Eine Firewall ist nicht genug

56 SECURITY Eine Firewall ist nicht genug Hochwertige IT-Sicherheit. Gefahren durch Hacker lauern nicht nur außerhalb. Auch von innen kann eine Bank angegriffen werden – durch Laptops oder USB-Sticks. Daher brauchen laut Autorin Dr. Michaela Harlander Banken mehrere Schutzbarrieren. Autorin: Dr. Michaela Harlander schleusen und sich Zugang verschaf- ist Geschäftsführerin bei GeNUA.  fen. Um zu verhindern, dass sensi- ble Daten über diese Wege in falsche Hände geraten, sollte das LAN der Bank mit weiteren Fire- walls in interne Sicher- heitszonen gegliedert wer- Bankgeschäfte sind Vertrauenssa- den: Server mit sensiblen che. Kunden müssen sich darauf verlassen kön- Kundendaten kommen in nen, dass alle damit verbundenen Daten bei ih- eine restriktiv geschützte rem Institut sicher aufgehoben sind. Deshalb Zone, ebenso die Systeme mit müssen Banken ihre Daten zuverlässig schützen den Daten von Personal und – vor unbefugten Zugriffen, Ausspähung, Mani- Vorstand. Getrennt davon pulationen und Verlusten. Hierzu leistet die IT- wird ein Bereich aufgebaut, in Sicherheit mit Firewallsystemen einen wichti- dem mit weniger vertrauens- gen Beitrag: Sie steuern an zentralen Punkten würdigen WWW- und E-Mail- im Netzwerk, wer auf welche Daten und Syste- Daten gearbeitet werden darf. lässt der PFL die me zugreifen darf und wer eben nicht. Hier wird In einer weiteren Zone können Daten passieren, der aufgezeigt, was beim Einsatz und der Auswahl schließlich die Anbindungen zu Inhalt der Pakete wird je- von Firewalls bei Banken zu beachten ist. externen Partnern und Außen- doch nicht geprüft. Eine entscheidende Stelle für die IT-Sicherheit dienstmitarbeitern eingeschlos- Eine Contentanalyse leisten dagegen ist natürlich der Übergang zwischen dem loka- sen werden. Selbst wenn jetzt ein Application Level Gateways (ALG). Dabei han- len Netz (LAN) der Bank und dem Internet. Hie- Angreifer die äußeren Sicherheits- delt es sich um deutlich aufwändigere Firewall- rüber laufen viele wichtige Kommunikations- systeme überwinden sollte und in systeme, die für jedes über die Verbindung ge- wege – Surfen im WWW, E-Mail, Kontotransak- eine interne Zone eindringen sprochene Protokoll mit einer speziellen Prüf- tionen, Börsenanbindung oder Datenabfragen kann, sind die sensiblen Daten durch die Fire- software ausgestattet sind, einem so genannten von Filialen. Für diese zentralen Anwendungen wall in der zweiten Reihe immer noch sicher Proxy. muss der schnelle und zuverlässige Datentrans- aufgehoben. Ein ALG stoppt zunächst die eintreffenden Pake- fer sichergestellt werden. Gleichzeitig ist aber te und fügt sie zu Datensätzen zusammen. An- unbedingt sicherzustellen, dass keine unbefug- Firewalls innen und außen hand dieser kompletten Datensätze können ten Zugriffe und schädliche Codes aus dem In- jetzt die Proxys den Inhalt analysieren – uner- ternet in das Bankennetz gelangen können. An Firewalls sollten also sowohl an der äußeren wünschter Content wie aktive Inhalte, Spam dieser kritischen Schnittstelle nach außen muss Schnittstelle zum Internet als auch zur Zonen- oder Viren werden identifiziert und abgeblockt. eine Firewall eingesetzt werden, die alle Verbin- bildung innerhalb des LAN eingesetzt werden. Erst nach der sorgfältigen Inhaltsprüfung baut dungen exakt kontrolliert. Welche Firewallsysteme sind jetzt für diese un- das ALG eine neue Verbindung auf und sendet Damit ist es jedoch nicht getan. Denn die An- terschiedlichen Aufgaben geeignet? Denn im die Daten zum Empfänger. bindung an das Internet ist nicht der einzige Businessbereich