08A07 Advanced Persistent Threats (APT) – IT-Sicherheit in einer vernetzten Welt
|
Der vorliegende erste Beitrag einer Beitragsserie zu diesem Thema nutzt die Angriffsklassifizierung Advanced Persistent Threats (APT) als Türöffner, um den Leser für einen Streifzug durch die Welt der Informationssicherheit gewinnen und hoffentlich auch begeistern zu können. Es wird aufgezeigt und an einfachen Beispielen verdeutlicht, warum und wie sich die Anforderungen an dieses Thema in den letzten Jahren massiv verändert haben. Der Beitrag zeigt die Gefahrenpotenziale und soll Sie dazu motivieren, einen strukturierten Ansatz einer Sicherheitskonzeption, für Regulierungen und (technische) Maßnahmen anzuwenden. Dabei wurde versucht, den Bezug zur Praxis zu wahren. Zudem ist die Abstraktionsebene so gewählt, dass z. B. Sicherheitsbeauftragte, Hacker oder technische Experten dem Beitrag zumindest (s)eine Existenzberechtigung zugestehen. von: |
1 Einführung
Welche Einführung sollte man als Autor eines mehrere Seiten umfassenden Beitrags zum Thema Sicherheit wählen, ohne dass man seine geschätzten Leser schon nach dem Lesen selbiger wieder verliert? Mit der Visualisierung einer Live Hacking Session kann ein solcher Beitrag natürlich nicht dienen, zumal ich der Überzeugung bin, dass ein so angelegtes Proof of Concept heute nicht mehr unbedingt erforderlich ist: Wir müssen nicht mehr beweisen, dass unsere z. B. IT-Systeme, Anwendungen und Kommunikationsverbünde angreifbar sind und dass eine absolute Sicherheit nur eine Illusion von Sicherheit ist. Vielmehr ist es wichtig, ein Bewusstsein dafür zu schaffen, dass das Thema Sicherheit mit unserem Denken und Handeln strategisch verankert und konzeptionell betrachtet werden muss. D. h., das Thema muss über den vollständigen Lifecycle einer IT-Lösung (z. B. in den Phasen Planung, Aufbau und Betrieb) hinweg berücksichtigt werden. So angelegt, wird es zu einem ständigen Wegbegleiter.
AnmerkungDer vorliegende Beitrag stützt sich primär auf vernetzte Systeme. In diesem Kontext wird hier der Begriff IT-Lösung als Überbegriff für Prozesse, Anwendungen und IT-Systeme verwendet, die über ein (IP-)Netzwerk kommunizieren und deren Zusammenschluss über selbiges als IT-Verbund zu bezeichnen ist. Diese Klassifizierung ist recht grob*, aber für das weitere Verständnis völlig ausreichend.
*[Ein IT-Verbund (auch: Informationsverbund) kann z. B. auch durch die von ihm zu erbringenden Dienste (z. B. IP-Telefoniedienste, Virtualisierung) abgegrenzt werden. Somit können in einem Unternehmen, einer Behörde oder einer Organisation durchaus mehrere Informationsverbünde existieren.] |
1.1.1 Datenschutz und IT-Sicherheit
Unterschiede
Ich möchte an dieser Stelle darauf aufmerksam machen, dass IT-Sicherheit und Datenschutz in einigen Aspekten durchaus zwei Paar Schuhe sind. Beim Datenschutz geht es nicht allgemein um den Schutz jedweder Art von Daten, sondern spezifisch und fokussiert um den Schutz von personenbezogenen bzw. personenbeziehbaren Daten, sodass das Recht auf informationelle Selbstbestimmung und der Schutz der Privatsphäre sichergestellt sind. Es ist also mit Blick auf z. B. Anforderungen, gesetzliche Regelungen etc. durchaus ein Unterschied, ob innerhalb eines IT-Verbunds personenbezogene Daten transportiert, verarbeitet und gespeichert werden oder ob es sich um Daten ohne einen erkennbaren Bezug zu Personen handelt. Natürlich sind den meisten Lesern dieser Unterschied und die sich daraus abzuleitenden Konsequenzen bekannt. Die Erfahrung zeigt aber, dass man durchaus immer wieder auf diesen Unterschied hinweisen sollte.
Ich möchte an dieser Stelle darauf aufmerksam machen, dass IT-Sicherheit und Datenschutz in einigen Aspekten durchaus zwei Paar Schuhe sind. Beim Datenschutz geht es nicht allgemein um den Schutz jedweder Art von Daten, sondern spezifisch und fokussiert um den Schutz von personenbezogenen bzw. personenbeziehbaren Daten, sodass das Recht auf informationelle Selbstbestimmung und der Schutz der Privatsphäre sichergestellt sind. Es ist also mit Blick auf z. B. Anforderungen, gesetzliche Regelungen etc. durchaus ein Unterschied, ob innerhalb eines IT-Verbunds personenbezogene Daten transportiert, verarbeitet und gespeichert werden oder ob es sich um Daten ohne einen erkennbaren Bezug zu Personen handelt. Natürlich sind den meisten Lesern dieser Unterschied und die sich daraus abzuleitenden Konsequenzen bekannt. Die Erfahrung zeigt aber, dass man durchaus immer wieder auf diesen Unterschied hinweisen sollte.
Der vorliegende Beitrag wird, da er allgemein Ihr Interesse für das Thema Sicherheit wecken soll und keine differenzierten Anforderungen bewerten möchte, in seinem weiteren Verlauf die Unterscheidung zwischen Datenschutz und IT-Sicherheit nicht weiter ausarbeiten.
