Beiträge

Mithilfe von Compliance-Richtlinien kann ein Unternehmen prüfen, ob alle im System integrierten Komponenten die erforderlichen Vorgaben erfüllen. Durch die steigende Digitalisierung und die damit einhergehende Zunahme neuer Technologien entstehen Chancen, aber auch Risiken. Aus diesem Grund nehmen auch die Anforderungen an die Compliance zu. Mit GOS 20.08 wurden alle Compliance-Richtlinien über den Greenbone Security Feed verfügbar gemacht und vier neue Compliance-Richtlinien hinzugefügt: TLS-Map, BSI TR-03116: Part 4, Huawei Datacom Product Security Configuration Audit Guide und Windows 10 Security Hardening.

Compliance Richtlinien für unterschiedliche Branchen

Was ist überhaupt eine Compliance Richtlinie?

Neben den gesetzlichen Vorgaben haben Unternehmen und Behörden oft auch ihre eigenen Richtlinien, die für die sichere Konfiguration eines Systems zu erfüllen sind. Ziel dabei ist es, für die Informationssicherheit des Unternehmens oder der Behörde zu sorgen, indem die Vertraulichkeit, die Integrität, die Verfügbarkeit und die Authentizität von Informationen sichergestellt wird.

Alle Vorgaben und Richtlinien, die dafür nötig sind, werden in einem Dokument zu einer Richtlinie zusammengefasst.

Auf Basis der einzelnen Kriterien der Richtlinien entwickelt Greenbone Networks Schwachstellentests – grob gesagt: ein Kriterium ergibt einen Schwachstellentest. Diese Tests fasst Greenbone Networks zu Scan-Konfigurationen zusammen.

Solche Scan-Konfigurationen, die Richtlinien von Unternehmen oder Behörden abbilden, werden als Compliance-Richtlinien bezeichnet.


Beispiel: Ein Unternehmen bringt eine Security-Richtlinie mit den folgenden Anforderungen heraus:

  • Version 2 der Software A ist auf dem Zielsystem installiert
  • SSH ist auf dem Zielsystem aktiviert
  • Software B ist nicht auf dem Zielsystem installiert

Greenbone Networks entwickelt für jede der Anforderungen jeweils einen Schwachstellentest, der abfragt, ob die jeweilige Bedingung erfüllt ist.

Die drei Tests werden dann zu einer Compliance-Richtlinie zusammengefasst, die ein Nutzer der Greenbone-Lösungen beim Ausführen eines Schwachstellenscans wählen kann. Während des Scans wird dann geprüft, ob die oben genannten Bedingungen auf dem Zielsystem erfüllt werden.


Neu: Verteilung der Compliance-Richtlinien über den Greenbone Security Feed

Ab GOS 20.08 werden alle standardmäßigen Scan-Konfigurationen, Berichtsformate, Portlisten und Compliance-Richtlinien von Greenbone Networks über den Greenbone Security Feed verteilt.

Dies ermöglicht unter anderem die Veröffentlichung und Verteilung von Scan-Konfigurationen für aktuelle, heiße Schwachstellen-Tests. Früher wurden diese als XML-Dateien für den manuellen Download auf der Greenbone-Download-Website veröffentlicht und mussten vom Nutzer selbst importiert werden – was sehr mühsam war und Raum für Fehler ließ, weshalb eine schnelle Anwendung kaum möglich war.

Doch dies ist nicht der einzige Vorteil. Auch die Fehlerbehebung für den Kunden ist somit viel einfacher und schneller: die Objekte können mit einem einzigen Feed-Update für alle Setups aktualisiert und, falls nötig, gefixt werden.

Zusätzlich zu dieser Neuerung wurde der Greenbone Security Feed um ein paar wichtige Compliance-Richtlinien erweitert.

Mehr Compliance-Richtlinien im Greenbone Security Feed

Dem Greenbone Security Feed wurden im 4. Quartal 2020 vier neue Compliance-Richtlinien hinzugefügt:

  • TLS-Map
  • BSI TR-03116: Part 4
  • Huawei Datacom Product Security Configuration Audit Guide
  • Windows 10 Security Hardening

Über die spezielle Scan-Konfiguration TLS-Map

Hinweis: Bei TLS-Map handelt es sich um eine Scan-Konfiguration für spezielle Scans, die sich von Schwachstellenscans unterscheiden. Aus Gründen der Übersichtlichkeit wird diese spezielle Scan-Konfiguration in diesem Beitrag mit den Compliance-Richtlinien zusammen aufgeführt.

