Sicherheit im E-Procurement - trotz Internet? Wie steht es um die Internet-Security

Sicherheit im E-Procurement – trotz Internet? Wie steht es um die Internet-Security? e_procure Nürnberg 2002 Dr. Matthias Leu AERAsec Network Services and Security GmbH Übersicht • Einleitung • Risikopotenzial • Einige Risiken für das E-Procurement • Lösungsansätze – Sicherheitskonzept – Technische und organisatorische Maßnahmen • Aufrechterhaltung der Sicherheit • Zusammenfassung © 2002, AERAsec Network Services and Security GmbH, D-85662 Hohenbrunn – www.aerasec.de Potenzielle Gefahr Größe des Internet 120000000 100000000 80000000 60000000 40000000 20000000 0 Jul Jul Hosts Jul Jul Jul Jul Jul Okt Okt Okt 99 00 01 Okt Okt 96 97 98 Aug Okt Okt 91 92 93 94 95 90 81 85 89 Die Anzahl der Benutzer liegt derzeit bei ca. 500 MillionenNielsen/Net Ratings Menschen! © 2002, AERAsec Network Services and Security GmbH, D-85662 Hohenbrunn – www.aerasec.de Grundsätzliches zur Technologie • Designkriterien der Internet-Technologie sind – Ausfallsicherheit – Betriebssicherheit – Offenheit und gegenseitiges Vertrauen • Heutige Anforderungen sind z.B. – Vertrauliche Datenübertragung – Sichere Authentisierung und Verbindlichkeit – Gute Kontrolle des Datenverkehrs zwischen Netzwerken verschiedener Vertrauensstufen – Guter Schutz vertraulicher, interner Daten (z.B. ERP-System) – Schutz vor Schadcode Ø Das Internet eignet sich für die heutigen Anforderungen nur bedingt! Zusätzliche Anforderungen sind implementierbar, bedeuten aber ein Mehr an Aufwand © 2002, AERAsec Network Services and Security GmbH, D-85662 Hohenbrunn – www.aerasec.de Ist die Gefahr wirklich vorhanden? • Test vom San Diego Supercomputer Center* – Aufsetzen eines Linux (ohne Systemverbesserungen) und Anschluss dieses Rechners an das Internet: Ø In weniger als 8 Stunden erste Angriffe Ø Nach 3 Wochen wurden bereits 20 verschiedene Exploits von außen ausprobiert Ø Nach knapp 6 Wochen vollständige Übernahme der Maschine Statistik des US-CERT: 60000 50000 40000 30000 20000 10000 0 1992 1993 1994 1995 1996 1997 1998 1999 2000 2001 Incidents *security.sdsc.edu/incidents/worm.2000.01.18.shtml © 2002, AERAsec Network Services and Security GmbH, D-85662 Hohenbrunn – www.aerasec.de Ist die Gefahr wirklich vorhanden? • Computer Security Institute, 12.03.2001* Ø 85% aller Unternehmen hatten innerhalb der letzten 12 Monate sicherheitsrelevante Ereignisse Ø 64% der Unternehmen bestätigten einen finanziellen Schaden Ø 35% berechneten diesen Schaden: US$ 377.828.700 Ø 40% entdeckten Einbruchsversuche von außen Ø 38% entdeckten Denial-of-Service Angriffe Ø 94% entdeckten Schadcode Ø 91% „erwischten“ Mitarbeiter bei missbräuchlichen Nutzung des Internet (z.B. Zugriffsversuche auf verbotene Web-Server, illegale Software, private Nutzung von E-Mail...) * www.gocsi.com/prelea_000321.htm © 2002, AERAsec Network Services and Security GmbH, D-85662 Hohenbrunn – www.aerasec.de Schwierigkeiten – Nicht alle Angriffe werden bemerkt – und können daher natürlich nicht in einer Statistik erfasst werden – Nur wenige Einbrüche werden nach außen gemeldet – Unternehmen wägen die Bekanntgabe sehr streng ab – Die genaue Bezifferung eines entstandenen Schadens ist oft unmöglich – was „kostet“ es beispielsweise, wenn eine Gehaltsliste in falsche Hände gerät? – Nicht alle Angriffe kommen von außen, z.B. aus dem Internet. Bis zu 70% der Schäden entstehen durch interne Benutzer! • Frustrierte Mitarbeiter • Spieltrieb oder Langeweile • „Power User“ • Unwissende oder überforderte