Vortrag Wirschaftlichkeitsanforderungen Flashcards
1
Q
Definition von Sicherheit
A
- Schutzziele: Vertraulichkeit, Integrität, Verfügbarkeit, Nichtabstreitbarkeit
- Risiko = Schadenshöhe * Eintrittswahrscheinlichkeit
- Wirtschaftlichkeit der Maßnahme
- Machbarkeit der Maßnahme
- Sonderfall KRITIS:
-> Pflichtleistungen vs. optionale Leistungen
-> HILFE-Ereignisse: High Impact / Low Frequency
2
Q
Grundmodell für Risikobetrachtung: Bedrohungen, Schwachstellen, Gefährdungen, Risiko
A
- Bedrohungen aus dem Systemumfeld
-> Externe und interne Schadensakteure (Angreifer) - Schwachstellen ermöglichen Angriff
-> Technische Sicherheitslücke
-> Bestechung, Bedrohung, Erpressung - Gefährdung als Nutzung einer Schwachstelle
-> Bedrohung wirkt auf Schwachstelle ein - Risiko als quantifizierte Gefährdung
3
Q
Grundmodell für Risikobetrachtung: Maßnahmen, Restrisiko
A
- Risiken wirken auf das System
-> Senkung der Leistungskennzahlen - Maßnahmen wirken auf System und Risiken
-> Reduktion Eintrittswahrscheinlichkeit und/oder Schadenshöhe
-> Kosten für Einführung, Betrieb, Schulung, usw. - Restrisiko als Entscheidungsgrundlage
4
Q
Strategien für den Umgang mit Risiken im Fall KRITIS
A
- Akzeptanz von Risiken
-> Bei Versorgungssicherheit nur in engen Grenzen möglich - Transfer, Teilen, Verlagern von Risiken
-> Gesetzlich nicht erlaubt bei KRITIS - Vermeidung von Risiken
-> Risiken sind dem KRITIS-Betrieb oft inhärent
-> Vermeidung mit Versorgungsauftrag oft unvereinbar - Outsourcing von Technologie und Risiken
-> Risikomanagement bleibt beim KRITIS-Betreiber!
5
Q
Rechtliche Anforderungen: Maßnahmen als Vorgabe oder Branchenstandard
A
- Vorgabe notwendiger Maßnahmen:
-> BAIT (Banken)
-> TKG Sicherheitskatalog (Telekommunikation) - Zertifizierung und Auditierung
-> Pflicht der Auditierung nach Normen (gesetzlich oder vertraglich)
-> ISO 27001 / BSI-IT Grundschutz
-> Beurteilung akzeptabler Restrisiken bei Audit - Branchenstandards als Orientierung
-> Konkretisierung rechtlicher Anforderungen (“Stand der Technik”)
-> Oftmals fachliche Grundlage der Prüfer
6
Q
Baseline vs. spezifische Maßnahmen: Basishygiene und risikogetriebene Maßnahmen
A
- Baseline-Maßnahmen:
-> Grundsicherung der Einrichtung
-> Geringe Kosten der Maßnahmen
-> Durchführung unabhängig vom Restrisiko
-> Auswahl aus Katalogen
-> Bsp.: Passwortrichtlinien, Einsatz von Firewalls und Virenscannern - Spezifische Gegenmaßnahmen:
-> Kosten-/Nutzen-Abwägung
-> Individuell konzipiert
-> Bsp.: 4-Augen-Prinzip bei kritischen Operationen, Blockade spezifischer Herstellerländer
7
Q
Kosten von Maßnahmen
A
- Monetär:
-> Einkaufskosten
-> Betriebskosten
-> Prüfungskosten - Komfortverlust:
-> Produktivität
-> Nutzerkomfort - Komplexität:
-> Schulungsaufwand
-> Nutzerkomfort - Umgehungsdruck:
-> Nutzung ungesicherter/privater Systeme
8
Q
Security vs. Safety
A
- Security:
-> Sicherheit gegen bewusste Angreifer
-> Zielgerichtete Akteure - Safety:
-> Sicherheit gegen zufällige Ereignisse
-> Nicht beeinflussbar
-> Nur stochastisch vorhersagbar - Maßnahmen korrekt einordnen:
-> Eintrittswahrscheinlichkeit senken bei Angreifern?
-> Maßnahmen können widersprüchlich sein
9
Q
Schutzbedürftige Güter
A
- Assets:
-> Prozesse und Güter
-> Ableitung aus Geschäftsprozessen - Primäre Assets:
-> Geschäftstätigkeit
-> Unmittelbare Wertschöpfung - Sekundäre Assets:
-> Unterstützende Prozesse und Objekte
10
Q
Asset- und Prozess-Einschätzungen bei KRITIS
A
- Irreversible Schäden an Assets bedenken:
-> Personenschäden
-> Umweltschäden - Externe Folgeschäden bedenken:
-> Stromausfälle durch Kraftwerksschäden
-> Nicht rein lokal monetär abbildbar (Vertragsstrafen)
11
Q
Ungerichtete Angreifer: Eigenschaften & Ziele
A
- Eigenschaften:
-> konkretes Opfer irrelevant
-> Skalierende Angriffe
-> Möglichst viele Opfer
-> Breite Angriffs-Kampagnen (Phishing Mails, IP-Scanning) - Ziele:
-> Erpressung / Randsomware
-> Versand von Spam
-> Nutzung von Systemen für DDoS, Crypto Mining - Etablierung von Botnetzen
12
Q
Ungerichtete Angreifer: Strategien
A
- Angriffsstrategie:
-> Erreichung wirtschaftlicher Ziele
-> “Ernte der Schwächsten” - Verteidigungsstrategie:
-> Nicht das einfachste Opfer sein
-> Keine trivialen Angriffsziele bieten
-> Wenn es schwierig wird oder sich nicht lohnt, geht er weiter zum nächsten Ziel - Partiell zielgerichtete Angriffe:
-> Auswahl aus Äquivalenzklasse
-> Alternativ auf rein technischer Basis - Auswahl aus Kompromittierung möglich:
-> Höhe der Lösegeldforderung
-> Abbruch bei nicht solventer Klientel - Prinzipiell trotzdem ungerichteter Angriff:
-> Jedes Opfer ist ersetzbar
13
Q
Zielgerichteter Angreifer: Eigenschaften, Angriffs-/Verteidigungsstrategie
A
- Eigenschaften:
-> Ziel ist spezifisch ausgesucht
-> Systeme hoher Relevanz
-> Konkrete Bedeutung für den Angreifer - Angriffsstrategie:
-> Detaillierte individuelle Analyse
-> Einzelangriff selten wiederholbar - Verteidigungsstrategie:
-> Unvermeidlich, es gibt kein Alternativziel
-> Individuelle Analyse pro Angreifer & System
-> Kosten und Komplexität erhöhen
-> Sichtbarkeit, Attribution erhöhen
14
Q
Zielgerichteter Angreifer: Details zu zielgerichteten Angreifern
A
- Angriffe werden auf Graumarkt/Schwarzmarkt gehandelt
- Mehrsstufiges Schutzkonzept muss implementiert werden: Vermeidung von Lateral Movement, Erkennung der Kompromittierung
15
Q
Angriffe Dokumentation
A
- ID
- Status
- Ziele
- Intern oder extern?
- Zugang zu Systemen
- Technische Expertise
- Finanzielle Möglichkeiten
- Sensitivität für Nachweis
- Gesamtbewertung Relevanz
