Malware-Ausbrüche im Unternehmensnetz begrenzen

Das Eindringen von Schadsoftware in das Unternehmensnetz lässt sich, trotz Firewalls und Antimalwarelösungen, praktisch nicht verhindern. Dazu bleiben zu viele Lücken offen, die sich nicht vollständig überwachen oder schließen lassen. So können über VPN angebundene Außenstellen oder Zweigniederlassungen beim Datentransfer unbemerkt Malware mitliefern; Außendienstmitarbeiter wählen sich übers W-LAN ein; Daten von Trägern wie USB-Sticks, Mobiltelefone oder mobile Festplatten können ebenso Schadcode enthalten wie E-Mail-An­hänge im doc-, xls- oder pdf-Format. Ausbreitung verhindern Da sich im Unternehmensalltag nicht alle Ports sperren, alle mobilen Geräte ablehnen, alle E-Mails mit Anhängen abweisen lassen, muss die Mehrzahl der Unternehmen mit dem Risiko von Malwareinfektionen leben – und dafür Sorge tragen, dass sie sich nicht unbegrenzt ausbreiten können: Während eine Infektion auf Bürorechnern eventuell noch zu verschmerzen ist, kann sie in anderen Bereichen zu massiven Störungen und erheblichen Kosten führen, zum Beispiel in Serverraum und Datacenter oder im Produktionsnetz: Hier ermöglicht Industrial Ethernet zwar die zentrale Steuerung aller Prozesse aus dem Enterprise-Resource-Planning-System heraus, öffnet Malware allerdings den Weg in die bislang durch proprietäre Protokolle abgeschotteten Produktionssysteme, deren Komponenten häufig nicht durch lokale Antimalware-Lösungen geschützt werden können oder dürfen. Datenfilter im Netzwerk Gegen eine ungehinderte Ausbreitung helfen Security-Gateways wie die von Norman Data Defense entwickelte Lösung Norman Network Protection (NNP). Sie lassen sich zusätzlich zu bestehenden Schutzlösungen an jedem beliebigen Punkt innerhalb des Netzwerkes installieren. Dadurch ermöglichen sie die Gliederung des Unternehmensnetzes in Segmente unterschiedlicher Kritikalität – und die lokale Begrenzung von Infektionen. In ihrer Position zwischen anstatt auf den Komponenten im Netzwerk scannen sie den durchfließenden Datenverkehr in beiden Richtungen. Schlau und schnell NNP arbeitet auf der Basis der Debian GNU/Linux-Distribution 4.0. und verhält sich gegenüber bestehenden Schutzlösungen neutral. Für die Implementierung sind Änderungen an bestehenden Systemen überflüssig, das Eintragen eines Proxys oder das Angeben eines Gateways entfallen. Damit der Einsatz von Gateways von den Nutzern akzeptiert wird, dürfen sie den Datenstrom nicht verlangsamen. Deshalb scannt NNP nur die Protokolle, die zur Verbreitung von Malware eingesetzt werden, also FTP, http, SMTP, POP3, TFTP, IRC sowie CIFS/SMB. Ergänzend verringert ein schlauer Trick die von Proxy-basierten Lösungen bekannten Latenzzeiten auf nicht wahrnehmbare Größenordnungen: Statt beim Scan einer Datei den gesamten Datenstrom zurückzuhalten, bis alle Daten erhalten und gescannt sind und sie erst dann an das Ziel weiter zu leiten, übermittelt NNP eine zu scannende Datei bis auf einige Datenpakete gleich an den Empfänger. Wird kein Schadcode gefunden, werden auch die zurückgehaltenen Datenpakete weitergegeben. Analyse im Sandkasten Zusätzlich zu den klassischen Viren­scannern, die nur die Schadprogram­me stoppen können, deren Signatur identifiziert und in der Datenbank der Lösung hinterlegt ist, sollten in Security-Gateways proaktive Verfahren eingesetzt werden. Denn die Malware verändert sich durch Mutationen schneller, als die Hersteller Signaturupdates zur Verfügung stellen können. Norman leitet zu analysierende Programme dafür in eine virtuelle Umgebung, die Norman SandBox. Sie simuliert einen Rechner samt Peripherie. Dort können die Schadprogramme ihre Routinen abarbeiten. Die SandBox beobachtet und bewertet das Verhalten und blockiert ggf. die Datei. Die aktuelle Version der SandBox wurde um die Funktion \’DNA Matching\‘ ergänzt, die den Code unbekannter Dateien mit den spezifischen Sequenzen bekannter Malware abgleicht. Damit gibt es an sensiblen Netzwerkschnittstellen eine Hürde mehr, die Schadprogrammen mit wenig Aufwand in den Weg gestellt werden können.