{"id":14997,"date":"2019-09-10T11:04:06","date_gmt":"2019-09-10T09:04:06","guid":{"rendered":"https:\/\/www.sysbus.eu\/?p=14997"},"modified":"2019-09-09T09:11:34","modified_gmt":"2019-09-09T07:11:34","slug":"den-hacker-im-browser-isolieren-drei-schritte-zum-sicheren-surfen-in-unternehmen","status":"publish","type":"post","link":"https:\/\/www.sysbus.eu\/?p=14997","title":{"rendered":"Den Hacker im Browser isolieren: Drei Schritte zum sicheren Surfen in Unternehmen"},"content":{"rendered":"\n

Autor\/Redakteur: Herbert Mayer, Sales Engineer bei Bitdefender<\/a>\/gg<\/p>\n\n\n\n

Ob Katzenvideos, Facebook, Webmail, Online-Recherchen oder Businessanwendungen: Mitarbeiter benutzen Browser f\u00fcr eine endlose Zahl an T\u00e4tigkeiten, m\u00f6gen diese nun mit der Arbeit zu tun haben oder nicht. Unternehmen m\u00fcssen schlichtweg damit rechnen, dass ein Kollege auch einmal unbedacht auf b\u00f6sartige oder manipulierte Inhalte trifft oder unbedacht klickt. Das stellt nicht einmal ein Problem dar, wenn die Infrastruktur daf\u00fcr richtig aufgebaut ist. Doch wenn diese b\u00f6sartigen Inhalte tats\u00e4chlich auf dem Endger\u00e4t ausgef\u00fchrt werden, kann der Schaden immens sein und den Angreifern steht der Weg ins Netzwerk offen. <\/p>\n\n\n\n

\"\"
Browser Isolation schottet Endger\u00e4te der Anwender von den Gefahren im Web vollst\u00e4ndig ab (Bildquelle: Bitdefender) <\/figcaption><\/figure>\n\n\n\n\n\n\n\n

Zurecht\nvertrauen nur wenige Administratoren in die inh\u00e4rente Sicherheit von\nWebbrowsern und der dazugeh\u00f6rigen Plug-Ins. Gleichzeitig verlangen die\nEndbenutzer Zugang zu einer Vielzahl von internen und externen Webressourcen\nund lieben die Bequemlichkeit der kleinen Zusatzprogramme im Browser. Den\nZugang zu diesem Universum an Inhalten einzuschr\u00e4nken, ist in vielen F\u00e4llen\nunrealistisch, aber ein besonderer Schutz ist ratsam. Zu dem Personenkreis, bei\ndem er angesichts der heutigen Bedrohungslandschaft dringend geboten ist,\ngeh\u00f6ren Vorst\u00e4nde und Mitarbeiter der Personal- oder Finanzabteilung. Zu den\nbesonders schutzbed\u00fcrftigen Einsatzszenarien z\u00e4hlen die Verwendung von Legacy\nApplications, sowie die Nutzung von nicht vertrauensw\u00fcrdigen Online-Quellen und\nWebseiten. Unternehmen, die \u00fcber die Sicherheit ihrer Browser besorgt sind,\nk\u00f6nnen etwas tun. Die simple Grundidee ist es, den Browser zu virtualisieren,\nkomplett vom Enduser-System zu entkoppeln und die isolierte Umgebung mit den\nneuesten M\u00f6glichkeiten zur Absicherung virtueller Systeme zu sch\u00fctzen. Selbst\nwenn ein Angriff im ersten Schritt Erfolg haben sollte oder eine Malware Fu\u00df\nfassen konnte \u2013 sie kann aus ihrem K\u00e4fig nicht entkommen und keinen Schaden\nanrichten.<\/p>\n\n\n\n

Warum sind Browser unsicher?<\/strong><\/p>\n\n\n\n

Doch zun\u00e4chst zur Frage warum Browser eigentlich so unsicher sind. K\u00f6nnte man sie nicht einfach sicher gestalten? Das Problem besteht darin, dass Webbrowser so konzipiert sind, dass sie sehr heterogenen Rich Content herunterladen und einiges davon lokal ausf\u00fchren, um Webseiten und Inhalte wiederzugeben. Diese Ausf\u00fchrung von Inhalten stellt ein Risiko dar. Denn Angreifer nutzen Schwachstellen in Browsern und der extrem gro\u00dfen Vielfalt an g\u00e4ngigen Plug-Ins aus. Dies kann zur Kompromittierung des Endger\u00e4ts und zur Installation von Ransomware oder anderer Malware f\u00fchren. Hacker k\u00f6nnen die benachbarte Infrastruktur im Netzwerk angreifen und ausspionieren. Zum Beispiel nutzen APTs (Advanced Persistent Threats) bevorzugt Browser als Einfallstor, um Organisationen zu infizieren. Dies geschieht oft \u00fcber Schwachstellen in Plug-Ins wie Adobe Flash, Adobe Reader oder Java.<\/p>\n\n\n\n

