Windows-Hack Hacking Team bedroht vor allem Windows-Altsysteme

Nur Stunden nach der Attacke von Hacking Team hat Microsoft einen Notfallpatch bereitgestellt. Allerdings nicht für Windows XP und Server 2003, das noch von zahlreichen Unternehmen genutzt wird. Trend Micro verrät in sechs Tipps, wie sich diese Systeme schützen lassen.

Anbieter zum Thema

MicroConsult Microelectronics Consulting & Training GmbH

Axivion GmbH

Parasoft® Deutschland GmbH

Microsoft hat sehr schnell reagiert. Nachdem eine Sicherheitslücke (CVE-2015-2426) in allen Windows-Versionen entdeckt wurde, die im Zusammenhang mit dem Hacking-Team-Hack stehen, haben die Redmonder innerhalb weniger Stunden einen Notfallpatch (MS15-078) veröffentlicht.

Damit scheint alles gelöst, nicht wahr? Im Gegenteil, aus Unternehmenssicht beginnt das Problem erst jetzt, so die Spezialisten von Trend Micro. Denn Rechner und Server auf Windows-Basis finden sich in allen Bereichen heutiger Unternehmen, einschließlich der Produktion, wo Laufzeiten bekanntlich alles sind.

Außerdem befinden sich dort auch in den nächsten Jahren weiterhin bereits von Microsoft abgekündigte Versionen wie Windows XP oder Windows Server 2003 im Einsatz. Für diese Versionen jedoch stellt Microsoft auch im Fall der aktuellen Sicherheitslücke nur dann Sicherheitsupdates bereit, wenn ein verlängerter, entsprechend teurer Support-Vertrag besteht.

Aber ganz unabhängig davon, ob ein Unternehmen Anspruch auf Wartung hat oder nicht – die Tatsache allein, dass ein Notfallpatch vorliegt, löst das Sicherheitsproblem nicht. Soll das IT-Sicherheitsteam eine Nachtschicht einlegen und das Update überall einspielen – auch auf die Gefahr hin, dass ein nicht getesteter Patch unter Umständen die Produktionsbänder stilllegt? Ist die Gefahr überhaupt so groß, wie deren Einstufung durch Microsoft als „kritisch“ nahelegt?

Um diese Fragen zu beantworten, muss das Thema IT-Sicherheit im allgemeinen Risikomanagement eines Unternehmens fest verankert sein. Nur wenn bereits alle Systeme nach ihrem Risiko bewertet wurden, lässt sich eine nach Prioritäten geordnete Maßnahmenliste, welcher Rechner oder welcher Server sofort oder erst später gepatcht werden muss oder kann, erstellen.

Aber auch das ist nur eine notwendige, keine hinreichende Voraussetzung. Denn wie „kritisch“ ist eine Sicherheitslücke wirklich? Einen ersten Hinweis darauf liefern amtliche Seiten, die das Gefahrenpotenzial aktueller Bedrohungen einschätzen. Solche Seiten gibt es sowohl von US-amerikanischer als auch von deutscher Seite.

Erst wenn eine solche unabhängige Einschätzung vorliegt, können Unternehmen das damit zusammenhängende Risiko bewerten und danach handeln.

Es gibt keine absolute IT-Sicherheit

Einmal mehr zeigen sich hier zwei Dinge: Erstens gibt es keine absolute IT-Sicherheit, vielmehr bemisst sich ihr relatives Niveau nach dem Risikomanagement des jeweiligen Unternehmens. Zweitens aber ist IT-Sicherheit nur zu einem Teil eine technische Frage; erst wenn entsprechende Prozesse implementiert sind, lassen sich das Zeitfenster vom Bekanntwerden einer Sicherheitslücke über die Veröffentlichung eines Sicherheitsupdates bis zum Einspielen des Patches sowie das damit zusammenhängende unternehmensspezifische Risiko minimieren.

Um dieses Zeitfenster zu erweitern und gleichzeitig das Risiko zu senken, sollten Unternehmen freilich über die Implementierung von Lösungen nachdenken, die Sicherheitslücken virtuell abschirmen können, bis Patches vorhanden sind und eingespielt werden können.

Sechs Tipps für Nutzer von Windows XP und Windows Server 2003

Unternehmen, die weiterhin Windows-XP-Systeme und Windows Server 2003 einsetzen oder einsetzen müssen, sollten neben dem virtuellen Abschirmen von Sicherheitslücken ein paar Maßnahmen beherzigen, mit denen sie das damit verbundene Risiko reduzieren können:

• Wo immer möglich, sollten die verwendeten Windows-XP- und Windows-Server-2003-Umgebungen virtualisiert werden. Dies bietet eine zusätzliche Sicherheitsschicht, die selbst abgesichert werden kann, und erleichtert das Management.

• An der Stelle im Netzwerk, an der die Windows-XP-Systeme angebunden sind, sollte der Domain Controller ausschließlich im Lesemodus betrieben werden. Dadurch lassen sich die Windows-Maschinen weiterhin aus der Ferne verwalten und warten, gleichzeitig sinkt das Infektionsrisiko in anderen Teilen des Netzwerks.

• Die Sicherheitseinstellungen der Gruppenrichtlinie für die vorhandenen Windows-XP-Systeme sollten das höchstmögliche Niveau haben. Es empfiehlt sich daher, die Einstellungen der „Specialized Security – Limited Functionality (SSLF)“-Gruppenpolicy anzuwenden.

• Wo immer möglich, sollte die Kommunikation von Windows-XP-Maschinen und Windows Server 2003 mit externen Netzwerken unterbunden werden. Falls dies nicht möglich ist, sollten Web-Proxies oder Application-Layer-Firewalls eingesetzt werden.

• Der Internet Explorer 8 sollte auf den Windows-XP-Rechnern nur dann genutzt werden, wenn die damit geöffnete Webseite nicht durch einen anderen Browser angesteuert werden kann.

• Ergänzend zu den auf den Windows-XP-Rechnern oder Windows Server 2003 installierten Sicherheitslösungen sollten so genannte IPS-Lösungen („Intrusion Prevention Systems“) die Aktivitäten im Netzwerk überwachen, um das Eindringen von Schadcode zu verhindern.

Sie sind an weiteren Informationen zu der Sicherheitslücke CVE-2015-2426 interessiert? Dann werfen Sie einen Blick auf den deutschen Blog von Trend Micro.

(ID:43522819)