Die spezielle Scan-Konfiguration TLS-Map ist überall dort hilfreich, wo eine gesicherte Kommunikation über das Internet stattfindet. TLS – kurz für Transport Layer Security – ist ein Protokoll für die sichere Übertragung von Daten im Internet. Es ist der Nachfolger von SSL – Secure Sockets Layer –, weshalb beide Protokolle auch heute oft noch synonym verwendet werden. Alle SSL-Versionen und TLS-Versionen vor Version 1.2 sind allerdings seit spätestens 2020 veraltet und somit unsicher.

Das größte Einsatzgebiet von TLS ist die Datenübertragung im World Wide Web (WWW), beispielsweise zwischen einem Webbrowser als Client und einem Server wie www.greenbone.net. Andere Anwendungsgebiete finden sich im E-Mail-Verkehr und bei der Übertragung von Dateien über File Transport Protocol (FTP).

Die spezielle Scan-Konfiguration TLS-Map prüft, ob die erforderliche TLS-Version auf dem Zielsystem vorhanden ist und ob die benötigten Verschlüsselungsalgorithmen – sogenannte Ciphers – angeboten werden.

Über die Compliance-Richtlinie BSI TR-03116: Part 4

Die Technische Richtlinie BSI TR-03116 Kryptographische Vorgaben für Projekte der Bundesregierung vom Bundesamt für Sicherheit in der Informationstechnik (BSI) kommt für Projekte der Bundesregierung zum Einsatz. Das bedeutet, soll ein Bundesprojekt umgesetzt werden, muss die Richtlinie erfüllt werden. Sie besteht aus insgesamt 5 Teilen:

  • Teil 1: Telematikinfrastruktur
  • Teil 2: Hoheitliche Ausweisdokumente
  • Teil 3: Intelligente Messsysteme
  • Teil 4: Kommunikationsverfahren in Anwendungen
  • Teil 5: Anwendungen der Secure Element API

Die Compliance-Richtlinie, die Greenbone Networks entsprechend entwickelt hat, prüft, ob die Inhalte des vierten Teils der Richtlinie erfüllt werden. Dieser Teil enthält Anforderungen für Kommunikationsverfahren.

Die Compliance-Richtlinie BSI TR-03116: Part 4 im Greenbone Security Feed prüft die drei Hauptanforderungen – minimal unterstützte TLS-Version sowie notwendige und nicht legitime Ciphers – der technischen Richtlinie.

 Über die Compliance-Richtlinie Huawei Datacom Product Security Configuration Audit Guide

Compliance-Richtlinien für Huawei-Lösungen befinden sich bereits seit längerer Zeit im Greenbone Security Feed.

Für die folgenden beiden Lösungen hatte Greenbone Networks bereits zuvor Compliance-Richtlinien entwickelt:

  • EulerOS: Linux-Betriebssystem, basierend auf CentOS
    Zugehörige Compliance Richtlinie: EulerOS Linux Security Configuration
  • GaussDB: Datenbankmanagementsystem (DBMS)
    Zugehörige Compliance Richtlinie: GaussDB 100 V300R001C00 Security Hardening Guide

Mit einer Compliance-Richtlinie für Huawei Datacom, einer Produktkategorie, die auch Router und Switches mit einem eigenen Betriebssystem umfasst, kommt nun eine dritte Compliance-Richtlinie für von Huawei entwickelte Lösungen hinzu.

Für alle drei Produkte – Huawei Datacom, EulerOS und GaussDB – gibt es Sicherheitskonfigurationen, die von Huawei vorgegeben wurden. Auf deren Basis hat Greenbone Networks Compliance-Richtlinien entwickelt, die die Einhaltung eben jener Sicherheitskonfigurationen prüfen. Die unterschiedlichen Compliance-Richtlinien finden immer dann Anwendung, wenn auf dem Zielsystem die entsprechende Lösung vorhanden ist.

Für Huawei Datacom vertreibt Huawei den Huawei Datacom Product Security Configuration Audit Guide. Die zugehörige, neu entwickelte Compliance-Richtlinie prüft beispielsweise ob die korrekten Versionen von SSH und SNMP auf dem Zielsystem vorhanden ist.

Über die Compliance-Richtlinie Windows 10 Security Hardening

Die Compliance-Richtlinie Windows 10 Security Hardening beinhaltet Schwachstellentests, um die Härtung von Windows 10 nach Industriestandards zu bewerten.

Unter anderem prüft die Compliance-Richtlinie unterschiedliche Passwortvorgaben wie Alter, Länge und Komplexität des Passworts, Vorgaben für das Vergeben von Benutzerrechten und Anforderungen für unterschiedliche Systemdienste.

Jetzt noch schnellere Einbindung von Compliance-Richtlinien mit GOS 20.08

Mit fortschreitender Digitalisierung wachsen in Unternehmen jeder Größe und Branche die Anforderungen an die Compliance.

