- Anzeigen -


Sie sind hier: Home » Markt » Tipps & Hinweise

Sichere Bereitstellung von Online-Werbung


Die Vergangenheit zeigt, dass Ad-Server häufig aufgrund fehlender Sicherheits-Updates kompromittiert wurden
Ad-Server-Betreiber sind in der Pflicht, ein Notfallvorsorge-Konzept zu erstellen, um auf Sicherheitsvorfälle entsprechend reagieren zu können

- Anzeigen -





Seit Juli 2015 gilt das IT-Sicherheitsgesetz – nicht nur im Bereich Kritischer Infrastrukturen (KRITIS). Alle Anbieter von Telemediendiensten sind betroffen, darunter Online-Shops, Provider und Betreiber von Ad-Servern. Denn auch letztere halten Informationen – in dem Fall Werbemittel – zum Abruf bereit. Aus diesem Grund sind auch sie verpflichtet, Sicherheitsmaßnahmen entsprechend dem Stand der Technik umzusetzen. Darunter fällt insbesondere die Anwendung eines Verschlüsselungsverfahrens, welches als sicher eingestuft ist.

"Bei Auslieferung von Werbung muss das SSL/TLS-Protokoll Anwendung finden. So erfolgt der Datenverkehr zwischen Client und Webserver verschlüsselt. Die Verschlüsselung muss aber auch sämtliche beteiligte Ad-Server innerhalb der Auslieferungskette umfassen", macht Christian Heutger, IT-Sicherheitsexperte und Geschäftsführer der PSW Group, mit Nachdruck aufmerksam.

Nicht grundlos, denn immer wieder gelingt es Betrügern, Ransomware oder Trojaner in Werbebannern zu verstecken und sie auf diese Weise zu verteilen: Angreifer kompromittieren schlecht abgesicherte Ad-Server oder kaufen mit gestohlenen Kreditkarten Werbeplätze bei Vermarktern. "Diese Methode ist bei Cyberkriminellen auch deshalb so attraktiv, weil die Verknüpfung des Ad-Servers mit zahlreichen Websites eine hohe Reichweite für das Verteilen von Schadprogrammen bietet. So lassen sich sogar Schadprogramme auf seriösen Websites platzieren", so Heutger.

Der Experte empfiehlt deshalb Ad-Server-Betreibern folgende Maßnahmen zur Erweiterung der Cyber-Sicherheitsempfehlung für die sichere Bereitstellung von Online-Werbung zu ergreifen:

Starke Passwörter wählen
Ad-Server-Betreiber sind in der Pflicht, starke Passwörter zu wählen oder Alternativen einzusetzen, die mindestens vergleichbar sicher sind. So soll gewährleistet werden, dass Kunden Passwörter wählen, die stark genug für Brute-Force-Attacken sind.

Updates regelmäßig einspielen
Die Vergangenheit zeigt, dass Ad-Server häufig aufgrund fehlender Sicherheits-Updates kompromittiert wurden. Deshalb sind Betreiber in der Pflicht, Sicherheits-Updates schnellstmöglich einzuspielen. "Solche Sicherheitsupdates müssen auf sämtlichen zum Ad-Server gehörenden Komponenten installiert werden, einschließlich der Clients der Mitarbeiter. Wir empfehlen, einen Patch-Management-Prozess zu etablieren. So können Betreiber zügig auf neu zur Verfügung gestellte Sicherheits-Updates reagieren und sie schnellstmöglich einspielen", so Christian Heutger.

Wirksamer Virenschutz
Ein effizienter Virenschutz gehört auf alle Rechner der Mitarbeiter. "Virenschutz-Programme sollten außerdem auch auf Ad-Servern eingesetzt werden. Diese sollten auf den Ad-Servern regelmäßige Scans durchführen und etwaige Schadprogramme isolieren oder entfernen. Idealerweise entscheiden sich Betreiber für ein Virenschutzprogramm, das schadhafte Werbung bereits beim Upload erkennt und entsprechende Maßnahmen veranlasst", rät der Experte.

