- Anzeigen -


Sie sind hier: Home » Markt » Hintergrund

Kommerzialisierung von Cyber Security-Angriffen


Skriptbasierte Schadsoftware lässt das Bedrohungspotenzial deutlich steigen
IT-Sicherheits- und Datenschutztrends 2018 der TÜV Trust IT GmbH Unternehmensgruppe TÜV Austria

- Anzeigen -





Für das kommende Jahr erwartet TÜV Trust IT eine weitere Zunahme der Vielfalt und Intensität von Sicherheitsbedrohungen. Geschäftsführer Detlev Henze hat einige Trendaussagen für 2018 zusammengestellt, welche über die üblichen Buzzword-Threats zu Digitalisierung, Industrie 4.0 oder Social Engineering etc. deutlich hinausgehen.

Skriptbasierte Schadsoftware verschärft die Bedrohungslage: Schadsoftware setzt zunehmend auf skriptbasierte Sprachen wie Visual Basic Script (VBS), JavaScript oder PowerShell. Der Grund dafür ist, dass die Zielsysteme die Interpreter für diese Sprachen häufig direkt zur Verfügung stellen, sodass die Schadsoftware ohne Umwege ausgeführt werden kann.

Hinzu kommt ihre schwierige Identifikation als Schadsoftware, da diese Sprachen auch von Administratoren eingesetzt werden und es demnach schwer zu unterscheiden ist, ob es sich um legitime oder schädliche Aktivitäten handelt. Zudem bewegt sich skriptbasierte Schadsoftware "unter dem Radar", weil sie kaum Spuren auf der Festplatte hinterlässt und somit durch klassische AV-Software nur schwer erkennbar ist.

Kommerzialisierung von Cyber Security-Angriffen: Durch Bitcoins und Ransomware wurde ein ebenso einfaches wie effektives Geschäftsmodell für Hacker gefunden. Es wird zunehmend genutzt, auch 2018 wird es erneut einen neuen Spitzenwert bei der Zahl dieser Cyber-Attacken geben. Parallel dazu wird der Schaden steigen, weil in den Unternehmen die Bedrohungslage und Bewertung der eigenen Sicherheitssituation unverändert deutlich auseinanderklaffen.

Wachsende Zwänge zu Security by Design: Wer bei der Konzeption und Architektur von Software-Lösungen und Apps nicht bereits im frühen Planungsstadium Sicherheitsaspekte mit berücksichtigt, wird es später schwer haben, ihre Sicherheit zu gewährleisten. Zumal sich auch hohe wirtschaftliche Risiken darin verbergen, denn wenn etwa bei IoT-Produkten Sicherheitsdefizite erst nach der Vermarktung durch die Nutzer festgestellt werden und die Software mit der Hardware fest verbaut wird, sind nachträgliche Korrekturen kaum noch möglich.

Deshalb wird sich zunehmend ein Mentalitätswandel durchsetzen, in der Softwareentwicklung definierte Schutzziele einzubeziehen und sich an anwendungsbezogenen Bedrohungsmodellen zu orientieren. Dabei müssen konkrete Sicherheitsanforderungen explizit im Anforderungsprozess erhoben werden. Auch die Testmethoden werden sich dabei ändern, ebenso wie eine Auswahl von Testtools unter Sicherheitsaspekten erfolgen wird. Wichtig ist zu diesem Zweck aber zudem, dass entsprechende Fortbildungsprogramme für die Entwickler aufgesetzt werden.

Entwicklung von IoT-Produkten benötigt KI-Methoden: Je umfangreicher das Angebot an vernetzten Consumerprodukten wird, desto vielfältiger wird das Gefahrenpotenzial. Dies hat das aus einem Verbund von gekaperten IoT-Geräten entstandene Bot-Netzwerk "Mirai" deutlich gemacht. Mit Spitzen-Bandbreiten von über einem Terabit/Sekunde wurden selbst Anbieter in die Knie gezwungen, die eigentlich noch am besten gegen DDoS-Angriffe gewappnet sind. Doch nicht nur DDoS-Angriffe, auch weitere Szenarien sind mit IoT-Bot-Netzen möglich. Was passiert beispielsweise, wenn zahlreiche von Angreifern kontrollierte Kühlschränke, Kaffeemaschinen, Wasserkocher etc. gleichzeitig ihren Energieverbrauch maximieren: Kann dann noch die Stromversorgung aufrechterhalten werden?

Problematisch ist jedoch, wie selbst bei einem konsequenten Security by Design über eine Berücksichtigung der bekannten Bedrohungen hinaus auch mögliche zukünftige und noch unbekannte Zugriffsrisiken berücksichtigt werden können. Hierfür bedarf es Methoden der Künstlichen Intelligenz, mit deren Hilfe sich neue Bedrohungsmuster antizipieren lassen. Sie in der Entwicklung von IoT-Produkten zu berücksichtigen, steigert nicht nur die Sicherheitsperformance, sondern mindert auch das wirtschaftliche Risiko, da durch erst spät erkannte Security-Schwächen Produkte möglicherweise aufwändig modifiziert oder wieder vom Markt genommen werden müssen.