Durch die direkte Einbindung der Compliance-Richtlinien über den Greenbone Security Feed und der Aufnahme neuer Compliance-Richtlinien, werden Zielsysteme noch effektiver, einfacher und schneller geprüft und somit der Schutz der IT-Infrastruktur erhöht, ohne dass spezielles Compliance-Know-How benötigt wird.

Natürlich arbeiten wir auch weiterhin laufend an neuen Compliance-Richtlinien. Sie dürfen also gespannt sein!

Arbeitsplatz im Home OfficeIn der Corona-Krise mussten viele Unternehmen im Eiltempo Home Office-Arbeitsplätze einrichten. Die Security blieb dabei oft auf der Strecke. Höchste Zeit, Versäumnisse nachzuholen. Denn im Heimnetzwerk lauern viele Schwachstellen. Die Greenbone Managed Service Plattform (GMSP) hilft dabei, sie aufzuspüren und zu schließen.

Auch wenn wir langsam zur Normalität zurückkehren, werden Home Office-Arbeitsplätze künftig eine größere Rolle spielen. Viele Unternehmen haben erkannt, dass arbeiten zu Hause möglich ist und durchaus Vorteile mit sich bringt. Vor allem aber haben wir alle aus der Pandemie gelernt, wie wichtig es ist, im Krisenfall handlungsfähig zu bleiben. Mitte März musste alles schnell-schnell gehen. Doch jetzt, wo wieder mehr Ruhe einkehrt, sollten Unternehmen Sicherheitslücken schleunigst schließen. Denn sonst haben Cyberkriminelle leichtes Spiel.

Was ist eigentlich das Problematische an der Home Office-Situation? Wenn man Firmen-Laptops plötzlich ins Heimnetzwerk verlegt, reißt man sie aus einer gut abgesicherten Umgebung und macht sie angreifbar. Gewohnte Security-Mechanismen wie Firewalls und Virenscanner fehlen hier. Deshalb ist es wichtig Systemkonfigurationen und Nutzerberechtigungen an die veränderten Bedingungen anzupassen. Was im Firmennetz erlaubt ist, darf nicht eins zu eins ins Home Office übertragen werden. Zum Beispiel Download-Rechte: Lädt ein Mitarbeiter im Büro eine Datei herunter, wird sie vorab von der Firewall gefiltert – im Heimnetzwerk dagegen nicht. Handelt es sich um Malware, kann sie den Rechner ungestört infizieren. Unbedingt prüfen sollten Administratoren auch die Konfiguration des VPN-Clients, über den sich der Mitarbeiter mit dem Unternehmensnetz verbindet. Denn manche Clients sind so eingerichtet, dass sie nur ausgewählten Datenverkehr über die Unternehmens-Infrastruktur leiten. Reine Internet-Anfragen, zum Beispiel an bekannte öffentliche Dienste, gehen dagegen direkt an einen Server im Internet und damit an der Firewall vorbei.

Viele leichte Angriffsziele

Ein weiteres Risiko stellen die Systeme dar, von denen das Firmen-Notebook im Home Office umgeben ist. Das können zum Beispiel Computer von Familienangehörigen oder Smart-TVs sein. Häufig sind sie ungepatcht und veraltet. Denn wer installiert im privaten Umfeld schon sorgfältig jedes Update? Für Cyberkriminelle sind solche Geräte ein leichtes Ziel. Einmal gekapert, können die Hacker von dort aus andere Systeme im selben Netzwerk kompromittieren und sogar bis ins Unternehmensnetz vordringen. Ob sich ein Angriff lohnt, können sie meist ganz einfach erkennen. Vielleicht stand in der Lokalzeitung, dass Firma XY ihre Mitarbeiter ins Home Office geschickt hat. Oder es ist bereits ein Familien-Computer mit einer Spionage-Malware infiziert. Ein solcher Trojaner scannt seine Umgebung kontinuierlich und meldet, wenn neue Systeme hinzukommen. Der Hacker kann dann anhand des Systemnamens erkennen, dass es sich um ein Unternehmens-Laptop handelt, und weitere Schritte planen.

Hacker nutzen die Krise aus

Gerade in Zeiten von Corona haben es Cyberkriminelle leicht, Opfer auszutricksen und Malware einzuschleusen. Denn die Menschen sind verunsichert und fallen dadurch leichter auf Betrüger herein. Eine besonders beliebte Angriffsmethode ist Phishing. So versuchten Hacker zum Beispiel verstärkt, Anwender auf vermeintliche Corona-Informationsseiten zu locken und dort zum Download gefährlicher Dateien zu bewegen. Laut Bundesamt für Sicherheit in der Informationstechnik (BSI) nahm die Zahl der Corona-bezogenen Domain-Registrierungen exponentiell zu – wohl auch im Hinblick auf kriminelle Aktivitäten. Eine andere Masche könnte sein, dass sich ein Hacker als Netzwerkadministrator ausgibt und einen Mitarbeiter auffordert, sein System zu aktualisieren – er müsse dafür nur den beigefügten Link anklicken. Schon installiert der arglose Nutzer einen manipulierten VPN-Client, der sämtlichen Netzwerkverkehr über den Server des Cyberkriminellen leitet.

