Hacking-Team und Windows: Der Patch ist da – und jetzt beginnt das Problem

Microsoft hat sehr schnell reagiert. Nachdem Trend Micro – neben anderen Herstellern – eine Sicherheitslücke in allen Windows-Versionen entdeckt hat, die im Zusammenhang mit dem Hacking-Team-Hack stehen, haben die Redmonder innerhalb weniger Stunden einen Notfallpatch veröffentlicht. Damit scheint alles gelöst, nicht wahr? Im Gegenteil, aus Unternehmenssicht beginnt das Problem erst jetzt. [...]

Rechner und Server auf Windows-Basis finden sich in allen Bereichen heutiger Unternehmen, einschließlich der Produktion, wo Laufzeiten bekanntlich alles sind. Außerdem befinden sich dort auch in den nächsten Jahren weiterhin bereits von Microsoft abgekündigte Versionen wie Windows XP oder Windows Server 2003 im Einsatz. Für diese Versionen jedoch stellt Microsoft auch im Fall der aktuellen Sicherheitslücke nur dann Sicherheitsupdates bereit, wenn ein verlängerter, entsprechend teurer Support-Vertrag besteht.

Aber ganz unabhängig davon, ob ein Unternehmen Anspruch auf Wartung hat oder nicht – die Tatsache allein, dass ein Notfallpatch vorliegt, löst das Sicherheitsproblem nicht. Soll das IT-Sicherheitsteam eine Nachtschicht einlegen und das Update überall einspielen – auch auf die Gefahr hin, dass ein nicht getesteter Patch unter Umständen die Produktionsbänder stilllegt? Ist die Gefahr überhaupt so groß, wie deren Einstufung durch Microsoft als „kritisch“ nahelegt?

Um diese Fragen zu beantworten, muss das Thema IT-Sicherheit im allgemeinen Risikomanagement eines Unternehmens fest verankert sein. Nur wenn bereits alle Systeme nach ihrem Risiko bewertet wurden, lässt sich eine nach Prioritäten geordnete Maßnahmenliste, welcher Rechner oder welcher Server sofort oder erst später gepatcht werden muss oder kann, erstellen. Aber auch das ist nur eine notwendige, keine hinreichende Voraussetzung. Denn wie „kritisch“ ist eine Sicherheitslücke wirklich? Einen ersten Hinweis darauf liefern amtliche Seiten, die das Gefahrenpotenzial aktueller Bedrohungen einschätzen. Solche Seiten gibt es sowohl von US-amerikanischer als auch von deutscher Seite. Erst wenn eine solche unabhängige Einschätzung vorliegt, können Unternehmen das damit zusammenhängende Risiko bewerten und danach handeln.

Einmal mehr zeigen sich hier zwei Dinge: Erstens gibt es keine absolute IT-Sicherheit, vielmehr bemisst sich ihr relatives Niveau nach dem Risikomanagement des jeweiligen Unternehmens. Zweitens aber ist IT-Sicherheit nur zu einem Teil eine technische Frage; erst wenn entsprechende Prozesse implementiert sind, lassen sich das Zeitfenster vom Bekanntwerden einer Sicherheitslücke über die Veröffentlichung eines Sicherheitsupdates bis zum Einspielen des Patches sowie das damit zusammenhängende unternehmensspezifische Risiko minimieren. Um dieses Zeitfenster zu erweitern und gleichzeitig das Risiko zu senken, sollten Unternehmen freilich über die Implementierung von Lösungen nachdenken, die Sicherheitslücken virtuell abschirmen können, bis Patches vorhanden sind und eingespielt werden können.

6 TIPPS FÜR NUTZER VON WINDOWS XP UND WINDOWS SERVER 2003

Unternehmen, die weiterhin Windows-XP-Systeme und Windows Server 2003 einsetzen oder einsetzen müssen, sollten neben dem virtuellen Abschirmen von Sicherheitslücken ein paar Maßnahmen beherzigen, mit denen sie das damit verbundene Risiko reduzieren können:

• Wo immer möglich, sollten die verwendeten Windows-XP- und Windows-Server-2003-Umgebungen virtualisiert werden. Dies bietet eine zusätzliche Sicherheitsschicht, die selbst abgesichert werden kann, und erleichtert das Management.
• An der Stelle im Netzwerk, an der die Windows-XP-Systeme angebunden sind, sollte der Domain Controller ausschließlich im Lesemodus betrieben werden. Dadurch lassen sich die Windows-Maschinen weiterhin aus der Ferne verwalten und warten, gleichzeitig sinkt das Infektionsrisiko in anderen Teilen des Netzwerks.
• Die Sicherheitseinstellungen der Gruppenrichtlinie für die vorhandenen Windows-XP-Systeme sollten das höchstmögliche Niveau haben. Es empfiehlt sich daher, die Einstellungen der „Specialized Security – Limited Functionality (SSLF)“-Gruppenpolicy anzuwenden.
• Wo immer möglich, sollte die Kommunikation von Windows-XP-Maschinen und Windows Server 2003 mit externen Netzwerken unterbunden werden. Falls dies nicht möglich ist, sollten Web-Proxies oder Application-Layer-Firewalls eingesetzt werden.
• Der Internet Explorer 8 sollte auf den Windows-XP-Rechnern dann und nur dann genutzt werden, wenn die damit geöffnete Webseite nicht durch einen anderen Browser angesteuert werden kann.
• Ergänzend zu den auf den Windows-XP-Rechnern oder Windows Server 2003 installierten Sicherheitslösungen sollten so genannte IPS-Lösungen („Intrusion Prevention Systems“) die Aktivitäten im Netzwerk überwachen, um das Eindringen von Schadcode zu verhindern.

Weitere Informationen zu der Sicherheitslücke CVE-2015-2426 sind im deutschen Trend Micro-Blog abrufbar.

* Richard Werner verantwortet als „Regional Solution Manager“ bei Trend Micro die Produkteinführung der Endpunkt-Lösungen von Trend Micro. Davor hatte Werner, der seit 2000 bei dem japanischen IT-Sicherheitsanbieter arbeitet, verschiedene leitende Positionen im Vertrieb inne, insbesondere im Post- und Pre-Sales-Support.