In dieser Serie von Blogeinträgen zu Insider-Bedrohungen haben wir viele Aspekte beleuchtet. Kurz zusammengefasst: Insider, die IT-Sabotage begehen oder sensible Informationen stehlen, sind in der Regel technisch versierte Mitarbeiter mit einer Tendenz zu destruktivem Verhalten. Es gibt jedoch in den allermeisten Fällen einen Auslöser – eine Enttäuschung hinsichtlich Job oder Karriere –, der das Fass zum Überlaufen bringt und als Initialzündung fungieren kann.
Gibt es irgendeine Möglichkeit, einen Insider-Vorfall zu verhindern oder das Risiko zu entschärfen? Das Forscherteam des Computer Emergency Response Teams (CERT) der Carnegie Mellon University in Pittsburgh, dessen Statistiken und Modelle ich hier verwendet habe, listet auch einige praktische Tipps zur Bekämpfung von Insider-Bedrohungen auf. Ich hatte bereits die Möglichkeit erwähnt, potenzielle Insider schon zu einem frühen Zeitpunkt zu überprüfen und sie sogar direkt anzusprechen, um zu signalisieren, dass das Unternehmen Datenschutz und Datensicherheit ernst nimmt. Auch die Schulung sämtlicher Mitarbeiter und Rundschreiben zum Datenschutz können helfen nicht in die „Vertrauensfalle“ zu tappen.
Zum Abschluss dieser Blogserie möchte ich Ihnen meine Top 5 der Best Practices des CERT zum Umgang mit Insider-Bedrohungen nicht vorenthalten:
- Legen Sie starke Passwortrichtlinien fest – Natürlich sollten Sie stets die Nutzung starker Passwörter durchsetzen und diese mit Listen häufig verwendeter Kennwörter abgleichen. Im Hinblick auf Insider-Bedrohungen gewinnt dieser Punkt zusätzlich an Bedeutung. Wenn es sich bei den Insidern um Systemadministratoren handelt, haben sie wahrscheinlich Zugang zu Passwort-Hashes. Von unserem Wettbewerb Smarter Than a Hacker wissen wir, dass schwache Passwörter zu schwachen Hashes führen, die man mit einfachen Standard-Tools knacken kann. Machen Sie es Insidern schwer: Seien Sie bei allen Passwörtern streng.
- Setzen Sie das Prinzip der minimalen Rechtevergabe und Aufgabentrennung durch – Lesern unseres Blogs sind unsere Moralpredigten zum Prinzip der minimalen Vergabe von Rechten schon vertraut. Seien Sie bei der Vergabe von Zugriffsrechten auf Dateien und Ordner äußerst kleinlich. Und richten Sie die entsprechenden Kontrollmechanismen ein, um die Zugriffsaktivitäten der Nutzer zu überwachen und neue Zugriffsanforderungen zu bearbeiten. Eine strikte Aufgabentrennung ist hier das A und O. Die Mitarbeiter, die zusätzliche Zugriffsberechtigungen anfordern, dürfen sich diese nicht selbst gewähren. Dieses Prinzip gilt auch für Software: Neue Software sollte nicht von demselben Team entwickelt und getestet werden. Das ist die beste Art, Logikbomben zu verhindern.
- Achtung bei Kündigungen und Herabstufungen – Hier kommen Trigger-Ereignisse ins Spiel, die einen Mitarbeiter zur Insider-Gefahr werden lassen. Laut CERT sind Kündigungen zumeist der Auslöser (bei Mitarbeitern mit einer gewissen Veranlagung dazu) böswillig technische Maßnahmen zu ergreifen. Eine kompetente IT-Abteilung sollte alle Zugriffsmöglichkeiten eines gekündigten Mitarbeiters kennen und sie blockieren, bevor er die schlechte Nachricht erhält. Bei verärgerten Mitarbeitern, die das Unternehmen freiwillig verlassen, sollte die IT-Abteilung bereits die vorhergehenden Ereignisse registriert und Dateiaktivitäten gegebenenfalls überwacht haben.
- Denken Sie auch an Dritte und Lieferanten – Man vergisst leicht, dass das Intranet von Organisationen nicht nur den Mitarbeitern offen steht. Häufig greifen auch Kunden, Lieferanten und freiberufliche Mitarbeiter von außen darauf zu. Auch sie gelten als Insider! In diesen Fällen ist es schwierig, vorherige Ereignisse direkt zu beobachten, doch man sollte externe Aktivitäten aufmerksam verfolgen. Die IT sollte Netzwerk -und Dateiaktivitäten von Dritten standardmäßig protokollieren und überprüfen.
- Erstellen Sie immer Backups – Da die massenhafte Löschung von Daten eine ausgesprochen häufige Form der IT-Sabotage ist, müssen Organisationen einen Wiederherstellungsplan für ihre Dateisysteme parat haben. Dazu müssen sie natürlich häufige Backups aller wichtigen, unternehmenskritischen Daten erstellen. Andere, weniger kritische, aber dennoch wichtige Daten können in etwas größeren Abständen gesichert werden. Arbeiten Sie einen „Schlachtplan“ für unterschiedliche Worst-Case-Szenarien aus – zum Beispiel anhand von Fragen wie: „Wenn ein Mitarbeiter unseren Hauptserver löschen oder außer Gefecht setzen würde, was würden wir dann tun?“
The post Insider-Bedrohungen, Teil 4: Die Schlussfolgerungen appeared first on Varonis Deutsch.