Kurányi wird entlassen?! Patch-Management im Privat- und Unternehmensumfeld

Produkte & technologien Nutzen und Gefahren von Bugfix, Update, Patch und Co. Kurányi wird entlassen?! Patch-Management im Privat- und Unternehmensumfeld Wenn im Auto die Lampe für eine Fehlfunktion aufleuchtet, fährt man schnur- Die Entwicklung von Schwachstel- stracks zur Werkstatt und zahlt bereitwillig Geld, damit die Bremsen funkti- len und Angriffen onieren oder das ESP einsatzfähig bleibt. Wenn ein Programm auf dem PC die Information ausgibt, dass ein Update bereitsteht, so kann es durchaus 100-prozentige Sicherheit gibt es wie im sein, dass die Nachricht einfach weggeklickt oder ignoriert wird, da sie ge- realen Leben auch im Internet nicht. Aktu- rade stört. Und Geld würde man dafür erst recht nicht ausgeben wollen. Ge- elle Betriebssysteme, Protokolle oder wei- nau wie beim Auto sind nicht alle Updates sicherheitsrelevant, aber genau tere IT-Konzepte werden in Zukunft nicht dies sollte man genau im Blick haben, um nicht Opfer von Angriffen zu wer- mehr ausreichend sein, um Sicherheit zu den. Es gibt heutzutage noch keine Sicherheitskultur im Internet und Syste- gewährleisten. Neue proaktive Konzepte, me können auch nicht zu 100% geschützt werden, allerdings sollten die uns wie Sicherheitsplattformen mit Trusted zur Verfügung stehenden Mittel mit hoher Priorisierung genutzt werden. Computing, werden in diesem Kontext ei- nen Quantensprung bringen. Nichtsdesto- Kein Sicherheitsbewusstsein für das System gewährleistet. In einem Fall trotz kann bereits heute eine hohe Sicher- digitale Medien heißt es, dass das Passwort „gewinner“ heit erreicht werden, wenn alle lautete. Der Vorfall verdeutlicht, dass noch Sicherheitsvorgaben beachtet sowie IT- Patch-Management beschreibt die perma- kein Sicherheitsbewusstsein für die digita- Systeme und Sicherheitsanwendungen auf nente Organisation von Updates für Geräte len Dienste besteht. dem aktuellen Stand gehalten werden. und Applikationen. Dies ist absolut not- wendig, um Einfallstore in die eigene IT so Das Internet verknüpft die Welt – Der aktuelle Trend, Computer zu infizieren, gering wie möglich zu halten. Prominente Freund und Feind besteht darin, schadhaften Code auf Inter- Beispiele aus der nahen Vergangenheit zei- netseiten zu platzieren. Dieser Code wiede- gen die Probleme und das mangelnde Si- Die virtuelle Welt bildet ständig wachsend rum nutzt bekannte Schwachstellen oder cherheitsbewusstsein recht eindeutig: eine große Anzahl an Geschäftsprozessen Sicherheitslücken bei der Software des Die Entwickler eines verbreiteten Content- der Unternehmen ab. Speziell das Internet Webseitenbesuchers aus und infiziert den Management-Systems haben ein Sicher- trägt enorm dazu bei, neue Vertriebskanäle Rechner. heitspatch angekündigt, das bei Veröffent- zu eröffnen oder die globale Zusammenar- Das englische IT-Sicherheitsunternehmen lichung sofort eingespielt werden soll, da beit mit Firmen unterschiedlicher Herkunft Sophos hat im Jahr 2008 durchschnittlich die Veröffentlichung auch die Beschaffen- zu vereinfachen. Für die meisten Unterneh- alle 4,5 Sekunden eine neu infizierte Web- heit des Fehlers mit sich bringt. Dieses Vor- men bedeutet der Ausfall der IT den Total- seite entdeckt [4]. Dies unterstreicht erneut gehen ist gut, üblich und nachvollziehbar, ausfall aller Prozesse. Aber auch im priva- die Wichtigkeit, sich vor möglichen Gefah- allerdings nur effizient, wenn die Verant- ten Umfeld findet das Internet ren bestens zu schützen und die verwende- wortlichen das Update auch tatsächlich beträchtlichen Zuspruch. Anwendungen te Software up-to-date zu halten. einspielen. Aufgrund dieses Fehlers wurde wie Online-Banking, Online-Auktionshäu- eine prominente Werbung gegen Vorrats- ser oder E-Mail-Versand sind kaum noch Leider ist man auch mit dem aktuellsten datenspeicherung auf der Webseite des wegzudenken. Softwaresystem nicht komplett geschützt. Bundesinnenministers geschaltet [1] sowie Es sind immer häufiger automatisierte und eine „virtuelle“ Entlassung von Kevin Kurá- Aber es gibt auch eine Kehrseite. Das Inter- großflächige Angriffe im Internet zu