Tool-Zoo lässt neue Risiken entstehen: Unternehmen setzen für die immer komplexeren Sicherheitsgefahren reflexartig immer mehr Werkzeuge für spezifische Anforderungen ein und bauen sich damit einen unübersichtlichen Tool-Zoo auf. Meist findet jedoch keine Prüfung statt, wie die verschiedenen Werkzeuge miteinander harmonieren. Damit entsteht die Gefahr, dass die Tools selbst zu einer Bedrohung werden.

Die Umsetzung der EU-DSGVO kommt unverändert nur langsam voran: Auch wenn es verbindliche zeitliche Pflichten gibt, zeigen alle derzeitigen Studien, dass sich die Unternehmen erst zurückhaltend der neuen europäischen Datenschutzverordnung widmen. Diese Zurückhaltung wird vermutlich erst aufgegeben, wenn sich den Firmen ein zusätzlicher Investitionsanreiz bietet. Er könnte darin bestehen, dass sich der notwendige Aufbau eines Datenschutzmanagementsystems (DSMS) an der Vorgehensweise eines Informationssicherheits-Managementsystems (ISMS) nach ISO/IEC 27001:2013 orientiert. Denn dies wird dazu führen, dass gleichzeitig wesentliche Voraussetzungen für den Aufbau eines zertifizierbaren ISMS geschaffen werden, was einen höheren Investitionsnutzen mit sich bringt.

Das IT-Sicherheitsgesetz erzeugt Domino-Effekte in Richtung der Lieferanten: Das IT-SiG bleibt unverändert weit oben auf der Agenda, da es sich kontinuierlich weiterentwickelt. Vor allem aber müssen im Mai 2018 die betroffenen Unternehmen aus dem sogenannten Korb 1 mit den Sektoren Energie, Informationstechnik, Telekommunikation, Wasser und Ernährung die Umsetzung der Sicherheitsmaßnahmen gemäß § 8a nachweisen. Spannend wird es hier bei der Frage, wie die öffentlichen Institutionen dann mit den "schwarzen Schafen" unter den nachweispflichtigen Firmen umgehen werden.

Unabhängig davon werden die KRITIS-Unternehmen die von ihnen zu erfüllenden Sicherheitserfordernisse zunehmend auch an ihre Lieferanten übertragen, weil in einer digitalisierten Welt die Sicherheitsverhältnisse nicht an den Grundstücksmauern des eigenen Unternehmens Halt machen. Die KRITIS-Firmen werden deshalb insbesondere Anforderungen in Richtung eines zertifizierbaren Informationssicherheits-Managementsystems nach ISO 27001 an ihre Lieferanten stellen.

Sicherheitsniveau des autonomen Fahrens noch unzureichend: Abgesehen davon, dass Fahrerassistenzsysteme noch nicht unbedingt nach Security by Design-Anforderungen entwickelt werden und noch eine Reihe Kinderkrankheiten aufweisen, bestehen noch zahlreiche offene Fragen. So fehlt es noch an ausreichenden Verfahren für die Validierung von Funktionen für das Hochautomatisierte Fahren (HAF) sowie an Methoden für den Software-Download bzw. Überprüfung der fortschreitenden Automatisierungsfunktionen in den Fahrzeugen.

Erkenntnisse relevanter Forschungsprojekte und von Testumgebungen für HAF sollten in Genehmigungsprozessen, Zertifizierungs- und Zulassungsverfahren einfließen, damit diese ökonomisch umsetzbar werden. Ebenso bedarf es einer verstärkten Fokussierung auf Fail-safe Ansätze von HAF-Systemen. Zudem sind die Herausforderungen an die Übertragung sicherheitsrelevanter Daten von Fahrzeugen an eine übergeordnete Plattform und die Bereitstellung sicherheitsrelevanter Informationen an alle vernetzten Teilnehmer in gleicher Aktualität und Qualität noch nicht angemessen gelöst. Und nicht zuletzt: Es gilt, den Sicherheits- und Datenschutzerfordernissen durch adäquate Verschlüsselungstechnologien und qualifizierte Auditierungen Rechnung zu tragen.

Produktion: Mit Blick auf die Industrie 4.0-Zukunft hat auch die Digitalisierung der Produktionsstrukturen eine deutlich höhere Dynamik bekommen, allerdings entspricht die wachsende Vernetzung noch längst nicht den notwendigen Sicherheitsanforderungen. Dadurch können die IP-basierten Fertigungssysteme bis hin zu den Leitständen ein Einfalltor in das gesamte Unternehmensnetz werden. Zu welchen Konsequenzen mit längeren Produktionsstillständen dies führen kann, mussten in diesem Jahr bereits marktbekannte Unternehmen erfahren. Daraus leitet sich die Empfehlung ab, mit dem Sicherheitsengagement in der Fertigung nicht erst bis zur Umsetzung umfassender Industrie 4.0-Infrastrukturen zu warten.
(TÜV Trust IT TÜV Austria: ra)

eingetragen: 08.01.18
Home & Newsletterlauf: 16.02.18


TÜV Trust IT: Kontakt und Steckbrief

Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.

