Deprecated: wp_make_content_images_responsive ist seit Version 5.5.0 veraltet! Benutze stattdessen wp_filter_content_tags(). in /home/customer/www/winmagic.com/public_html/blog-de/wp-includes/functions.php on line 4778

Risikobewertung: Laufwerksverschlüsselung und Angreifer

Ich war schon immer ein Befürworter von Bewertungen des Sicherheitsrisikos, um den Umfang der Kontrollen zu bestimmen, die erforderlich sind, um Informationen angemessen zu schützen. Das Risiko ist eine Funktion der Wahrscheinlichkeit und der Auswirkungen eines erfolgreichen Angriffs. Je höher die Wahrscheinlichkeit und je größer die Auswirkungen, desto höher das Risiko.

Damit ein bestimmter Angriff wahrscheinlich wird, muss es Schwachstellen und eine Bedrohung geben. NIST definiert Bedrohung als „jeden Umstand oder jedes Ereignis, das organisatorische Abläufe (…) durch ein Informationssystem mittels unerlaubtem Zugriff, Zerstörung, Offenlegung oder Änderung von Informationen und/oder Denial-of-Service-Angriffen negativ beeinträchtigen kann“. (https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-150.pdf)

Eine Bedrohung wird real, wenn es eine Person gibt, der bereit ist, eine Schwachstelle auszunutzen. NIST nennt diese Person Angreifer, also „eine Person oder eine Gruppe, die eine Bedrohung darstellt“.

Wie sehen Bedrohungen und Angreifer im Kontext der Laufwerksverschlüsselung aus? Die Laufwerksverschlüsselung ist eine Kontrolle, deren Zweck es ist, „der primären Gefahr einer unbefugten Offenlegung geschützter Daten, die auf einem Speichermedium vorgehalten werden, zu begegnen“. Fällt ein verloren gegangenes oder gestohlenes Speichermedium (z. B. ein Speichergerät in einem Notebook oder eine externe Festplatte) in die Hände eines Angreifers, kann dieser versuchen, dieses Speichermedium mit einem Host zu verbinden, über den er die vollständige Kontrolle hat, und so auf die Rohdaten des Speichergeräts zugreifen (z. B. auf bestimmte Festplattensektoren oder bestimmte Partitionen).“

https://www.commoncriteriaportal.org/files/ppfiles/CPP_FDE_EE_V1.0.pdf

Ich halte es für sinnvoll, zwei verschiedene Arten von Angreifern im Kontext der Laufwerksverschlüsselung zu unterscheiden:

Der opportunistische Angreifer versucht, ein Gerät und/oder Daten zu kompromittieren. Der Angriff richtet sich aber nicht an einen bestimmten Benutzer oder ein bestimmtes Unternehmen, und das Gerät des Benutzers wird nicht gestohlen, um lediglich Zugriff auf die dort vorgehaltenen Daten zu erhalten. Ein Beispiel für einen opportunistischen Angreifer ist ein Dieb, der Ihre Notebook-Tasche vom Autositz stiehlt, weil Sie vergessen haben, das Auto abzuschließen. Wenn der opportunistische Angreifer ein Gerät entwendet und die Daten im Klartext vorhanden sind, kann er versuchen, die Daten zu verkaufen.

Der dedizierte Angreifer hat es auf einen bestimmten Benutzer oder ein bestimmtes Unternehmen abgesehen. Dieser Angreifer hat die Absicht, Geräte zu stehlen, um Daten oder Zugangsdaten von Benutzern abzugreifen (und hat es nicht nur darauf abgesehen, das Gerät gewinnbringend weiterzuverkaufen). Dieser Angreifer ist u. U. auch bereit, Angriffsmethoden und -tools zu erforschen und viel Zeit und Ressourcen in die Beschaffung der Daten zu investieren.