Monitoring
Sicherheitsrelevante Aktivitäten müssen in Ad-Servern unter Beachtung des Datenschutzes protokolliert werden. "Betreiber sollten dabei prüfen, ob bestehende Container Tags in ungewohnter Weise manipuliert oder mit schadhaften Inhalten infiziert wurden. Zudem sollte ein effizientes Monitoring es ermöglichen, Manipulationen auf Ad-Servern nachverfolgen zu können, um bei Sicherheitsvorfällen Rückschlüsse auf die Ursache zu ziehen", präzisiert Christian Heutger.

Sicherheitskonzept und Notfallvorsorge
Ad-Server-Betreiber sind in der Pflicht, ein Notfallvorsorge-Konzept zu erstellen, um auf Sicherheitsvorfälle entsprechend reagieren zu können. "Darüber hinaus ist ein Sicherheitskonzept anzuraten. Hierin lässt sich festlegen, welche Strategien in der Informationssicherheit überhaupt verfolgt werden. Dazu gehört unter anderem, dass Serverbetreiber schnellstmöglich auf Sicherheitsvorfälle reagieren, schadhafte Werbemittel schnellstmöglich entfernen und das BSI über den Sicherheitsvorfall informieren", so der Experte. Sein Tipp: Die Implementierung eines Information Security Management Systems (ISMS). "Hierin werden Regeln definiert, um die Informationssicherheit dauerhaft planen, umsetzen, prüfen, aufrechterhalten und optimieren zu können."

Sensibilisierung der Mitarbeiter
Mitarbeiter gehören zu den größten Sicherheitslücken in vielen Unternehmen. Deshalb empfiehlt es sich, Mitarbeiter ausreichend zu sensibilisieren und sicherzustellen, dass alle Mitarbeiter ausreichend Kenntnis von Informationssicherheit haben. Klickbetrug, SQL- und XSS-Injection-Angriffe sollten keine Fremdwörter sein.

Verhindern von Tracking-Angriffen
Ad-Server-Betreiber müssen sich am Konzept der Datensparsamkeit orientieren. Bedeutet: Es dürfen nur so viele sensible Daten erhoben werden, wie für das Ausliefern der Werbung notwendig sind. Es dürfen hingegen keinerlei Daten erhoben sowie ausgewertet werden, die zu Sicherheitsvorfällen führen könnten. "Nutzerdaten, die mittels Tracking erhoben werden, müssen geschützt werden, da viele Website-Betreiber auch mit ausländischen Ad-Server-Betreibern und Vermarktern zusammenarbeiten. Es lässt sich also nicht ausschließen, dass ausländische Dienste auf erhobene Nutzerdaten zugreifen und diese gezielt missbrauchen könnten", warnt Heutger.

Blacklists
Um das automatisierte Ausliefern manipulierter Werbemittel zu verhindern, müssen Ad-Server-Betreiber Sperrlisten ("Blacklists") mit jenen URLs nutzen, hinter denen sich schadhafte Inhalte verbergen. Die Sperrliste lässt sich direkt zum Blockieren nutzen, wenn es einem Angreifer gelingen sollte, manipulierte Werbung zu verlinken.

Account-Verifizierung und Zusammenarbeit
Um die Personen hinter dem Werbekunden identifizieren zu können, müssen Ad-Server-Betreiber ein Verfahren zur Verifizierung von Werbekunden etablieren. "Anonyme Accounts müssen verhindert werden, denn diese haben schon häufig dazu geführt, mithilfe gestohlener Kreditkarten schadhafte Werbung zu schalten", begründet Heutger. Das Verifizierungsverfahren lässt sich durch weitere Sicherheitsmaßnahmen wie der Mehrfaktor-Authentisierung erweitern.

