Drive-by-Exploits sind eine Bedrohung


IT-Sicherheit: Risiken und Bedrohungen durch Drive-By Exploits

Ein Drive-by-Exploit wird in der Regel auf manipulierten Internetseiten eingesetzt. Nachdem der Angreifer die Kontrolle über einen Webserver erhalten hat, manipuliert dieser die aktiven Inhalte auf der Webseite. Das Ziel von einem Drive-By-Exploit liegt darin, die gewünschte Malware großflächig zu verbreiten.

Eine Webseite besteht grundsätzlich aus HTML-Code (=Hypertext Markup Language), der allerdings keine dynamischen Inhalte darstellen kann. Aktive Inhalte können für die Darstellung und Funktion von multidimensionalen Webseiten verwendet werden. Auch Datenbankanwendungen und Formulare können nur durch aktive Inhalte erstellt werden. Diese werden meist mithilfe von Hilfsmitteln wie JavaScript, JScript, Flash, Active-X-Controls, VBScript, Java-Applets oder AJAX erstellt. Diese Hilfsmittel können aber auch verwendet werden, um durch Schwachstellen der Internetbrowser Programmcode auf den Systemen der Benutzer auszuführen. Somit lässt sich durch ein typisches, schön anzuschauendes Werbebanner auf einer Internetseite eine Malware installieren, die bspw. den Rechner in ein Botnetz einbindet.

Maßnahmen zum Schutz gegen Drive-By-Exploits

Als Schutzmaßnahme sollten die aktiven Inhalte deaktiviert werden. Um dies zu bewerkstelligen, sind für die meisten aktuellen Browser Erweiterungen verfügbar, die die Ausführung von aktiven Inhalten blockieren. Diese werden nur nach explizierter Freigabe vom Benutzer aktiviert.

Advertisements
Veröffentlicht unter IT-Sicherheit, Security Management | Verschlagwortet mit , , , , , | 2 Kommentare

Bildung von Organisationseinheiten


Festlegung von Organisationseinheiten in der Aufbauorganisation

Prozessmanagement als Teil der Wirtschaftsinformatik setzt sich zum Ziel, neben der Ablauforganisation auch die Aufbauorganisation von Unternehmen und weiteren Organisationen hinsichtlich ihrer Qualität und Effizienz zu evaluieren und zu verbessern. Prozessmanagement muss dabei auch immer den Anforderungen der für die jeweilige Organisation definierten Ziele in Sachen Wissensmanagement und Informationsmanagement Rechnung tragen.

Kriterien für die Stellenbildung

Stellen können nach verschiedenen Methoden je nach zugrundeliegender Situation, Philosophie, und personellen Gegebenheiten gebildet werden:

  • ad rem: Der Stellenbildung liegen die zuzuweisenden beziehungsweise zu verteilenden Aufgaben zu Grunde.
  • ad personam: Stellen werden auf eine Person, auf einen konkreten Stelleninhaber / eine konkrete Stelleninhaberin zugeschnitten.
  • ad instrumentum: Nach der zur Verfügung stehenden fachlich-technischen Ausstattung an Anlagen und Arbeitsmitteln beziehungsweise Produktionsmitteln
  • Rechtsnorm: Bildung einer Stelle oder übergeordnete Organisationseinheit weil der Gesetzgeber dies verlangt.

Spezialisierung

  • horizontale Spezialisierung: Organisationseinheiten existieren nebeneinander,  verschiedene Aufgabenträger führen weitgehend gleichartige, und von der Sache her ähnliche Tätigkeiten aus.
  • vertikale Spezialisierung: Bezieht sich auf die Bildung von Organisationseinheiten nach sich unterscheidenden Tätigkeiten, was in der Regel mit einer Spezialisierung einhergeht.

Weiterlesen

Veröffentlicht unter Organisationstheorie, Prozessmanagement, Systemanalyse, Wirtschaftsinformatik | Verschlagwortet mit , , , , , , , , , | 1 Kommentar

Sicherheit und IT: Angriffe auf Webserver


Bedrohung: Gezielte Übernahme von Webservern

Bei dieser Angriffsart werden Webserver angegriffen, die im Vorfeld gezielt ausgewählt wurden. Dies geschieht auf unterschiedlichen Wegen, meistens mithilfe von Malware. Als Ziele werden im Allgemeinen die Platzierung von Schadsoftware, ein Angriff auf dahinterliegende Netzwerke oder die Manipulation von Datenbanken angegeben.

