Nachlese zum IT-Club Gefahren aus dem Netz

[#1]

Hallo IT-Cluber,

als Nachlese zur zweiten Runde des IT-Club letztes Jahr und zu Schulungszwecken, welche E-Mail nicht geöffnet werden sollte, die nachfolgende E-Mail, die mich gerade erreicht hat.

Jeder Mitarbeiter, der so eine Mail öffnet, ist ein Sicherheitsrisiko

Bei so einer Nachricht helfen auch die Scanner von DATEV-Net nicht wirklich

Also Augen auf und Mitarbeiter nochmals unterweisen.

mfg.

Andreas G. Müller

[#2]

Um das noch zu toppen: wer macht eine solche Datei am Arbeitsplatz auf? Auf dem PC?

[#3]

Hallo Herr Müller,

in in der Tat stellen diese Emails immer ein Sicherheitsrisiko dar. Deshalb haben wir uns u.a. auch für eine gute Firewall-Lösung der Firma SOPHOS entschieden. Damit sind solche Emails ohne Probleme zu filtern.

Grüße aus Bochum

Thomas Goertz

Gothentreuhand GmbH

[#4]

Hallo Herr Goertz,

was macht SOPHOS anders als DATEVnet?

[#5]

Hundertprozentige Sicherheit gibt es leider nicht. Zudem muss man eine gute Balance zwischen zuviel Sperren ( wichtige Emails gehen unter) und zuwenig Sperren ( Gefahren) finden. Dies kann man am Besten, wenn man die wichtigen Emails kennt.

Das ist vielleicht der Vorteil einer lokalen Lösung: man kennt den individuellen Emailverkehr und kann so individuell Gefahren ausschließen ( rigide Sperren auf soziale Netzwerke usw.). Ein Anbieter wie die Datev, welche sich um die Belange einer Vielzahl verschiedener Unternehmen kümmern muss.

[#6]

Moin,

die letzte Runde des IT Club ging ja auch um das Social Engeneering, gerade hier haben die Verbreiter von Schadsoftware schon ganz schön dazu gelernt. Die Anbieter der Firewalls, Antivirenprogrammen etc. laufen immer hinterher, woher sollen die auch wissen, was frisch in den Umlauf kommt.

Erste Überlegung zur Netzwerksicherheit ist das Rechtemanagement im AD. Haben die produktiv tätigen Mitarbeiter keine Adminrechte, fällt es einem Schädling schon schwer sich auszubreiten. Die von DATEV empfohlene Absicherung von Office ist sowieso vorzunehmen.

In einschlägigen Foren wird diskutiert, die Ausführung von Programmen und Scripten in bestimmten Verzeichnissen zu verbieten. Das ist meiner Meinung nach ein interessanter Ansatz, wobei manch ein (gewolltes)  Programm auch mal auf die Nase fallen wird.

Alles in Allem werden wir nicht darum herumkommen, uns selbst und unsere Mitarbeiter zu sensibilisieren und permanent vorsichtig zu handeln.

Viele Grüße

KP

[#7 · Accepted solution]

Hallo Herr Müller,

ich kenne DATEVnet nicht, aber bei SOPHOS habe ich diverse Möglichkeiten, z.B. Firewall (Country-Blocking), Web Protection (Application-Control-Regeln), Email Protection (Sandboxing = Zusatzmodul), usw.

Ich gehe aufgrund Ihrer gestellten Ausgangsfrage deshalb davon aus, dass man diese Einstellmöglichkeiten in der Firewall innerhalb des Systems DATEVnet nicht hat. SOPHOS spielt da auch - meine Kenntnisstand - in einer anderen Liga.

Gruß

Thomas Goertz

[#8]

Hallo Herr Goertz,

Danke für die Info.  Wir nutzen DATEVnet nicht.  Allerdings ist das DATEV-Marketing i.w.S. sehr aktiv die Vorzüge der Dienstleistung anzupreisen.  DATEV hat aber, wie jeder andere Anbieter auch das Problem unbekannte Gefahren rechtzeitig zu erkennen.

Aus ihrer Schilderung entnehme ich , dass SOPHOS auch hier "nur" die bekannten Hilfsmittel anbietet.

Danke für die Erläuterung

[#9]

Zudem müssen hier die Regeln allgeimeingültiger gesetzt werden, da ein viel größerer Benutzerkreis berücksichtigt werden muss.

[#10]

Hallo,

Wenn Sie derartige E-Mails in DATEVnet trotz aller Abwehrmechanismen erhalten, können Sie diese jederzeit zur Analyse an SPAM@datev.de senden.

Wir passen umgehend unsere Filter an und bauen zusätzlich neue AV Pattern.

Im Falle der gefälschten Whats APP Nachrichten haben wir die Ziel URLs über unser Web Radar zusätzlich geblockt und ein SZEB AV Pattern generiert.

Continual Service Improvement ist uns im Kampf gegen die Internetbedrohungen sehr wichtig.

Wir wollen mit DATEVnet das Beste Schutzsystem sein.

[#11]

Hallo Herr Müller,

ich war letzte Woche im Urlaub, daher erst jetzt eine Antwort auf Ihren Kommentar. SOPHOS hat mit der Zusatzlösung "Sandstorm" eine neue Analyse von Dateien entwickelt, die auch unbekannte Bedrohungsarten prüft. Den Mechanismus kann ich leider nicht genau erklären, ich bin kein Techniker. Aber vielleicht hier noch kurz eine Info von SOPHOS. Allerdings noch einmal der Hinweis: Wir setzen eine Komplettlösung (UTM) von SOPHOS ein:

• Die Sophos-Sicherheitslösung testet die potenzielle Bedrohung unter Anwendung aller gewöhnlichen Sicherheitsüberprüfungen (z. B. Anti-Malware-Signaturen, gefährliche URLs usw.) Wird die verdächtige Datei nicht als Bedrohung erkannt, sendet die Sophos-Sicherheitslösung den Dateihash an Sophos Sandstorm, um zu ermitteln, ob die Datei bereits zuvor analysiert wurde.

• Wenn die Datei bereits analysiert wurde, übermittelt Sophos Sandstorm die Bedrohungsdaten an die Sophos-Sicherheitslösung. Hier wird die Datei entweder an das Benutzergerät zugestellt oder blockiert – je nachdem, welche Informationen von Sophos Sandstorm übermittelt wurden.

• Wenn der Hash noch komplett unbekannt ist, wird eine Kopie der verdächtigen Datei an Sophos Sandstorm gesendet. Hier wird die Datei ausgeführt und ihr Verhalten wird überwacht. Sobald die Datei vollständig analysiert wurde, leitet Sophos Sandstorm die Bedrohungsdaten an die Sophos-Sicherheitslösung weiter. Wieder wird die Datei entweder an das Benutzergerät zugestellt oder blockiert – je nachdem, welche Informationen von Sophos Sandstorm übermittelt wurden.

• Die Sophos-Sicherheitslösung erstellt anhand der von Sophos Sandstorm übermittelten Detailinformationen Forensik-Reports zu jedem Bedrohungsereignis.

Gruß

Thomas Goertz