Endpoint Security Assessment
Innerhalb eines ganzheitlichen Sicherheitskonzepts kommt den Client-Systemen (wie z.B. PC, Notebooks, Tablets oder Smartphones) als “Handwerkszeug” der IT-Anwender eine besondere Rolle zu. Nicht nur die unautorisierte Manipulation des Systems durch den Anwender birgt Sicherheitsrisiken. Immer häufiger werden die Anwender und deren Systeme Opfer gezielter Angriffsversuche (Spear Phishing, Drive-By-Infections etc).
Auf diesem Wege können Client-Systeme mittels Schadprogrammen (z.B. Trojanische Pferde) als Hintertür in das interne Netzwerk missbraucht werden. Besonderen Risiken unterliegen mobile Client-Systeme (Notebook, Smartphone, etc.). Verlust, Diebstahl oder Zerstörung des Systems gefährden in direkter Weise die auf dem System gespeicherten Daten. Zusätzliche Bedrohungen resultieren aus dem Einsatz mobiler Clients in, aus Sicht der Informationssicherheit, nicht vertrauenswürdigen Bereichen (Hotels, Flughäfen, etc.). Hier können Angriffe beispielsweise über die WLAN-Verbindung erfolgen.
Es empfiehlt sich daher, Client-Systeme einem dedizierten Assessment zu unterziehen. Die entsprechenden Prüfungen gliedern sich in zwei Bereiche:
Ziel
Identifikation von Schwachstellen in Software und Konfigurationen bzw. im Management von Client-Systemen und Bewertung des Risikos hinsichtlich spezifischer Bedrohungsszenarien
Fragestellung
Wie sicher ist die Software und Konfiguration von Client-Systemen und was können externe Angreifer bzw. böswillige Mitarbeiter im schlimmsten Falle erreichen?
Scope
PCs, Notebooks, Smartphones, Tablets und andere mobile Endgeräte sowie deren Managementumgebungen
Client-Sicherheit
Die Prüfung im Bereich Client-Sicherheit erfolgt im Schwerpunkt aus der Perspektive potentieller Angreifer (gezielte und ungezielte Angriffe) sowie aus Perspektive des Benutzers selbst (unautorisierte Administration, Fehlverhalten).
Folgende Bereiche werden durch das Assessment abgedeckt:
- Technische Analyse der Sicherheitsfunktionen des Betriebssystems und der installierten Anwendungen ( Penetrationstest )
- Versuch der Erweiterung von lokalen Rechten
- Untersuchung der sicherheitsrelevanten Konfigurationen des Betriebssystems (unter Berücksichtigung von “Compliance Guides”) und der installierten Anwendungen, wie z.B. Internet Explorer (z.B. Sicherheitszonen, aktive Inhalte, wie Flash und Java), Microsoft Office und weiterer sicherheitsrelevanter bzw. -kritischer Anwendungen
Client-Management
Eine Prüfung im Bereich Client-Management umfasst die Einbindung der Client-Systeme in sicherheitsrelevante Konzepte und Prozesse.
Folgende Bereiche werden durch das Assessment abgedeckt:
- Analyse der Vorgehensweise für das Bereitstellen stationärer oder mobiler Client-Systeme (Staging-Prozesse, Provisionierung, Deprovisionierung, etc.)
- Analyse der Aktualisierungsprozesse für Client-Systemen (Patchmanagement, Software-Roll-Out)
- Analyse von sicherheitsunterstützenden Prozessen für Endgeräte (Schutz vor Schadprogrammen, Reaktion auf detektierte Angriffe, etc.)
- Analyse von übergeordneten Managementprozessen (Schnittstelle des Rollen- und Rechtemanagements zur Personalverwaltung, Passwortreset, etc.)
Ergebnis
Als Ergebnis des Assessments erhalten Sie einen ausführlichen Abschlussbericht. Abhängig von Art und Umfang des Projekts umfasst der Abschlussbericht folgende Bestandteile:
- Management Summary mit Zusammenfassung der Ergebnisse und des Sicherheitsniveaus
- Beschreibung Projektablauf, Zielsetzung, Umfang und Methodik
- Detaillierte Beschreibung der identifizierten Schwachstellen, um diese nachvollziehen und mögliche Angriffe rekonstruieren zu können (ggf. mit Proof-of-Concept-Implementierungen)
- Detaillierte Beschreibung des iterativen Vorgehens bei der Ausnutzung verketteter Schwachstellen
- Risikobewertung der identifizierten Schwachstellen unter Berücksichtigung des IT-Umfelds bzw. des Anwendungskontextes (Risikoeinstufung: niedrig, mittel, hoch, kritisch)
- Beschreibung von Maßnahmen zur Behebung der Schwachstellen
- Falls erforderlich auch eine Beschreibung von übergeordneten strategie-, konzept- und prozessbezogenen Maßnahmen oder Optimierungsvorschlägen.