Software Security muss unkompliziert sein Softwaresicherheit durch Monitoring erhöhen

Anbieter zum Thema

Timly Software AG

Windhoff Group

Das Thema Software Security ist zu einem wichtigen Faktor in der IT-Administration geworden. Sicherheitsprobleme in eingesetzten Betriebssystemen und Programmen gefährden das Firmennetzwerk. Ein automatisiertes Monitoring der Netzwerkkomponenten und eingesetzter Software können das Risiko entschärfen. Wichtig ist dabei die einfache Handhabung im Alltag.

Angriffe von Cyber-Kriminellen bedrohen Unternehmen und öffentliche Einrichtungen aller Art. Dabei macht es häufig die Masse – Mails mit potenziell schadhaften Anhängen finden sich heutzutage beinahe täglich in E-Mail-Postfächern von Mitarbeitern. Aber auch das automatisierte Scannen von Netzwerken auf Schwachstellen gehört zum Repertoire von Angreifern.

Datendiebstahl, Erpressungen mit Verschlüsselungs-Trojanern und Störungen des Betriebs durch Denial-of-Service-Angriffe sind mögliche Motive. Intrusion-Detection-Systeme und Firewalls helfen bei der Absicherung der internen IT-Infrastruktur. Ebenso wichtig ist es, die eingesetzte Hard- und Software im Blick zu behalten. Sicherheitslücken in genutzten Programmen oder verbauten Komponenten machen ein eigentlich gut abgesichertes Netzwerk angreifbar.

Software-Security-Standards nach Maßgabe des BSI

Die einschlägigen Empfehlungen des Bundesamts für Sicherheit in der Informationstechnik (BSI) stellen eine Orientierungshilfe für die Lebenszyklen der Softwareentwicklung dar. Sie beschreiben Kriterien der Auswahl einer geeigneten Umgebung für den Entwicklungsprozess, die Festlegung eines Vorgehensmodells und Standards für Qualitätssicherung sowie Dokumentation. Auch Hinweise für ein sicheres Systemdesign sind enthalten. Diese umfassen etwa die Pflicht zur Prüfung von eingegeben Daten vor der Weiterverarbeitung, die Maßgabe, Software grundsätzlich nicht mit erhöhten Rechten ausführen zu lassen und die Vorgabe sicherer Authentifizierungsmechanismen.

Weitere grundlegende Empfehlungen der Software Security betreffen die Auswahl von externen Bibliotheken aus vertrauenswürdigen Quellen sowie begleitende Sicherheitstests. Essenziell ist zudem die Bereitstellung von Sicherheitspatches und Updates durch den Softwareentwickler. Gerade in diesem Kontext sollte der Einsatz freier Anwendungen im professionellen Umfeld unter dem Gesichtspunkt der Software Security regelmäßig kritisch geprüft werden.

Secure-Software-Development ist nur die Basis

Softwaresicherheit, Software-Maintenance und Anwendungssicherheit benötigen mehr als die sichere Entwicklung. Diese stellt nur eine Basis für die Software Security dar. Update-Zyklen werden zunehmend kürzer. Gleichzeitig suchen Cyber-Kriminelle nach neuen Wegen, um angreifbare Elemente zu lokalisieren.

Ein Schwerpunkt ist dabei der Faktor Mensch, dem es durch ausgefeilte E-Mails oder Anrufe im stressigen Alltag schwer gemacht wird, zwischen echten Nachrichten und solchen, die zum Ausführen schadhafter Aktionen animieren sollen, zu unterscheiden. Software Security läuft in diesem Fall ins Leere, wenn Mitarbeiter in gutem Glauben Schadsoftware ausführen oder schützenswerte Informationen preisgeben. Hier helfen nur Aufklärung und regelmäßige Sensibilisierung.

Ein anderer Angriffsvektor sind Netzwerk-Komponenten, die häufig nicht so im Fokus stehen, etwa Router oder netzwerkfähige Drucker. Aus diesem Grund sind die möglichst lückenlose Erfassung aller IT-Assets und ein systematisches Patch-Management von essenzieller Wichtigkeit. Das softwarebasierte IT-Asset-Management wird zunehmend alternativlos. Dabei ist ein möglichst hoher Grad an Automatisierung anzustreben, denn manuelle Kontrollen sind gleichermaßen zeitintensiv wie auch fehleranfällig.

CVE-Datenbank und aktuelle Berichterstattung

Die aktuelle Lage der Software Security im Blickfeld zu behalten, gehört zu den Aufgaben der IT-Verantwortlichen eines Netzwerks. Inzwischen schaffen es Sicherheitslücken in populären Anwendungen in die Berichterstattung der allgemeinen Medien. Zumindest aber Fachportale veröffentlichen in der Regel zeitnah bekanntgewordene Schwachstellen.

