Archiv für den Monat: September 2009

Das Sicherheit-als-Service-Modell

1 Antwort

Orignal Artikel von John Maddison

Vor knapp vier Jahren habe ich damit begonnen, mich mit dem SaaS-Sicherheitsmodell (Software-as-a-Service) für Trend Micro zu beschäftigen. Ehrlich gesagt war es – da wir ein Softwareunternehmen sind – sehr schwer, irgendjemanden auf uns aufmerksam zu machen. Dennoch ließ das Team nicht locker und musste manchmal am eigenen Leib erfahren, was nötig ist, um hochverfügbare SaaS-Anwendungen bereitzustellen.  SaaS ist heute eine wohlbekannte, kosteneffiziente Möglichkeit, herkömmliche Softwareanwendungen ohne Investitionen in Infrastruktur und qualifiziertes Personal bereitzustellen. Am häufigsten werden Anwendungen aus dem Bereich Produktivität, wie z. B. CRM und ERP, in Form von SaaS eingesetzt. Es gibt jedoch einen weiteren SaaS-Markt, der schnell und mit einem weltweiten Umsatz von mehr als 500 Millionen Dollar wächst.

SaaS-Sicherheitsanwendungen, manchmal auch als Security-as-a-Service bezeichnet, bieten die gleichen Vorteile wie jede andere SaaS-Anwendung. Es ist sogar so, dass einige SaaS-Sicherheitsanwendungen zusätzliche Vorteile aufweisen. Gehostete E-Mail-Sicherheit bietet eine äußerst kosteneffiziente Möglichkeit, Ihre E-Mail-Systeme zu schützen UND das Team bezüglich der Feinabstimmung für die beste Spam-Erkennung zu entlasten. Solche Services sind für alle Kundentypen optimal geeignet. Die IMHS Hosted Email Services von Trend Micro hosten Kunden jeder Größe – ob mit 5 oder mit 50.000 Benutzerlizenzen. Mehrwert-SaaS-Anwendungen für E-Mail-Sicherheit, wie z. B. Verschlüsselung, können in kürzester Zeit verteilt werden.

Eine andere erfolgreiche SaaS-Sicherheitsanwendung ist die Suche nach und Bewertung von Schwachstellen. Diese gehört zu einem so genannten Hybrid-Modell, da der Großteil der Funktionalität im Internet ausgeführt wird, zusammen mit einigen Elementen, die sich innerhalb des Kundennetzwerks befinden.

Dennoch sind nicht alle Sicherheitsanwendungen für die Cloud geeignet. Es lässt sich darüber streiten, ob Ihr gesamter Internetverkehr über SaaS-Sicherheits-Gateways geleitet werden soll. Aufgrund der Datenmenge ist es vielelicht am besten, Firewall- und Internet-Proxy-Verkehr über lokal installierte Anwendungen zu übertragen. Endpunkt-Sicherheitsanwendungen, die eine permanente Interaktion mit internen Netzwerkelementen erfordern, oder größere Kunden mit sehr stark verteilten Netzwerken, sind möglicherweise für die Einheitsprodukte von SaaS-Sicherheitsanbietern zu komplex. In diesem Fall werden manchmal MSSPs (Managed Security Service Provider) eingesetzt, um interne Ressourcen zu ergänzen.

Unternehmen sollten heute wahrscheinlich eine Kombination aus reiner SaaS-Sicherheit, SaaS-Hybridsicherheit, verwalteten Sicherheitsservices und lokal installierten (oder Private-Cloud-) Lösungen wählen. Welche Lösung im einzelnen eingesetzt wird, hängt von den Anwendungen und der Netzwerkgröße oder -architektur ab.

Gefälschte Live-Malware unter Windows verbreitet sich per E-Mail

Hinterlassen Sie eine Antwort

Original Artikel von Joey Costoya (Advanced Threats Researcher, Trend Micro)

Trend Micro Bedrohungsanalysten stießen vor Kurzem auf eine E-Mail, die einen gefälschten Windows Live Messenger verteilte, der sich unter http://{BLOCKED}s-live-msn.serveftp.com/Windows_Live_9.0_beta.exe verbarg (entdeckt als WORM_VB.PAB). Die .EXE-Datei ist natürlich nicht der „echte“ Windows Live Messenger, sondern ein Bot, der an einen IRC-basierten C&C berichtet, mit den folgenden Angaben zum infizierten System:

Server: {BLOCKED}s.rvsanmiguel.com
Server-IP: {BLOCKED}.{BLOCKED}.110.141
Port: 6767
Serverschlüssel: m4s3rvp4ssz
Kanal: #s3k4nt
Kanalschlüssel: m4n0sp4z

Zum Vergrößern klicken

Abbildung 1: Beispiel für Spam-Mail

Die Hauptfunktion dieses Bots scheint das Senden von MSN-Spam zu sein. Zum aktuellen Zeitpunkt ist der C&C-Kanal inaktiv, da er noch keine Befehle ausgegeben hat. Abgesehen von MSN-Spam war der besagte Bot auch so konzipiert, dass er sich über das automatische Starten von USB-Daten und über P2P-Netzwerke wie Kazaa und Limewire verbreitete.

