Deutschland stellt die meisten Systeme für Bot-Netze in EMEA

Ampeg sieht in der fehlenden Qualitätssicherung für die IT-Sicherheit eine der Ursachen

(05.05.10) - Laut Symantecs 15. Internet Security Threat Report war Deutschland im Jahr 2009 Bot-Netzland Nummer Eins in EMEA - im weltweiten Vergleich rangiert die Bundesrepublik auf Rang 5. 14 Prozent der Bot-infizierten Rechner stehen in Deutschland. Bei den Comand-and-control-Servern, die der Steuerung eines Bot-Netzes dienen, liegt der Anteil Deutschlands sogar bei fast einem Viertel.

Zu den wichtigsten Säulen einer Abwehrstrategie in Unternehmensnetzwerken gehören die Systeme zur Verteilung von Virenpattern und Patches. Nach Überzeugung der Sicherheitsexperten von Ampeg muss die Sicherheitsarchitektur jedoch von einer weiteren Säule gestützt werden: einer Qualitätssicherung für die automatisierte Verteilung von Updates und Virensignaturen. Nur damit kann Deutschland den unrühmlichen Spitzenplatz wieder abgeben.

Fremdbestimmte Systeme gefährden nicht nur die Integrität der eigenen Daten, sie bilden auch eine Gefahr für andere. Was Bot-Netze umso gefährlicher macht: User merken in den meisten Fällen nicht, dass sie Teil eines Bot-Netzes geworden sind. Lediglich die Administratoren für das Web-Gateway, Firewall oder die IPS/IDS-Systeme können anhand von Unregelmäßigkeiten beim Netzwerkverkehr oder bei erhöhtem Virenaufkommen erkennen, dass sie infiltriert wurden.

Drei Säulen für IT-Sicherheit

"Eine Sicherheitsstrategie, die die Instrumentalisierung der eigenen IT für kriminelle Zwecke unterbinden kann, muss sich auf drei Säulen stützen", sagt Peter Graf, Geschäftsführer von Ampeg.

1. Verantwortliche müssen sicherstellen, dass sie stets mit der aktuellen Version ihrer Virenschutz-Software arbeiten. Zu oft wird auf Produkt-Updates verzichtet. Die Malware-Industrie hingegen arbeitet mit den modernsten Technologien. Ein veraltetes System kann nicht wirkungsvoll gegen aktuelle Viren schützen. Da reicht schon eine übersprungene Version des Virenscanners.

2. Virenpattern und Patches müssen so zeitnah wie möglich ausgerollt werden. Conficker konnte u. a. nur deshalb so viele Rechner infizieren, weil der betreffende Patch vielerorts nicht auf die Systeme gespielt wurde.

3. Die dritte Säule für die IT-Sicherheit ist eine funktionierende Qualitätssicherung, beispielsweise zur Kontrolle des Verteilerfolgs der Pattern und Patches. Herrscht keine Transparenz über das aktuelle Schutzniveau, werden Sicherheitslücken in Netzwerk von den Security Verantwortlichen nicht bemerkt.

"In jedem Produktionsprozess ist die Qualitätssicherung eine unerlässliche Komponente", erläutert Peter Graf. "In der IT-Sicherheit ist sie jedoch nur schwach ausgeprägt. Doch nur, wer immer über sein aktuelles Security Level informiert ist, kann proaktiv handeln, die IT-Sicherheit kontinuierlich verbessern und das Restrisiko minimieren. Ich bin überzeugt davon, dass Deutschland im nächsten Threat-Report besser abschneidet, wenn die Security-Verantwortlichen Qualitätssicherung als ihre ureigenste Aufgabe begreifen."

Security Level Management

"Security Level Management" (SLM) ist ein Qualitätssicherungssystem für die IT-Sicherheit. Ziel ist, den Sicherheitsstatus für jedes einzelne System im Netzwerk jederzeit transparent darzustellen. Damit wird IT-Sicherheit zu einer messbaren und managebaren Größe - die Qualitätssicherung wird erheblich verbessert und das Restrisiko minimiert. SLM orientiert sich an den Phasen des Plan-Do-Check-Act-Zyklus des Demingkreises:

1. Plan: In der Planphase werden aus abstrakten Security Policies konkrete Ziele, messbarer Grenz- und Schwellenwerte, für die einzelnen Sicherheitssysteme im Unternehmen abgeleitet.

2. Do: Die Informationen zum Ist-Zustand der Systeme werden aus den Log-Daten und Statusberichten der Konsolen der einzelnen Sicherheitslösungen gewonnen.

3. Check: SLM sieht weiterhin einen kontinuierlichen Abgleich des definierten Security Level mit den gemessenen Ist-Werten vor.

4. Act: Durch die fortlaufende Beobachtung des Security Level können Schwachpunkte im Netzwerk frühzeitig identifiziert werden. Auf dieser Grundlage lassen sich proaktiv Anpassungen an den Schutzsystemen vornehmen.

(Ampeg: ma)