- Anzeigen -





Kostenloser IT SecCity-Newsletter
Ihr IT SecCity-Newsletter hier >>>>>>

- Anzeigen -


Meldungen: Hintergrund

  • Jagdrevier für Kryptominer

    Das bevorstehende Fußball-Turnier in Russland diesen Sommer zählt zu den größten Sportereignissen der Welt und Deutschland hat seit 1994 erstmals wieder die Chance, den Titel zu verteidigen. Das größte Fußball-Ereignis der Welt verbindet Menschen aller Nationen, die globale Aufmerksamkeit bei solchen Großevents ist jedoch auch prädestiniert für Cyber-Attacken aller Art, die zum einen Profitmaximierung, aber zum anderen auch geopolitische Destabilisierung als Ziel haben können. Helge Husemann, Sicherheitsexperte von Malwarebytes, dem führenden Anbieter von Lösungen zur Vermeidung und Behebung von Malware-Bedrohungen, nennt sieben mögliche Gefahren vor und während des Fußball-Turniers in Russland.

  • Erkennung von Bedrohungen

    Es hat sich erwiesen, dass Unternehmen, die im Rahmen ihrer Omnichannel-Initiativen die Einbeziehung digitaler Identitäten fokussieren, für ein nachhaltiges Wachstum besser positioniert sind als solche, die allein auf die Intelligenz der Endgeräte setzen. Aktuellen Studien zufolge können erstgenannte Unternehmen durch eine verbesserte Neukundengewinnung und eine höhere Kundenbindung ein Umsatzplus von bis zu acht Prozentpunkten gegenüber dem Branchendurchschnitt realisieren. Allerdings herrscht häufig der Irrglaube vor, dass sich "Digitale Identität" und "Geräteintelligenz" als Synonyme gebrauchen lassen. Armen Najarian, Chief Marketing Officer bei ThreatMetrix, hat sich bereits in einem Blog-Beitrag zum Unterschied zwischen Geräteintelligenz und digitaler Identität geäußert.

  • Hybride Bedrohungen

    Die AfD-Fraktion will mehr wissen über so genannte hybride Bedrohungen. Dabei handele es sich nach Angaben der Deutschen Bundesregierung um "unterschiedliche Formen und Methoden des Konfliktaustrags", darunter Desinformation, Cyberattacken und Cybersabotage. Die Abgeordneten erkundigen sich in einer Kleinen Anfrage (19/1002) nun danach, welche Fälle von hybriden Bedrohungen gegen Deutschland seit 2010 bekannt geworden sind.

  • Verschlüsselte Telekommunikation

    Die FDP-Fraktion interessiert sich für die Möglichkeiten der Überwachung von Telekommunikationsmitteln zur Strafverfolgung und die Nutzung einschlägiger Software. Offenbar habe das Bundeskriminalamt (BKA) damit begonnen, auch verschlüsselte Botschaften im Internet zu lesen. Neben der selbst konzeptionierten Software RCIS stehe dem BKA dazu ein Programm namens FinSpy zur Verfügung, heißt es in einer Kleinen Anfrage (19/1020) der Fraktion. Die Abgeordneten wollen von der Bundesregierung nun wissen, wie oft, in welchen Fällen und auf welche Weise Software zur Überwachung informationstechnischer Systeme eingesetzt worden ist oder noch eingesetzt wird.

  • Schutz industrieller Informationssysteme

    Das Thema Cybersicherheit war 2017 für viele Industrieunternehmen auf der Tagesordnung. Hackerangriffe auf Informationssysteme machten Schlagzeilen. Sie zeigten vielen, dass man selbst eventuell auch angreifbar ist. Um die Sicherheit der Industriesysteme zu gewährleisten, sind geeignete Maßnahmen erforderlich, sowohl in Bezug auf die IT-Infrastruktur als auch auf die OT-Integrität. Die Zuverlässigkeit ist dabei von zentraler Bedeutung und hat oftmals größeren Einfluss als die IT, weil sie sich auf die Integrität des Eigentums und natürlicher Personen auswirken kann. Informationssysteme von produzierenden Unternehmen unterscheiden sich von denen anderer Wirtschaftszweige. Dadurch werden Sicherheits- und Schutzmaßnahmen erforderlich, die eine geschäftsspezifische Logik integrieren. So bieten herkömmliche, funktionsübergreifende Sicherheitslösungen kein entsprechendes Sicherheitsniveau für diesen Bereich.