Webseiten enthalten oft Schwachstellen und Sicherheitslücken

Der Symantec Sicherheitsbericht von 2013 berichtet, dass 77% aller Webseiten Schwachstellen enthalten. Die Schwachstellen stehen meistens mit den Protokollen „Secure Sockets Layer“ (=SSL) und „Transport Layer Security“ (=TLS) in Verbindung. Davon waren ganze 16% als kritische Sicherheitslücken eingestuft worden, durch welche Angreifer Zugriff auf sensible Daten erhalten können. Demnach ist jede achte Seite für einen Angreifer einfach anzugreifen.

Da immer mehr Webseiten von Privatpersonen und kleineren Unternehmen online sind, sind deren Kosten für Installation und Wartung stark gesunken. Hierdurch sind auch viele Administratoren für diese Webserver zuständig, die sich kaum mit der Sicherheit ihrer Server beschäftigen. Somit ist es auch kaum verwunderlich, dass viele Webserver veraltete Software verwenden.

Eine platzierte Schadsoftware hat meistens den Zweck, sich auf den Systemen der Besucher oder der Administratoren weiterzuverbreiten. Nähere Erläuterungen finden sich in einem Beitrag „Drive-by-Exploits“, ebenfalls hier im Wirtschaftsinformatik: Wissensmanagement-Blog.

Über Sicherheitslücken im Webserver ins Unternehmensnetzwerk

Da viele Webserver innerhalb der Unternehmen gehostet werden, sind diese ein beliebtes Angriffsziel, wenn der Angreifer Zugang zum internen Firmennetzwerk erhalten möchte. Damit der Webserver seine Funktion erfüllen kann, muss dieser von außerhalb des Netzes erreichbar sein. Somit befindet man sich durch einen legalen Zugriff auf diesen Server bereits im lokalen Netzwerk. Übernimmt man nun die Kontrolle über diesen Server, können weitere Informationen gesammelt werden um auf das Netzwerk zugreifen zu können. So lässt sich beispielsweise der Netzwerkverkehr ausspionieren oder der Angreifer kann weitere Systeme angreifen.

Nicht immer werden Angriffe auf Webserver und Manipulation sofort bemerkt

Viele Internetauftritte haben ein Content-Managementsystem (CMS), einen Webshop oder eine Wissensdatenbank eingebunden. Da diese eine Datenbank benötigen und die Funktion dieser Systeme für den Unternehmenserfolg wichtig ist, hat eine Störung dieser Systeme meistens eine negative Auswirkung. Würde diese Datenbank bewusst deaktiviert werden, würde der Fehler schnell bemerkt und behoben werden. Da die Angreifer in einem solchen Fall allerdings meistens Schaden anrichten wollen, werden die Datensätze der Datenbank lediglich manipuliert.

Dies hat zur Auswirkung, dass der Angriff lange unentdeckt bleibt.
Gerade im Bereich von Onlineshops kommt es gerne vor, dass gezielt die Kundendatenbanken ausgelesen werden. Hier sind meistens, neben Name, E-Mailadresse und Postanschrift auch Informationen über die Kreditwürdigkeit und Zahlungsmethoden hinterlegt. Insbesondere die Kreditkartendaten sind hierbei für die Angreifer von großem Interesse, da diese Datensätze einen hohen Wert auf dem Schwarzmarkt haben.

Um sich als Webseitenbetreiber vor diesen Angriffen zu schützen, wird empfohlen eine SSL-Verschlüsselung von Login bis Logout zu verwenden und täglich die Website auf Malware zu überprüfen. Zudem soll, falls für die Sitzungen Cookies verwendet werden, bei diesen das Sicherheitsflag gesetzt sein, sowie der Webserver regelmäßig auf Schwachstellen überprüft werden.