"Wir raten grundsätzlich dazu, mit anderen Ad-Server-Betreibern sowie Vermarktern zusammenzuarbeiten, insbesondere beim Reagieren auf Sicherheitsvorfälle. Hierbei lässt sich auch die Nutzung eindeutiger Werbe-IDs diskutieren: Diese wäre über mehrere Werbenetzwerke hinweg identisch. Gibt es einen Sicherheitsvorfall, bräuchte der Ad-Server-Betreiber seinem Netzwerk lediglich die ID des Werbemittels mitteilen. Diese könnten das Ausliefern des betroffenen Werbemittels in den eigenen Ad-Servern blockieren. (PSW Group: ra)

eingetragen: 16.01.18
Newsletterlauf: 01.03.18


PSW Group: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Tipps & Hinweise

  • Wie ODNS Surfgewohnheiten geheim hält

    DNS ordnet menschenlesbare Namen für Computer und Dienste, wie etwa nakedsecurity.sophos.com, den numerischen IP-Adressen zu, die Computer benötigen, um miteinander zu kommunizieren. Leider hat DNS ein Datenschutzproblem: DNS-Abfragen können gelesen werden und man sieht genau, wer wo surft, selbst wenn diese Personen darauf achten, die genauen Details ihres Surfens mit HTTPS zu verschlüsseln. Es gibt bereits viele Ansätze um dieses Problem zu lösen. Eine junge und sehr vielversprechende Technologie ist ODNS (Oblivious DNS). Sophos erklärt, wie sie funktioniert.

  • WAF-Funktionen in der Cloud und On-Premise

    Die Entscheidung für die optimale Web Application Firewall (WAF) basiert heute nicht mehr nur auf den integrierten Sicherheitstechnologien und dem gebotenen Schutzniveau. Eine weitgehende Erkennung auch aktueller und unbekannter Gefahren ist schon fast selbstverständlich. Immer wichtiger werden flexible Nutzungsmöglichkeiten. Denn schließlich können IT-Entscheider heute nicht wissen, welche Modelle für welche Einsatzszenarien sie morgen benötigen. Daher sollten sie auf folgende Punkte achten.

  • Gezielte Manipulation der Daten ist denkbar

    Einige populäre Dating-Apps übertragen persönliche Nutzerdaten unverschlüsselt mittels unsicheren HTTP-Protokolls, so das Ergebnis einer Untersuchung, die die Experten von Kaspersky Lab um die Jahreswende veröffentlicht haben. Der Grund für den unsicheren Datentransfer ist der Einsatz sogenannter Advertising-SDKs. Diese einfach anwendbaren Software Development Kits (SDKs) sind Teil beliebter Werbenetzwerke und werden von App-Entwicklern gerne eingesetzt, um sich auf die Kernaufgaben ihrer Anwendung konzentrieren zu können. Offenbar werden unsichere SDKs bei inzwischen weltweit milliardenfach installierter Apps eingesetzt. Sie stellen eine ernste Gefahr da, weil damit persönliche Daten abgefangen, verändert und wehrlose App-Nutzer angegriffen werden können. Diese Ergebnisse gehen aus einer aktuellen Analyse von Kaspersky Lab über SDKs von Drittanbietern hervor.

  • KI & maschinelles Lernen: Zwei neue Trends

    Cyberkriminelle sind schlauer als je zuvor und für 2018 werden einige der fortschrittlichsten Angriffe erwartet, die die Welt je gesehen hat. So schätzt beispielsweise Forbes die Kosten in Höhe von etwa 6 Billionen US-Dollar pro Jahr ein. Dabei gibt es gute Möglichkeiten, um den Angriffen vorzubeugen. Darunter fällt neben der klassischen Security auch eine ausgefeilte Backup- beziehungsweise Disaster Recovery-Strategie, um Daten nach einem Angriff möglichst verlustfrei wiederherzustellen.

  • Die sieben Todsünden der digitalen Kommunikation

    Die Brabbler AG beleuchtet die häufigsten Fehler von Unternehmen bei der digitalen Kommunikation. Viele Unternehmen gehen zu sorglos mit ihrer digitalen Kommunikation um. Damit riskieren sie den Verlust von Betriebsgeheimnissen und laufen Gefahr, gegen gesetzliche Vorgaben wie die Datenschutzgrundverordnung (DSGVO) der Europäischen Union zu verstoßen. Das kann in beiden Fällen große Schäden verursachen und extrem teuer werden. Die Brabbler AG, Spezialist für sichere digitale Kommunikation, erläutert die sieben gängigsten Fehler.