beob- nyi auf der Seite des FC Schalke 04 bekannt net stellt für Kriminelle einen Eingang in achten, bei denen die Sicherheitslücke noch gegeben [2]. Eine Studie des Instituts für die Systeme der Internetnutzer dar. Man nicht bekannt ist. Internet-Sicherheit hat zusätzlich ergeben, muss sich der Tatsache bewusst sein, dass dass viele weitere Webseiten noch Wochen es keine hundertprozentige Sicherheit gibt. Diese so genannten Zero-Day-Attacken nach Bekanntgabe des Patches nicht aktu- Ein an das Internet angeschlossenes Sys- sind besonders gefährlich, da die Soft- alisiert wurden [3]. tem, sei es ein einzelner PC oder ein ganzes warehersteller noch keine passenden Ge- Netzwerk, ist potenziell angreifbar. Des- genmaßnahmen für diesen Angriff bereit- Die Manipulation der betroffenen Seiten halb reicht es nicht mehr aus, nur den Zu- stellen können. Sind die entsprechenden konnte jedoch nur stattfinden, da ein zu- gang zum Internet zu überwachen. Es müs- Sicherheitsupdates jedoch erstellt und für sätzlicher Fehler der Webseitenbetreiber sen zusätzliche Maßnahmen zum Schutz die Nutzer verfügbar, so liegt es in der Ver- gemacht wurde: Die Wahl eines schwachen vor Risiken und Gefahren ergriffen werden antwortung der Administratoren – oder im Passworts für einen wichtigen Dienst der und es muss mit einer ausgeprägten Si- Privatumfeld der Nutzer selbst –, die Si- Webseite, der dem Angreifer Vollzugriff auf cherheitskompetenz gehandelt werden. cherheitslücken schnell zu stopfen. it-sicherheit [3/2009] 53 Produkte & technologien Patch-Management und seine unterschiedlichen Standorten oder Nieder- Vorteile, aber auch Nachteile beim Notwendigkeit lassungen. Auch die Software ist oft hete- Patch-Management rogen. So verfügen Unternehmen über eine Für Unternehmen gestaltet sich die Not- Menge an Applikationen mit unterschiedli- Neben dem offensichtlichen Gewinn an Si- wendigkeit eines Patch-Managements be- chen Konfigurationen auf verschiedenen cherheit verursacht ein professionell einge- sonders kritisch. Neben der Abwehr von Betriebssystemen unterschiedlicher Versio- setztes Patch-Management weitere positi- Wirtschaftsspionage müssen zusätzlich nen. Ein Patch-Management-Tool hilft da- ve Effekte. Die Systemadministratoren noch gesetzliche Vorschriften zur Datensi- her nicht nur beim eigentlichen Einspielen werden wesentlich unterstützt, was für das cherheit, Verfügbarkeit und zum Daten- der Sicherheitsupdates, sondern auch bei Unternehmen Zeitersparnis und Kostenre- schutz eingehalten werden. Diese unter weiteren Aufgaben wie der Verwaltung von duzierung darstellt. Außerdem kann durch dem Begriff IT-Compliance zusammenge- bereits installierten Patches oder bei Tests die Prozessautomatisierung der personelle fassten Regularien zur Erhöhung der IT-Si- sowie der Konfliktanalyse. Aufwand verkleinert werden, ohne jedoch cherheit können bei Nichteinhaltung hohe das Maß an Sicherheit zu mindern. Der Strafen nach sich ziehen. Nicht zuletzt darf Grundsätzlich lässt sich die Arbeitsweise Nutzen im Hinblick auf IT-Compliance ist der finanzielle Schaden nicht unterschätzt eines typischen Patch-Management-Tools ebenfalls nicht zu vernachlässigen. Die Ein- werden, der entsteht, wenn die IT-Infra- in mehrere Phasen unterteilen. In der De- haltung der gesetzlichen Vorgaben in Be- struktur eines Unternehmens in Folge eines tect-Phase sucht das Tool nach neuen Si- zug auf Verfügbarkeit schützt das Unter- Angriffes beeinträchtigt wird oder gar zu- cherheitsupdates für sämtliche im Unter- nehmen vor teils hohen Schäden, verursacht sammenbricht. Beim Computerwurm SQL- nehmen eingesetzte Software und durch Produktivitätsausfall. Slam-mer beispielsweise wird der weltweite Betriebssysteme. Im zweiten Schritt, der so Produktivitätsausfall in den ersten fünf Tagen genannten Acquire-Phase, wird geprüft, ob Die Nachteile hinsichtlich Patches seien auf etwa 1 Milliarde Dollar geschätzt [5]. die betroffene Sicherheitslücke nicht be- ebenfalls erläutert. Durch die Veröffentli- reits durch die aktuellen Sicherheitsvorkeh- chung von Softwareupdates wird die ent- Der wohl wichtigste Treiber für Patch-Ma- rungen behandelt ist.