Wie schützt man sich vor Angriffen wie dem Solarwinds-Hack?
Gar nicht!
Wir müssen uns darüber im Klaren sein, dass die richtig guten Angriffe in der Regel nicht „abgewehrt“ werden können.
Selbst ein renomiertes IT-Sicherheitsunternehmen wie FireEye konnte den Angriff selbst nicht abwehren sondern nur erkennen, als er bereits im Netzwerk aktiv war.
Aber was können wir sonst dagegen tun?
Nun, ein erster Schritt könnte eine konsequente Segmentierung der Rechner sein.
Indem man ein eigenes Netzwerk für „Arbeitsplatzcomputer“, „Server“, „DMZ“ und „Produktion“ (, …) zur Verfügung stellt, die nur über eine Firewall miteinander kommunizieren, werden Angriffe leichter erkennbar.
Moderne Firewalls – und damit meine ich nicht die Router des TK Anbieters sondern wirklich hochwertige Geräte – können einen ausreichend hohen Durchsatz bieten.
Jedes Netzsegment ist für sich zunächst isoliert. Nur bestimmte „Dienste“ dürfen über die Firewall in andere Segmente zugreifen.
Diese Segmentierung kann helfen, Eindringlinge zu behindern aber auch um diese eventuell zu erkennen.
Durch die Segmentierung löst man auch das Problem, dass „Anwender“ meist das volle Spektrum an Zielen benötigen und es viel Aufwand bedeuten würde, das zu administrieren.
Ein zweiter Schritt der dadurch vereinfacht wird – man kann besser festlegen und dokumentieren, wer auf welche Server im Internet zugreifen darf.
Wieso braucht die Orion Software unbeschränkten Zugang zum Internet?
Wäre es nicht besser, man würde dediziert jedem Serversystem nur die Ziele erlauben, die für Aktualisierungen / die Tätigkeit benötigt werden?
Mit einer solchen Strategie wäre es sicher sehr schwer für die Angreifer, die notwendigen CC-Server zu erreichen.
Natürlich ist so ein Vorgehen mit etwas mehr Aufwand in der Administration verbunden.
Aber es würde sich dann lohnen, wenn man einem erfolgreichen Angreifer den Kontakt zu notwendigen Zielsystemen blockieren könnte.