Benutzer von Windows Live Messenger sollten daher also keinesfalls auf den bösartigen Link in der E-Mail klicken, um eine Infektion zu verhindern. Das Trend Micro Smart Protection Network sperrt diesen bösartigen Link bereits und erkennt den gefälschten Windows Live Messenger als WORM_VB.PAB.

Der Schlüssel zur Sicherheit ist die Reputation

Hinterlassen Sie eine Antwort

Original Artikel von Rik Ferguson (Solutions Architect, Trend Micro)

Das scheint die Schlussfolgerung unabhängiger Tests zu sein, die vor Kurzem von NSS Labs veröffentlicht wurden.

Vielleicht erinnern Sie sich noch an den Juni 2008: Es gab ein wenig Aufruhr in der IT-Presse, als Trend Micro sich weigerte, an einigen der bekannten Anti-Malware-Tests, wie z. B. VB100, teilzunehmen. Unser Argument – damals wie heute – lautet, dass diese Tests die Bedrohung, so wie unsere Kunden sie erfahren, einfach nicht präzise wiedergeben. Daher lassen die Ergebnisse möglicherweise ein falsches Gefühl der Sicherheit aufkommen.

Das Internet hat sich zum am stärksten missbrauchten Angriffsweg entwickelt: Angriffe bestehen aus zahlreichen Varianten, nutzen verschiedene Protokolle, haben verteilte Quellen (Bot-Netze), sind oft zielgerichtet und können nicht mehr durch Pattern-Abgleichstechniken abgewehrt werden, die schon so lange das Kernstück von Sicherheitssoftware bilden.

Herkömmliche Sicherheitsprodukttests wurden mehrheitlich in einer isolierten Laborumgebung mit einer ausgewählten Liste von Malware vorgenommen – daher kommen die Fähigkeiten moderner Sicherheitssoftware nicht bestmöglich zum Zug. Trend Micro setzt auf die webbasierten Funktionen des Smart Protection Network, um dynamischen Echtzeitschutz bereitzustellen, der sich nicht nur auf bösartige Dateien konzentriert, sondern auch auf bösartige E-Mails und Websites. Dadurch ergibt sich eine intelligente, korrelierte Menge aus Regeln, mit denen bösartige Aktivitäten abgewehrt werden können.

Dies ist eine auf die Bedrohung und nicht auf Dateien ausgerichtete Sichtweise. Ziel ist es, so früh wie möglich die Infektionskette zu durchbrechen oder die Bedrohung zu sperren. Hierzu wird zuerst die „Angriffsschicht“ untersucht, oder wo die Bedrohung herkommt. Dann wird die Infektionsschicht untersucht, oder „was die Bedrohung tut, wenn sie ihr Ziel erreicht“.

Gerade wurden unabhängige und, was ganz wichtig ist, nicht gesponserte Tests von NSS Labs veröffentlicht, die die Wichtigkeit dieses neuen Ansatzes unterstreichen. Im Juli und August dieses Jahres führte NSS Labs an 17 Tagen rund um die Uhr Tests von 9 Privatanwender- und 10 Enterprise-Produkten durch.

Ist das webbasierte Smart Protection Network von Trend Micro bereit für den ganz großen Einsatz? Ich glaube, die Ergebnisse sprechen für sich.

NSS Labs Consumer Report, September 2009

„Trend Micro erzielte den besten Download- und Ausführungsschutz mit einem Gesamtergebnis von 96,4 %“. Quelle: NSS Labs Consumer Report, September 2009

NSS Labs Consumer Report, September 2009

NSS Labs Consumer Report, September 2009

NSS Labs Consumer Report, September 2009

NSS Labs Consumer Report, September 2009

Laden Sie den vollständigen Bericht von NSS Labs hier herunter

Gefälschter Sponsorenlink führt zu FAKEAV

Hinterlassen Sie eine Antwort

Original Artikel von Erika Mendoza (Threat Response Engineer, Trend Micro)

Neben SEO-Angriffen haben Cyber-Kriminelle einen anderen Weg gefunden, um FAKEAV-Malware – gefälschte gesponserte Links (auf Spanisch: sitio patrocinados) – zu verteilen. Erst vor Kurzem wurden Trend Micro Forscher auf bösartige Werbung in Suchmaschinen aufmerksam gemacht, die u. a. in den Suchmaschinen Bing von Microsoft und in AltaVista auftauchte, wenn ein Benutzer nach der Zeichenfolge „malwarebytes“ (Malwarebytes ist ein kostenfreies Antiviren-Produkt, aber natürlich kein FakeAV) sucht. Durch das Klicken auf den bösartigen Link wird der Benutzer an eine ausführbare Datei mit Namen MalwareRemovalBot.exe-1 weitergeleitet (von Trend Micro als TROJ_FAKEAV.DMZ entdeckt).