Administratoren • ... © 2002, AERAsec Network Services and Security GmbH, D-85662 Hohenbrunn – www.aerasec.de Bereiche des E-Procurement • Präsentation von Unternehmen, Betrieb von E-Shops, Marktplätzen und Bereitstellung von Informationen für Kunden und Partner geschieht über Web-Server • Die Funktionalität der Server wird oft über Skripte, Servlets oder eine andere Prozesskommunikation (z.B. RPC, CORBA, SOAP) realisiert. • Wegen der Daten-Aktualität ist oftmals ein direkter Durchgriff auf SQL- Datenbanken notwendig • Der katalogbasierte Einkauf wird über Web-Server und Web-Browser abgewickelt • Bestellung, Bestätigung und weitere wichtige Kommunikation geschieht heute oft durch E-Mail • Auktionen für den Einkauf laufen wie Reverse Auktionen auch meist über Web-Server • Partner und Lieferanten greifen auf ERP-Systeme zu, diese Server sind dann aus dem Internet erreichbar Ø Basis für E-Procurement sind komplexe Internet-Technologien © 2002, AERAsec Network Services and Security GmbH, D-85662 Hohenbrunn – www.aerasec.de Technologie für E-Procurement Sicherheit ⇔ keep it simple! • E-Mail – Auch heute wird E-Mail meist im Klartext versandt – Eine Verbindlichkeit ist nicht gegeben – Sichere E-Mail heißt Aufwand • Web-Browser – Sichere Web-Browser unterstützen keine aktiven Inhalte – Browser bieten sehr viele Möglichkeiten und sind sehr komplex – Für alle gängigen Browser sind viele Sicherheitslücken bekannt • Web-Server – Die eingesetzten Web-Server sind komplex, einfache Web-Server können nicht auf Datenbanken oder ERP-Systeme zugreifen – Heutige Web-Server müssen bedienbar sein, daher noch eine Steigerung der Komplexität • Weitere Server – Komplexes Zusammenspiel unterschiedlichster Server ist nötig – Erreichbare Server müssen abgesichert sein © 2002, AERAsec Network Services and Security GmbH, D-85662 Hohenbrunn – www.aerasec.de Einige Risiken des Internet • Spoofing: Vortäuschen falscher Tatsachen – Spoofing des Domain Name Service (DNS) Verknüpfung einer gefälschten IP Adresse mit einem richtigen Namen, Benutzer werden mit einem anderen Server als beabsichtigt verbunden – Web Spoofing Kopieren und Fälschen eines Web Servers. Die Benutzer werden in Kombination mit DNS Spoofing mit diesem gefälschten Server verbunden und meinen trotzdem, sich auf dem richtigen Server zu befinden – E-Mail Spoofing Das Fälschen des Absenders einer E-Mail ist heute auch für viele Ungeübte kein Problem © 2002, AERAsec Network Services and Security GmbH, D-85662 Hohenbrunn – www.aerasec.de Ist dieses eine „echte“ E-Mail? © 2002, AERAsec Network Services and Security GmbH, D-85662 Hohenbrunn – www.aerasec.de Risiko: Mail-Relaying • Heutige Mailserver sollten sicher aufgesetzt sein • Vor allem sollte verhindert werden, dass sie von außen als Mail-Relay für Spamming nutzbar sind! • Geschieht dieses nicht, sind möglicherweise hohe Kosten für das Unternehmen die Folge („mal eben über Nacht 100.000 E-Mails verschickt“) • Oft ist eine weitere Folge der Eintrag unter URL‘s, über die Listen offener Mail-Relays abrufbar sind, z.B. http://www.crynwr.com/spam/ http://www.mail-abuse.org/ http://www.ordb.org/ Ø Kaum mehr Versand von E-Mail in das Internet möglich, weil andere Mail-Server diese nicht annehmen. © 2002, AERAsec Network Services and Security GmbH, D-85662 Hohenbrunn – www.aerasec.de Übersicht zu Web-Servern • Verbreitung von Servern • Erfolgreiche Angriffe gegen Server Apache Microsoft Linux Microsoft Netscape Zeus Solaris FreeBSD WebSTAR WebSite IRIX BSDI Andere Andere http://www.securityspace.