Veröffentlicht unter Datensicherheit, IT-Sicherheit, Security Management, Wirtschaftsinformatik | Verschlagwortet mit , , , , , , , , , | 1 Kommentar

IT-Sicherheit: Aktuelle Bedrohungslage


Bedrohungslage laut BSI (Bundesamt für Sicherheit in der Informationstechnik)

In den nächsten Posts werden wir uns ein Stück vom zentralen Wirtschaftsinformatik-Bereich Wissensmanagement den wir hier behandeln entfernen undauf die unterschiedlichen Bedrohungen im Bereich IT-Sicherheit eingegangen. Das Bundesamt für Sicherheit in der Informationstechnik (=BSI) hat eine Liste mit den sechs stärksten Bedroh¬ungen veröffentlicht. Hierbei handelt es sich um DDoS-Angriffe (=Distributed Denial of Service), das gezielte Hacking von Webservern, Drive-by-Exploits, Social Engineering (=SE), klassische Schadsoftware und als stark gestiegene Angriffsform die sogenannten Advanced Persistent Threats (=APT). Auf diese Angriffsarten wird in den folgenden Posts genauer eingegangen.
Falls bei einer dieser Angriffsarten weitere geschildert werden, werden diese in einem eigenen WI-Beitrag detaillierter vorgestellt, ebenso wird der aktuelle Stand der klassischen Bedrohungen wie bspw. Phishing, Spam und Keyloggern vorgestellt, über die auch ein Wirtschaftsinformatiker genauestens Bescheid wissen sollte.

Veröffentlicht unter Security Management | Verschlagwortet mit , , , , , , | 1 Kommentar

Sicherheit von Informationssystemen: Verfügbarkeit


Verfügbarkeit von digitalen Angeboten

Ein wichtiger Aspekt für Unternehmen stellt die Erreichbarkeit ihrer Systeme, Produkte und Dienstleistungen dar, also die Verfügbarkeit digitaler Angebote. Um dies zu gewährleisten ist es von höchster Notwendigkeit, dass die technischen Gegebenheiten und Aspekte von Informationssystemen berücksichtigt sowie gründlich hinsichtlich ihrer Sicherheit und Verfügbarkeit analysiert werden, um einen Zugriff auf ein System in einem definiertem Zeitintervall zuzulassen bzw. bestimmte Aktionen durchzuführen. Dabei zählen Komponenten wie Fehlertoleranz, Zuverlässigkeit, Robustheit und Wiederherstellbarkeit zu diesem Schutzziel.
Die wirklichen, eindeutig identifizierbaren Schutzziele gibt es in der Literatur nicht wirklich. Jedoch gibt es weitere Begriffe die bei der Charakterisierung von Zielsetzungen in Zusammenhang mit der Gestaltung von sicheren IT-Systemen verwendet werden.

Verbindlichkeit

Damit geht einher die Nachweisbarkeit des tatsächlichen Versendens und Empfangens von Informationen und im diesem Zusammenhang wird der Identitätsnachweis des Kommunikationspartners wichtig, da dadurch die Verbindlichkeit der Daten gewährleistet ist bzw. Informationen verbindlich werden

Zurechenbarkeit

Dieser Begriff wird mitunter der Authentizität unterstellt und umfasst alle Aktionen sowie Informationen, welche einer auszulösenden Instanz ( in diesem Fall kann es eine Person bzw. ein System sein) zugeordnet werden kann.
• Rechtssicherheit und Revisionsfähigkeit
Die notwendigen für den Rechtsverkehr eingesetzten Informationen und Vorgänge in Systemen als auch Netzen müssen gegenüber Dritten nachweisbar sein.

Veröffentlicht unter Informationsmanagement, Kooperative Systeme, Security Management, Wirtschaftsinformatik | Verschlagwortet mit , , , , , , | 1 Kommentar

