuropa bei Infoblox\/gg Seit dem 25. Mai 2018 ist die Datenschutz-Grundverordnung (kurz: DSGVO) in<\/p>\n","protected":false},"author":3,"featured_media":13592,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"colormag_page_container_layout":"default_layout","colormag_page_sidebar_layout":"default_layout","footnotes":""},"categories":[8,37],"tags":[1501,9408,1653,11858,3923,825,11311,1458,5432,11859,1426,3731,2312,180],"class_list":["post-13596","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-artikel","category-security","tag-dns","tag-dsgvo","tag-endpoint","tag-esg-research","tag-eu","tag-firewall","tag-infoblox","tag-malware","tag-ransomware","tag-sans-report","tag-siem","tag-ssh","tag-ssl","tag-vpn"],"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/13596","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=13596"}],"version-history":[{"count":1,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/13596\/revisions"}],"predecessor-version":[{"id":13597,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/13596\/revisions\/13597"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/media\/13592"}],"wp:attachment":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=13596"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=13596"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=13596"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}