Was können Unternehmen aus dem "Heartbleed"-Vorfall lernen? Das Unternehmen Radware gibt darauf drei Antworten: Nach dem Upgrade auf eine sichere OpenSSL-Version sollten Unternehmen Kontrolle über die von ihnen eingesetzten Sicherheitslösungen gewinnen und ihre Sicherheitsarchitektur überprüfen, rät das Unternehmen Radware. [...]
Die OpenSSL-Sicherheitslücke mit dem griffigen Namen „Heartbleed“ hat es in die globalen Medien geschafft und Systemadministratoren auf der ganzen Welt verunsichert. Nach dem Upgrade auf eine sichere OpenSSL-Version sollten Unternehmen Kontrolle über die von ihnen eingesetzten Sicherheitslösungen gewinnen und ihre Sicherheitsarchitektur überprüfen, rät das Unternehmen Radware.
Die allgemeine Verunsicherung kommt nicht von ungefähr: Das SSL-Protokoll zählt zu den meistverbreiteten Sicherheitsprotokollen im Internet. Unzählige Webseiten und Onlinehändler nutzen die quelloffene Software OpenSSL, um verschlüsselte Verbindungen zu ermöglichen – etwa für den sicheren E-Mail-Abruf, Onlinebanking und Onlineshopping. „Etwa die Hälfte aller Unternehmen“, erklärt Werner Thalmeier, Radwares „Botschafter“ für IT-Sicherheit in Europa, „nutzen Systeme, die durch Heartbleed verwundbar sind. Entweder extern als Sicherheitslösung für ihr HTTPS-Protokoll oder in ihren eigenen Intranet-Applikationen.“
Erster und wichtigster Rat von Radware: Sofern nicht bereits längst geschehen sollten grundsätzlich alle OpenSSL-Nutzer zunächst ein Upgrade auf Version 1.0.1g durchführen, um die Schwachstelle zu schließen. Das Upgrade stellt die Entwicklergemeinde auf www.openssl.org zur Verfügung. Es gitb auch kommerzielle Lösungen für (erweiterten) Schutz, Radware führt hier naturgemäß die hauseigenen Tools DefenseSSL und DefensePro für den Schutz von HTTPS-Applikationen an. Sie sind als Module der Sicherheitslösung AMS (Attack Mitigation System) erhältlich.
Laut Radware lässt sich aus „Heartbleed“ auch die Lehre ziehen, dass sich Unternehmen nicht blind auf Sicherheitsaudits und -Überprüfungen Dritter verlassen dürfen. Jedes Unternehmen muss sicherstellen, dass es die Risiken eingesetzter Sicherheitslösungen versteht, eine zuverlässige Sicherheitsarchitektur aufbaut und Penetrationstests durchführt oder durchführen lässt, um deren Wirksamkeit zu überprüfen.
In direkter Konsequenz von Heartbleed sollten Unternehmen zudem ihre Sicherheitsarchitektur einer genauen Prüfung unterziehen. „Web Application Firewalls, Lösungen für Intrusion Prevention und Data Loss Protection“, erklärt Thalmeier, „bieten für sich alleine genommen keinen perfekten Schutz. Im Rahmen eines mehrschichtigen Ansatzes, auf dem auch unser Attack Mitigation System basiert, gewähren sie gemeinsam jedoch die bestmögliche Sicherheit für sensible Daten.“ (pi)
Be the first to comment