Schutz durch Endpoint Security und Secure Web Gateways <\/strong><\/p>\n\n\n\n

Die meisten Unternehmen setzen zum Schutz vor Browser-basierten Attacken L\u00f6sungen wie Endpoint Anti-Malware und Secure Web Gateways (SWG) ein. Sie bleiben ein notwendiger Bestandteil der Sicherheitsinfrastruktur. Heutige Anti-Malware sucht nach bekannter und unbekannter Malware, \u00fcberwacht Prozesse, nutzt zahlreiche weitere Sicherheitsmechanismen wie Machine Learning und wehrt die gro\u00dfe Masse der Angriffe ab. Doch selbst die besten L\u00f6sungen k\u00f6nnen nicht verhindern, dass neue ausgefeilte Angriffswege manchmal durch die Ritzen gleiten. Ein Beispiel daf\u00fcr ist die scheinbar legitime Ausf\u00fchrung eines manipulierten Programms nach einem Identit\u00e4tsdiebstahl. <\/p>\n\n\n\n\n\n\n\n

Ebenso\nist die Verwendung eines Secure Web Gateway, welches das Surfen auf\nbekannterma\u00dfen gutartige Webressourcen beschr\u00e4nkt, keine vollst\u00e4ndige L\u00f6sung.\nDie Verwaltung der Liste der legitimen Ressourcen ist selbst in kleinen\nUnternehmen l\u00e4stig. Denn diese Liste, deren Inhalte die Endnutzer ben\u00f6tigen,\nist lang und dynamisch. Dar\u00fcber hinaus k\u00f6nnen selbst vertrauensw\u00fcrdige Websites\nauf verschiedene Weise kompromittiert werden, wodurch eine gute Ressource im Nu\nb\u00f6sartig wird. Selbst die Verwendung eines hybriden Ansatzes, wie\nURL-Reputation, bleibt per Definition immer reaktiv.<\/p>\n\n\n\n

Schutz durch Browser-Virtualisierung<\/strong> <\/p>\n\n\n\n

Ein notwendiger zweiter Schritt ist daher die Isolierung von Browsern (Browser Isolation). Das hei\u00dft, man wendet auf die Browser das Prinzip der Demilitarisierten Zone (DMZ) an: Administratoren haben seit langem Rechenzentren so konzipiert, dass sie webbasierte Ressourcen, wie beispielsweise Webserver, in der DMZ isolieren. Sensiblere Ressourcen, wie Anwendungs- und Datenbankserver, werden in Teilen des Netzwerks gehostet, die von au\u00dfen nicht direkt zug\u00e4nglich sind. <\/p>\n\n\n\n

Das\ngleiche Konzept nutzen viele Unternehmen f\u00fcr Webbrowser: Da Browser nach au\u00dfen\ngerichtete Ressourcen sind, sollten sie von den Ger\u00e4ten der Endnutzer isoliert\nwerden. Anwendungsvirtualisierung ist eine gro\u00dfartige M\u00f6glichkeit, das\nEpizentrum der Browseraktivit\u00e4ten von Endger\u00e4ten auf virtualisierte Server zu\nverlagern. Durch die Isolierung des Endanwender-Browsers vom Web wird\nsichergestellt, dass Angreifer \u00fcber den Browser keinen Fu\u00df in die Infrastruktur\nbekommen und die Ausf\u00fchrungsumgebung des virtualisierten Browsers nicht\nverlassen k\u00f6nnen.<\/p>\n\n\n\n

Den virtualisierten Browser vom Hypervisor aus sch\u00fctzen<\/strong><\/p>\n\n\n\n

Die Isolierung von Browsern ist ein gro\u00dfartiger zweiter Schritt f\u00fcr eine h\u00f6here Sicherheit. Doch genauso wie Administratoren Systeme in der DMZ nicht ungesch\u00fctzt lassen, m\u00fcssen auch die Systeme, auf denen virtualisierte Browser laufen, sowie die Browser selbst gesch\u00fctzt werden. Neue Ans\u00e4tze nutzen hier die einzigartige Chance, virtuelle Instanzen vom Hypervisor aus zu sichern.<\/p>\n\n\n\n