Zum Vergrößern klicken


Abbildung 1: Bösartige Bannerwerbung bei Bing

Zum Vergrößern klicken

Abbildung 2: Bösartige Bannerwerbung bei AltaVista

Bei der Ausführung zeigt die bösartige Antiviren-Software irreführende Informationen über eine Infektion des Systems mit Dateien an, die es gar nicht gibt.

Zum Vergrößern klicken

Abbildung 3: Ergebnisse der gefälschten Virensuche

In der Vergangenheit setzten Cyber-Kriminelle die gleiche Taktik ein, als sie es auf Trend Micro abgesehen hatten. Einige Google-Suchergebnisse zeigten damals Bannerwerbung an, die zu einer gefälschten Trend Micro Website führte.

Obwohl die Werbung nicht in allen Regionen angezeigt wird, wird Benutzern dennoch dringend geraten, beim Klicken auf Links in Suchmaschinen besonders vorsichtig zu sein. Benutzer, die mit dem Trend Micro Smart Protection Network verbunden sind, sind vor diesem Angriff geschützt, da das Netzwerk alle bösartigen URLs entdeckt und sperrt.

Hypervisors bringen neue Funktionen und neue Risiken

Hinterlassen Sie eine Antwort

Original Artikel von Dave Rand (Chief Technologist, Trend Micro)

Hypervisors bringen  neue Fähigkeiten, aber auch neue IT-Risiken. Es ist wichtig, diese neue Umgebung zu verstehen. Da Virtualisierung auf dem Weg zu einem Mainstream-Konzept ist, müssen wir nach Möglichkeiten suchen, um Risiken zu erkennen und diese neuen Infrastrukturen zu schützen. Hypervisors sind zwar der Schlüssel zu allen Virtualisierungsmethoden, aber auch ein zentraler Risikobereich.

Hypervisors sind ein „Meta“-Betriebssystem in einer virtualisierten Umgebung. Sie können auf alle physischen Komponenten in einem Server zugreifen, auch auf Festplatte und Arbeitsspeicher. Hypervisors legen Zeitpläne für den Zugriff auf diese Komponenten fest und schützen die einzelnen Clients voreinander. Ein Server startet zuerst den Hypervisor, der dann das Client-Betriebssystem jeder virtuellen Maschine lädt und ihnen entsprechend Arbeitsspeicher, Prozessorkapazität, Netzwerkbandbreite und Festplattenspeicher zuweist.

Der Hypervisor kann alle Aspekte aller virtuellen Maschinen, die auf der Hardware ausgeführt werden, steuern – das macht ihn zu einem idealen Angriffsziel. Ein zuverlässiger Schutz des Hypervisors ist unumgänglich und komplexer, als es auf den ersten Blick aussieht.

VMs fragen den Hypervisor auf verschiedene Weise ab; in der Regel über das Aufrufen einer bestimmten API. Diese APIs sind das Hauptziel bösartigen Codes. Daher unternehmen alle Hypervisors besondere Anstrengungen, um zu gewährleisten, dass die APIs geschützt sind und dass die VMs nur authentifizierte und autorisierte Anfragen stellen. Dies ist eine Funktion des kritischen Pfades. Es gilt jedoch zu beachten, dass der Aspekt Geschwindigkeit für alle Hypervisors eine außerordentlich große Rolle spielt, damit die Gesamtleistung nicht beeinträchtigt wird.

Schon werden Rufe nach neuen APIs laut, damit virtuelle Maschinen einfacher miteinander kommunizieren können. Auf den ersten Blick scheint das sinnvoll: Warum speichert man eine Datei auf der Festplatte, damit eine andere virtuelle Maschine sie lesen kann? Warum kopiert man sie nicht einfach von einem Arbeitsspeicher in den anderen?

Diese APIs, wie beispielsweise die VMCI-Funktion von VMware, führen eine neue Art von Risiko für Betriebssysteme ein, die als virtuelle Maschinen ausgeführt werden. In den nächsten Jahren werden neue Funktionen hinzukommen und wir müssen herausfinden, wie wir diese neuen Technologien am besten nutzen können. Daher ist es wichtig, dass Anbieter von Sicherheitslösungen diese Änderungen zuverlässig mitverfolgen und wissen, welche neuen Mittel und Wege Malware finden kann, um in virtuelle Maschinen einzudringen.

Ein anderer Punkt ist der Netzwerkpfad. Die Netzwerkschnittstelle des Hypervisors ist oft genau die Hardware, die die virtuellen Maschinen verwenden. Bei nicht sorgfältiger Planung des Netzwerks können virtuelle Maschinen so möglicherweise die IP-Adresse des Hypervisors erreichen. Dies kann eine Gefahr darstellen, falls die Hypervisor-Anmeldedaten nicht durch starke Kennwörter geschützt sind. Außerdem kann es zu DDoS-Angriffen kommen, wodurch der Hypervisor nur schwer – oder gar nicht – von außerhalb des Netzwerks erreichbar ist, um die bösartige VM abzuschalten.