Wenn Sie also Ihre Risikobewertung durchführen, überlegen Sie, mit welcher Art von Angreifer Sie es zu tun haben. Selbst wenn Sie bereits festgestellt haben, dass Sie eine Laufwerksverschlüsselung als Kontrolle benötigen, kann die Art und Weise, wie Sie diese einsetzen, entscheidend sein. Der erforderliche Authentifizierungsgrad, die betrieblichen Gemeinkosten und die Unannehmlichkeiten, denen die Benutzer ausgesetzt sind, unterscheiden sich je nachdem, ob Sie sich vor einem opportunistischen oder einem dedizierten Angreifer schützen möchten.

Die Verwaltungsplattform SecureDoc Enterprise Encryption von WinMagic verfügt z. B. über umfassende Lösungen (bzw. Kontrollen) für die Laufwerksverschlüsselung in Unternehmen. Dazu gehört die einzigartige Möglichkeit, eine umfassende Authentifizierung vor dem Systemstart zusätzlich zu BitLocker zu nutzen. Diese Lösung heißt SecureDoc on Top for BitLocker und übernimmt die gesamte Authentifizierung vor dem Systemstart für BitLocker. Jeder Benutzer erhält eindeutige Zugangsdaten, auf die Richtlinien zur Passwortqualität angewendet werden, oder sogar eine Smartcard für die Multi-Faktor-Authentifizierung. Diese Authentifizierung vor dem Systemstart schreckt selbst äußerst dedizierte Angreifer ab. Sie erfordert jedoch, dass sich Benutzer mit der Authentifizierung vor dem Systemstart und der zugehörigen Verwaltung auseinandersetzen. Die Authentifizierung vor dem Systemstart wird auf dem Gerät ausgeführt, bevor das Betriebssystem überhaupt entschlüsselt und geladen wird. Das macht diese Authentifizierung sehr sicher, aber auch empfindlicher gegenüber verschiedenen Hardware-Modellen, NIC-Karten und sogar BIOS-Versionen.

Die Verwaltungsplattform SecureDoc Enterprise Encryption bietet zudem die Möglichkeit, BitLocker ohne eine Authentifizierung vor dem Systemstart zu verwalten. Wir nennen das SDBM bzw. SecureDoc BitLocker Management. SDBM kann konfiguriert werden, um BitLocker im reinen TPM-Modus (Standard) zu verwalten. Wie bereits in einem vorherigen Artikel erwähnt (/blog-de/pre-boot-authentifizierung-weisheit-in-sachen-sicherheit/), ist dies die am wenigsten sichere Laufwerksverschlüsselung. Um es mit Microsoft zu sagen: Der reine TPM-Modus ist für „wenig kompetente Angreifer oder Angreifer mit beschränktem physischem Zugriff“. Wenn Sie jedoch Ihre Risikobewertung durchführen, kann sich diese Methode als ausreichend erweisen, um sich vor opportunistischen Angreifern zu schützen, die Geräte zum Weiterverkauf stehlen, ihr Vorhaben aber schnell aufgeben, wenn der Versuch, Daten auszulesen, nicht von Erfolg gekrönt ist. Die Vorteile? Sie profitieren von einer nahezu vollständigen Transparenz für Benutzer und deutlich weniger Hardware- und BIOS-Kompatibilitätsproblemen für IT-Abteilungen mit begrenzten Ressourcen.

Kurzum: Führen Sie eine Risikobewertung durch. Möglicherweise müssen nicht alle Geräte in Ihrem Unternehmen mit der äußerst sicheren Authentifizierung vor dem Systemstart geschützt werden. Einige Geräte benötigen möglicherweise eine umfassende Authentifizierung vor dem Systemstart mit SecureDoc, die die IT-Abteilung auf einigen wenigen kompatiblen Geräten installieren kann. Gibt es ein Kompatibilitätsproblem oder ist das Risiko gering, können sie einen weniger umfassenden Ansatz für bestimmte Geräte wählen und SDBM verwenden.

Comments

comments

Vorheriger Beitrag
WinMagic – unsere Vision für eine bessere Datensicherheit in einer komplexen Welt
Nächster Beitrag
Feedback von Kunden: eine wichtige Sache

Related Posts

Es wurden keine Ergebnisse gefunden, die deinen Suchkriterien entsprechen.

Menü