Darüber hinaus bietet die Datenbank der Common Vulnerabilities and Exposures (CVE) eine Übersicht aktueller Software-Sicherheitslücken. Darin erhalten ausnutzbare Fehler, sogenannte Exploits, eine eindeutige CVE-Nummer. Auf diese Weise wird die einheitliche Bezeichnung und Verarbeitung bestimmter Exploits möglich. Zuständig für die Verwaltung ist die amerikanische Non-profit-Organisation Mitre Corporation.

Sicherheitslücken finden, bevor es andere tun

Das BSI empfiehlt, die Sicherheit im eigenen Netzwerk regelmäßig in Penetration-Tests auf den Prüfstand zu stellen. Mögliche Varianten sind sogenannte Blackbox-Tests, bei denen die Sicherheitsexperten keine spezifischen Informationen zur Verfügung gestellt bekommen und Whitebox-Tests, für die zuvor umfassende Daten über die zu testende Umgebung bereitgestellt werden. Bei der Durchführung versuchen Penetration-Tester, mittels aktueller Angriffsmethoden Zugang zum System des geprüften Unternehmens zu erlangen. Erfasst sein sollen neben Server und Clients insbesondere auch Netzkoppelelemente, Telekommunikationsanlagen und Infrastruktureinrichtungen, etwa zur Gebäudesteuerung.

Ein separates Feld der Software Security ist der Code Review, also die Untersuchung von verwendetem Quellcode, als Bestandteil der Qualitätssicherung beim Entwickler. Nach Abschluss des Penetration-Tests erhalten Verantwortliche eine detaillierte Dokumentation, aus der sich, sofern erforderlich, idealerweise Handlungsempfehlungen zur Absicherung des Netzwerks ableiten lassen.

Praxisnahe Implementierung durch kommerzielle Anbieter

Voraussetzung für die Beurteilung der Sicherheit im eigenen Netzwerk und der Software Security ist eine lückenlose Dokumentation eingesetzter IT-Assets. Hierfür gibt es spezialisierte Software, mit der eine Erfassung und Verwaltung möglich werden. Dabei sind unterschiedliche Ansätze denkbar. Ein generalistisches Konzept verfolgt der Schweizer Anbieter Timly mit seiner Inventarsoftware. Diese wird als cloudbasierter Dienst angeboten und ermöglicht es, mittels flexibler Vorlagen stark unterschiedliche Assets einheitlich zu erfassen. Dadurch lassen sich grundsätzlich alle erdenklichen Hardware-Elemente und installierte Anwendungen verwalten. Die Stärke der Software liegt in den umfassenden Verknüpfungsmöglichkeiten, mit denen beispielsweise Verbünde aus PC-Arbeitsplätzen, aber auch ganzen Räumen gebildet werden können. Dadurch werden Gegenstände der Peripherie, die ansonsten bei der Betrachtung aus Sicherheitsaspekten womöglich eher vernachlässigt würden, in den Fokus genommen.

Für veränderliche Parameter der Software Security ist so allerdings Handarbeit angesagt. Daher wurde durch die Entwickler eine Schnittstelle zur IT-Asset-Management-Software Lansweeper geschaffen, die eine automatische Detektierung auf Basis von Netzwerkprotokollen oder installierter Clientsoftware im Netzwerk durchführt. Erkannt werden dabei auch Details verwendeter Betriebssysteme und Anwendungen.

Im Hintergrund erfolgt ein Abgleich mit der CVE-Datenbank. Wird ein Sicherheitsproblem erkannt, erhalten Verantwortliche eine Meldung. Für besonders schwerwiegende Vorfälle besteht die Möglichkeit, automatisierte Aktionen – etwa die Deaktivierung einer Software – vorzunehmen. Datenbestände aus Lansweeper lassen sich in Timly einbinden, wodurch Informationen zu Hard- und Software auf einer Plattform zusammengeführt werden.

Fazit: Software Security verlangt Aufmerksamkeit

Software Security bleibt ein Dauerthema, dem Aufmerksamkeit geschenkt werden muss. Systeme zur Intrusion-Detektion und zum Monitoring eingesetzter IT-Assets sind ein wichtiges Hilfsmittel, um das Schutz-Niveau zu steigern. Am Ende macht es die Kombination aus nötiger Aufmerksamkeit und Automatisierung von grundlegenden Aufgaben, die im Alltag ansonsten womöglich vernachlässigt würden.

Über die Autorin: Jennifer Ritz arbeitete nach ihrem Staatsexamen für Gymnasiallehramt in Germanistik und Anglistik an der Universität Heidelberg, fünf Jahre lang für Deutschlands erfolgreichstes Börsenmagazin, finanzen.net. Seit April 2023 ist sie für die Timly Software AG als Senior Content Marketing Manager tätig und kümmert sich um die deutsche und englische Kommunikation.

(ID:49912994)