User-Virtualisierung als Teil der Sicherheitsarchitektur

Eine Appsense-Lösung schützt die XenApp-Server der Landesbank Baden-Württemberg vor unautorisierten Anwendungen. [...]

Die Landesbank Baden-Württemberg (LBBW) ist eine der größten Geschäftsbanken Deutschlands sowie Zentralinstitut der Sparkassen in Baden-Württemberg, Sachsen und Rheinland-Pfalz. Kernaktivitäten sind das Privatkundengeschäft und das Geschäft mit Unternehmenskunden, speziell mittelständischen Unternehmen, sowie mit den Sparkassen. Ein weiterer Fokus liegt auf Immobilienfinanzierungen in ausgewählten Märkten sowie dem kundenorientierten Kapitalmarktgeschäft mit Banken, Sparkassen und institutionellen Anlegern. Spezialisierte Tochterunternehmen, etwa in den Bereichen Leasing, Factoring oder Asset Management, komplettieren das Leistungsangebot der LBBW-Gruppe.
Die IT-Organisation der Landesbank hat in den vergangenen Jahren die Anwendungsinfrastruktur des Unternehmens zentralisiert. Ziel war dabei, den Administrationsaufwand für die rund 13.000 IT-Arbeitsplätze zu reduzieren. Ein Großteil der Geschäftsapplikationen wird heute über eine zentrale Citrix XenApp-Umgebung für die vier Hauptstandorte in Stuttgart, Karlsruhe, Mannheim und Mainz sowie die rund 200 bundesweiten Filialen zur Verfügung gestellt. Die PCs an den Arbeitsplätzen wurden weitgehend zu Thin Clients umgerüstet, auf denen – außer wenigen System-Anwendungen – keine Applikationen mehr installiert sind.
USER VIRTUALIZATION ALS TEIL DER SICHERHEITSARCHITEKTUR Die Umstellung auf die zentrale Anwendungsinfrastruktur musste durch entsprechende Security-Maßnahmen flankiert werden: „Die Anforderung war, ein mehrstufiges Sicherheitskonzept einzurichten, durch das die Ausführung von unautorisierten Anwendungen auf den XenApp-Serverfarmen verhindert wird“, erklärt Joachim Seeger, Projektverantwortlicher in der Abteilung DCS Finance and Security der LBBW. Insbesondere musste die Umgebung zuverlässig vor Schadprogrammen geschützt werden, die über E-Mail-Attachments, Webbrowser oder Wechseldatenträger eingeschleust werden könnten.
Nach Evaluierung unterschiedlicher Lösungsansätze entschied sich die IT-Organisation, für diese Herausforderung die User Virtualization Plattform von Appsense zu nutzen. „Die Appsense-Technologie ist in der Lage, auch Ausführungsanfragen zu blockieren, die von anderen Security-Systemen wie Firewalls oder Antivirensoftware nicht entdeckt wurden“, so Joachim Seeger. „Wir haben uns daher entschieden, die Lösung als letzte Barriere unserer mehrstufigen Sicherheitsarchitektur zu implementieren.“
Die User Virtualization Plattform von Appsense verwendet sichere Abfangmechanismen auf Kernel-Ebene, um unerwünschte Anwendungen auf Servern oder Endgeräten zu identifizieren und automatisch zu blockieren. Damit bietet die Lösung Schutz vor skriptbasierenden und ausführbaren Viren, Trojanern und Spyware. Zudem ermöglicht die User Virtualization Plattform die Kontrolle über Anwendungsinhalte wie ActiveX, VBScripts, Batchdateien, Windows Installer-Pakete und Konfigurationsdateien für die Registrierung.
TRUSTED OWNER-KONZEPT „Wir schätzen im Alltag insbesondere die umfassenden Steuerungsmöglichkeiten der Appsense-Technologie, mit denen wir die Richtlinien der Anwendungsausführung regelbasiert für einzelne Gruppen oder Benutzer festlegen können“, sagt Joachim Seeger. Standardmäßig dürfen in der XenApp-Umgebung der LBBW nur Anwendungen ausgeführt werden, die von einem „Trusted Owner“ installiert wurden. Die Liste der vertrauenswürdigen Besitzer umfasst dabei ausschließlich Systemadministratoren, die über die notwendigen Berechtigungen für die zentrale Installationssoftware verfügen. Web-Anwendungen lassen sich auf den XenApp-Servern nur starten, wenn die Administratoren sie zuvor im Appsense-System auf eine White List mit zulässigen Anwendungen gesetzt haben. Durch die Definition von schwarzen Listen stellt die IT-Abteilung sicher, dass bekannte Schadprogramme und Problemanwendungen systemweit geblockt werden.
Die Appsense-Lösung zeichnet alle sicherheitsrelevanten Ereignisse in einer Protokolldatei auf, die für Auditing-Zwecke genutzt werden kann. Anwender erhalten jeweils eine eindeutige Fehlermeldung, wenn eine Applikation an der Ausführung gehindert wurde. Mit dieser Meldung können sie sich an den Helpdesk wenden, um die Ursache zu identifizieren. Alle wichtigen Sicherheitsereignisse werden zudem automatisch an die Security-Spezialisten der LBBW weitergeleitet.
PASSIVES MONITORING „Eine Funktion, die wir in der Praxis sehr häufig nutzen, ist der passive Überwachungsmodus der Appsense-Lösung“, berichtet Joachim Seeger. Dieser Modus ermöglicht es, unberechtigte Ausführungsversuche zu überwachen, ohne dass der Benutzer an der Ausführung gehindert wird. Die passive Überwachung ist für die LBBW ein hilfreiches Tool, um das Anwendungsverhalten vor einer geplanten Neuimplementierung nachzuverfolgen: „Bei jeder Aktualisierung der XenApp-Umgebung untersuchen wir damit vorab, wie sich die Änderungen auf unsere Sicherheitskonfigurationen auswirken. So können wir die Regeln der Anwendungsausführung entsprechend anpassen, bevor das Server-Update produktiv umgesetzt wird“, so Joachim Seeger.
Der Projektverantwortliche unterstreicht, dass die Appsense User Virtualization Plattform heute ein strategischer Baustein in der IT-Infrastruktur der LBBW ist: „Stabilität und Sicherheit haben in unserer XenApp-Umgebung mit mittlerweile 1.500 Servern höchste Priorität. Daher ist es für uns ganz entscheidend, Risiken durch unautorisierte Anwendungen zuverlässig auszuschließen. Die Appsense-Technologie ist dafür das perfekte Werkzeug. Mit ihren umfassenden Kontroll- und Steuerungsmöglichkeiten hilft uns die Lösung, interne Sicherheitsrichtlinien unternehmensweit umzusetzen – und dies sehr effizient und benutzerfreundlich.“ (pi)