Hier\ngeht es nicht mehr um die Suche nach guten oder sch\u00e4dlichen Elementen, wie bei\nanderen Sicherheitsmechanismen. Eine so gesch\u00fctzte Browser-Umgebung verteidigt\ngegen Angriffe, indem der Arbeitsspeicher des Servers, der den Browser\nvirtualisiert zur Verf\u00fcgung stellt, auf Angriffstechniken wie Buffer Overflow,\nCode Injection und Heap Spray hin beobachtet. Dies sind die Techniken, mit der\nviele Attacken beginnen und die mittels ausgefeilter Technologie direkt im Raw\nMemory erkannt und noch vor der Ausf\u00fchrung gestoppt werden. Weil die L\u00f6sung die\nvirtuelle Maschine von au\u00dfen sch\u00fctzt, kann der Angreifer sie nicht erkennen und\nnicht aushebeln. Ohne Client oder sonstige Ressourcen auf den gesch\u00fctzten\nVirtual Apps Servern erkennt dieser Sicherheitsansatz Angriffstechniken, die\ndarauf abzielen, bekannte, unbekannte und neuartige Schwachstellen in\nWebbrowsern sowie den dazugeh\u00f6renden Plug-Ins auszunutzen.
\nZu den Anbietern f\u00fcr virtualisierte und zugleich benutzerfreundliche\nBereitstellung von Browsern, dessen Produkte in vielen deutschsprachigen\nUnternehmen im Einsatz ist, geh\u00f6rt Citrix. Der Hypervisor dieses Unternehmens\nwar zugleich der erste, der die Nutzung der von Bitdefender entwickelten\nHypervisor Introspection (HVI) erm\u00f6glichte und damit eine vollst\u00e4ndig sichere\nBrowser Isolation erlaubte. Beim kombinierten Ansatz dieser Technologien,\nbieten Browser keinerlei Angriffsfl\u00e4che mehr. <\/p>\n\n\n\n

Den Hacker ins Leere laufen lassen<\/strong><\/p>\n\n\n\n

Zusammengefasst: Webbrowser geh\u00f6ren zu den wichtigsten Einfallstoren f\u00fcr Malware und Hacker-Angriffe. Endpoint Security und Secure Web Gateways blocken viele Angriffswege ab, aber nicht alle. Browser Isolation sorgt daf\u00fcr, dass die gesamte Browser-Aktivit\u00e4t in einer virtuellen Umgebung im Rechenzentrum stattfindet. Dort kann sie mit modernsten Mitteln gesch\u00fctzt werden, insbesondere mit Hypervisor Introspection (HVI). Eine solche speziell gesicherte Browser Isolation bietet sich an f\u00fcr das Top-Management, Finanzwesen und Personalwesen sowie risikoreiche Ressourcen und veraltete Browser, die zur Unterst\u00fctzung von Legacy-Anwendungen im Einsatz bleiben m\u00fcssen. Wenn Mitarbeiter sich dann wieder einmal zu einem Klick auf ein s\u00fc\u00dfes Katzenvideo verleiten lassen, ist das nur noch ein Fall f\u00fcr das Controlling \u2013 aber keiner mehr f\u00fcr die IT-Security. Denn der Hacker l\u00e4uft ins Leere: Da wo er sich befindet, ist nichts zu holen.<\/p>\n","protected":false},"excerpt":{"rendered":"

Ob Katzenvideos, Facebook, Webmail, Online-Recherchen oder Businessanwendungen: Mitarbeiter benutzen Browser f\u00fcr eine endlose Zahl an T\u00e4tigkeiten, m\u00f6gen diese nun mit der Arbeit zu tun haben oder nicht. Unternehmen m\u00fcssen schlichtweg damit rechnen, dass ein Kollege auch einmal unbedacht auf b\u00f6sartige oder manipulierte Inhalte trifft oder unbedacht klickt. Das stellt nicht einmal ein Problem dar, wenn die Infrastruktur daf\u00fcr richtig aufgebaut ist. Doch wenn diese b\u00f6sartigen Inhalte tats\u00e4chlich auf dem Endger\u00e4t ausgef\u00fchrt werden, kann der Schaden immens sein und den Angreifern steht der Weg ins Netzwerk offen. <\/p>\n","protected":false},"author":1,"featured_media":14998,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"colormag_page_container_layout":"default_layout","colormag_page_sidebar_layout":"default_layout","footnotes":""},"categories":[8,37],"tags":[791,136,1765,156,5136,362,9693,2339,9845,3534,12852,6256,314],"class_list":["post-14997","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-artikel","category-security","tag-apt","tag-bitdefender","tag-browser","tag-citrix","tag-dmz","tag-endpoint-security","tag-hvi","tag-hypervisor","tag-isolation","tag-legacy","tag-secure-web-gateway","tag-virtualisierung","tag-xenserver"],"amp_enabled":true,"_links":{"self":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/14997","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=14997"}],"version-history":[{"count":1,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/14997\/revisions"}],"predecessor-version":[{"id":14999,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/posts\/14997\/revisions\/14999"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=\/wp\/v2\/media\/14998"}],"wp:attachment":[{"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=14997"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=14997"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.sysbus.eu\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=14997"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}