Migration zu Industrie 4.0


Migrationsstrategie von Industrie 3.0 zu Industrie 4.0

Das Ziel einer Migrationsstrategie wäre die schrittweise Verbesserung der Sicherheit gegenwärtigeeingesetzter „Industrie 3.0“ – Einrichtungen um sie für die Umwandlung in die IT-Strategie eines modernen Industrie 4.0-Unternehmens (dessen Infrastrukturen wahrscheinlich für längere Zeit im Einsatz bleiben sollen) vorzubereiten.
Allerdings ist die Heterogenität, hohe Stillstands- und Rüstzeiten sowie der individuelle Charakter bestehender Produktionsstätten unter Umständen ein beträchtliches Hindernis bei der Entwicklung und Umsetzung gemeinsamer Standards für IT-Sicherheitslösungen.
Folglich bedarf es einer Migrationsstrategie und auch der Entwicklung eines standardisierten Prozessmodells, das die kostengünstige Implementierung individueller Sicherheitslösungen pragmatisch, bedarfsgrecht, und zeitnah ermöglicht – Eine Herausforderungen an viele Domänen der Wirtschaftsinformatik. Wissensmanagement- und Informationsmanagement-Strategien tragen die Transformation der Industrie- und IT-Landschaft hin zum sogenannten Internet der Dinge und zur Vision Industrie 4.0

Dieser Prozess könnte durch Anpassung der bestehenden, eher generischen IT-Sicherheitsprozesse an Industrie 4.0 Szenarien definiert werden und auf Grundlage der und unter der Berücksichtigung festgelegter Sicherheitsziele umgesetzt werden. In einer vorausgehenden Situationsanalyse sollten die vorliegenden individuellen Schwächen und Risiken im Einzelfall identifiziert werden und ein geeigneter Maßnahmenkatalog erstellt werden.

Veröffentlicht unter Industrie 4.0, Informationsmanagement, Wirtschaftsinformatik, Wissensmanagement | Verschlagwortet mit , , , , , , , , | 1 Kommentar

Sicherheitsverständnis in der Informationstechnik


(Safety vs. Security)

Begriff IT-Sicherheit lässt sich im Englischen in zwei unterschiedlichen Ausprägungen wieder finden. Zum einen umfasst der Begriff Funktionssicherheit(englisch: safety), dass ein System konform zur gewünschten Funktionalität verhält und alle erwartenden Funktionen ausgeführt werden. Zum anderen setzt sich Informationssicherheit (englisch: security) aus dem Schutz der technischen Verarbeitung von Informationen zusammen und stellt die Eigenschaft eines funktionssicherem als auch funktionstüchtigem System dar. Die somit verfolgte Verhinderung von nicht-autorisierter Datenmanipulation ist das erklärte Ziel von IT-Sicherheit. Maßnahmen diese Sicherheit gewährleisten sollen umfassen beispielsweise ausfallsichere Stromversorgung, Verwendung verschiedener Speichermedien (z.B. mehrerer Festplatten) zur Schaffung von Redundanzen.

Schwachstellen im System bilden die Grundlange für Cyber-Angriffe und hinsichtlich der höheren Digitalisierung, der Vernetzung vieler Lebens- als auch Arbeitsbereiche , kann die Verbindung all dieser unterschiedlicher Technologien nicht reibungslos von statten gehen.

Veröffentlicht unter Security Management, Wirtschaftsinformatik | Verschlagwortet mit , , , , | 1 Kommentar

Industrie 4.0 – Worum geht es eigentlich?


Wofür steht Industrie 4.0 und was ist das Internet der Dinge

Ich finde, dieses Video bietet einen guten und klaren Einstieg in die Thematik:

 

Gerd Ludwig, Geschäftsführer der INTEC International GmbH, Herr Wahner von ITML, und Jochen Hecker von SAP über das Internet of Things (auch IoT) und die Möglichkeiten von intelligenten Fabriken im Zeitalter von Industrie 4.0.

Von Revolution spricht man in Zeiten eines dramatischen Umbruchs. Von Die Digitalisierung der Welt schreitet voran und eröffnet neue Möglichkeiten in Industrie und Logistik. Maschinen werden gesprächig, Blech kann kommunizieren. Völlig neue Möglichkeiten der Prozessdatenspeicherung und Auswertung von Maschinendaten haben sich ergeben und werden in hohem Tempo weiter entwickelt.

Die Herauforderung wird sein, alte Anlagenbestände mit der modernen Smart Factory als Ziel der Vision Industrie 4.0  in das Internet der Dinge zu integrieren.

Veröffentlicht unter Innovationen, Kooperative Systeme, Prozessmanagement | Verschlagwortet mit , , , , | 2 Kommentare