werden zahlreiche Lösungen Weg, über den unerwünschte Zugriffe und Mal- angeboten. Zunächst ein wichtiges Unterschei- Übergang zum Internet sichern ware in das LAN eindringen können. Häufig ha- dungsmerkmal: Bei den meisten angebotenen ben beispielsweise Vertriebspartner und Außen- Firewalls handelt es sich um Paketfilter (PFL). An der kritischen Schnittstelle Internet-LAN dienstmitarbeiter einen direkten Zugang und Diese Systeme fragen formale Kriterien bei den sollten verschiedene Firewalltypen hintereinan- Laptops, CDs oder USB-Sticks können innerhalb empfangenen Datenpaketen ab, etwa Absender- der in Reihe eingesetzt werden, um hohe Sicher- des LAN eingesteckt werden. Über diese Wege adresse, verwendetes Übertragungsprotokoll heit zu erreichen. können Angreifer hinter dem Rücken der äuße- und angesteuerte Portnummer. Wenn diese ge- Selbst wenn es einem Angreifer gelingt, das ers- GeNUA ren Firewall häufig sehr einfach Codes ein- mäß den vorgegebenen Regeln zugelassen sind, te Sicherheitssystem auszuhebeln, gelangt er geldinstitute  4 2010 SECURITY 57 statt an sensible Daten direkt an die nächste Fi- rewall. Da diese auf ganz anderen Sicherheits- mechanismen basiert, kommt der Angreifer hier mit seiner Masche nicht weiter. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) Bildung von Sicherheitszonen. empfiehlt, die Nahtstelle zwischen Internet und LAN mit drei unterschiedlichen Firewalls hin- Modus als transparente Systeme einsetzen – bei bereich zahlreiche Firewalllösungen angeboten. tereinander abzusichern, zwei PFLs und einem der Installation im Netzwerk muss dann keine Die Qualität der Firewalls ist jedoch sehr unter- ALG in der Mitte – die sogenannte PAP-Kon- einzige IP-Adresse verändert werden. Firewalls schiedlich. Hilfreich zur Auswahl einer hoch- struktion. sollen also die sicherheitskritischen Schnittstel- wertigen Lösung sind die Sicherheitszertifikate, Banken müssen jedoch nicht drei unterschiedli- len im Netzwerk überwachen. Über diese Kon- die von unabhängigen Stellen wie dem Bundes- che Firewalls beschaffen und administrieren, trollpunkte laufen natürlich zahlreiche Verbin- amt für Sicherheit in der Informationstechnik um die PAP-Konstruktion zu erreichen. Die Auf- dungen, die zentrale Lebensnerven für den (BSI) vergeben werden. gabe des ersten PFL kann der Router überneh- Bankbetrieb sind: Die Anbindungen an das In- men, der sowieso am Übergang zwischen Inter- ternet und die weltweiten Handelssysteme, On- Kundenservice das A und O net und LAN eingesetzt wird, um den Daten- linebanking, die E-Mail-Kommunikation oder fluss stets in die richtige Richtung zu lenken. Je- auch der befugte Zugriff auf Kundendaten müs- Am gängigsten sind heutzutage Zertifizierun- der Router kann mit einem Satz Filteregeln aus- sen ständig funktionieren – Ausfälle bei diesen gen nach dem internationalen Standard Com- gestattet werden und dient somit als erster PFL Kommunikations- und Bankanwendungen mon Criteria (CC). Ein Firewallsystem sollte hier an dieser exponierten Stelle. würden schnell zu hohen Verlusten und unzu- ein Zertifikat in der Stufe EAL 4 aufweisen. Auf Dahinter kann jetzt eine kombinierte Lösung friedenen Kunden führen. Deshalb sollten diese diesem Level muss der Hersteller alle Sicher- eingesetzt werden, die ein ALG sowie einen PFL wichtigen Verbindungen ausschließlich über heitsmechanismen ausführlich dokumentieren als jeweils separate Systeme umfasst. Der Vorteil ausfallsichere Firewallcluster abgesichert wer- und den Quellcode vorlegen. Die unabhängigen einer solchen zweistufigen Komplettlösung ist, den.