Schwachstellen identifizieren und schließen

Eine wichtige Maßnahme, um die Sicherheit im Home Office zu erhöhen, besteht darin, Sicherheitslücken aufzudecken und zu schließen. Viele Unternehmen betreiben schon Schwachstellenmanagement in ihrer internen Infrastruktur. Mit der GMSP von Greenbone lässt sich dies ganz einfach auf die Home-Office-Umgebung ausweiten. Der Cloud Service scannt alle im Netzwerk angeschlossenen Systeme auf Sicherheitslücken, zum Beispiel fehlende Patches oder unsichere Konfigurationen. Anschließend bewertet er die Funde nach Risiko und schlägt Methoden zur Minderung vor. Um ein Home Office-Netzwerk in das Vulnerability Management einzubinden, müssen Kunden lediglich ein neues Gateway auf der Plattform anlegen. Anschließend erhält der jeweilige Mitarbeiter einen Download-Link, installiert das Gateway und startet den Scan. Abgerechnet wird nach Zahl der gescannten IP-Adressen. Wenn das Unternehmen die GMSP bereits intern nutzt, fallen für das Home Office Gateway keine zusätzlichen Kosten an.

Am Ende profitieren beide Seiten: der Mitarbeiter und das Unternehmen. Der Mitarbeiter kann sein Heimnetzwerk mit einer professionellen Lösung auf Schwachstellen scannen und so die Cyber Security bei sich zu Hause erhöhen. Das Unternehmen gewinnt mehr Transparenz über die erweiterte Angriffsfläche, kann bestehende Sicherheitslücken schließen und sich resilienter gegen Cyberangriffe machen.

Osnabrück, 27. Februar 2020 – Greenbone, Lösungsanbieter zur Schwachstellenanalyse von IT-Netzwerken, verstärkt mit Elmar Geese als Chief Operating Officer (COO) das Management. Geese ist seit Anfang 2020 bei Greenbone tätig und kümmert sich seitdem vor allem um Strategie, Prozessoptimierung und Controlling. Die Position wurde neu geschaffen, um das anhaltend starke Wachstum von Greenbone auch auf Management-Ebene weiter zu unterstützen.

Elmar Geese ist seit Anfang 2020 Teil des Management-Teams von Greenbone. Der Schwerpunkt seiner Tätigkeit liegt auf Strategie, Prozessoptimierung und Controlling. In seinem Schaffen will er den Mehrwert der Greenbone-Produkte für die Kunden noch wirksamer werden lassen. „Greenbone hat mit seinen Lösungen für intelligentes Schwachstellen-Management das Potenzial, sich von einem europäischen Marktführer zum internationalen Player zu entwickeln“, so Geese. „Die Sicherheit von Informationssystemen ist für Unternehmen und unsere moderne Gesellschaft elementar. Das zeigen die vielen Sicherheitsvorfälle, von denen wir mittlerweile täglich erfahren. Greenbone leistet einen entscheidenden Beitrag, unsere Welt sicherer zu machen. Ich freue mich darauf, mich hier entscheidend einbringen zu dürfen.“

Jan-Oliver Wagner, Greenbone Gründer und CEO, ergänzt: „Greenbone wächst kontinuierlich. Aktuell arbeiten wir daran, unsere Schwachstellen-Management-Lösung auch als Managed Service zur Verfügung zu stellen. Davon profitieren vor allem Unternehmen, die Inhouse nicht die personellen oder zeitlichen Kapazitäten für eine umfassende Schwachstellen-Analyse mit Hardware-Modulen haben. Mit Elmar Geese haben wir einen fähigen Kopf mit starkem unternehmerischen Background für uns gewonnen, der uns im Management unterstützt. Wir freuen uns sehr auf die Zusammenarbeit und sind zuversichtlich, dass wir mit ihm an Bord die Aufgaben, die ein schnelles Unternehmenswachstum mit sich bringt, mit Leichtigkeit bewältigen.“

Elmar Geese blickt auf eine langjährige Management-Erfahrung zurück. Er ist seit mehr als drei Jahrzehnten als Gründer, Manager und Berater im Bereich Informationstechnologie tätig. Zuletzt war er als CIO beim Berliner Gesundheits-Startup machtfit für deren SaaS-Plattform für betriebliches Gesundheitsmanagement verantwortlich. Dort hat er als Leiter der Produktentwicklung und -betriebs dazu beigetragen, Kunden wie die Bayer AG, die Deutsche Bahn, Lufthansa, Edeka und Lanxess dauerhaft für das Unternehmen zu gewinnen.