Cybersecurity Rating: Der Gefahrenquelle Open Ports effizient begegnen

​veröffentlicht am 18. August 2021

von Martin Gärthöffner

Ihre modernen Computersysteme kommunizieren ständig. Dies geschieht nach den gleichen Prinzipien, wie auch unsere menschliche Kommunikation. Manche Dienste, Programme oder (System-)Prozesse senden Information auf Aufforderung, sie agieren aktiv. Dies wird z. B. ausgelöst durch Ihre Nutzereingabe. Andere Programme, in der Regel Dienste genannt, „hören” auf einem oder mehreren ihnen zugeteilten Ports. Diese Dienste haben passive Aufgaben. Sie warten darauf, von außen angesprochen zu werden.

Passiv offen für Kommunikation zu sein bedeutet leider auch, ein permanent bestehendes Angriffspotential zu bieten. Ist dann ein solcher Dienst zusätzlich von einer Schwachstelle betroffen, kann dieser Umstand schnell und zielgerichtet ausgenutzt werden. Ein potenzieller Angreifer wird Ihre nach außen offen angebotenen Dienste als Einladung annehmen: „Bitte, hier bin ich. Kommen Sie doch herein!”. Denn dies ist genau das, was ein Dienst als Aufgabe hat, offen für jeden zum Dienste zu stehen – auch dem Angreifer.

Eine Liste, welche Ports nach Standard von welchen Services genutzt werden, kann bei der Internet Assigned Numbers Authority – kurz IANA – eingesehen werden.
 
Ein einzelnes System auf seine offenen Ports und Dienste zu analysieren ist in der Regel kein Problem. Jedoch summieren sich in der Arbeitsrealität diese Vorhaben und zugehörigen Hintergründe. Die Mitarbeiter des Rechenzentrumbetriebs haben in der Regel keine genaue Kenntnis über die Anforderungen der spezifischen Software, welche auf einem System betrieben wird. Die Anzahl der Systeme ist im mehrstelligen Bereich, die Anforderung einer Analyse der offenen Ports ist damit schnell bei einer Anzahl von Systemen, welche nicht im laufenden Regelbetrieb als nebenläufige Tätigkeit handhabbar ist. Versäumnisse summieren sich schnell auf. Auch wird üblicherweise eine Verantwortungsübernahme für die auf den Systemen betriebene Applikation abgelehnt, diese ist aufgrund von mangelndem Fachwissen nicht leistbar. Die Frage danach, welche Ports offen sein müssen, kann im Rechenzentrumsbetrieb je nach System und genutztem Protokoll damit ggf. nicht klar beantwortet werden.

Die Beantwortung dieser Fragen liegt somit in der Regel in der Zuständigkeit eines dedizierten Applikationsbetriebs oder „Application management”. Hier treffen wir jedoch häufig auf Mitarbeiter mit dem Erfahrungshintergrund des Fachbereichs. Eine tiefe Kenntnis in die Bereiche der Systemwartung können nicht mehr vorausgesetzt werden.

Abbildung 2: Liste Prozesse mit ihrer ProcessID

Innerhalb Ihrer „Private Cloud” stellen diese Umstände ggf. auch nur bedingt ein grundlegendes Problem dar. Hier sind offene Ports nicht von außen ansprechbar, sondern stehen nur innerhalb des Unternehmensnetzwerkes oder Teilbereichen desselben zur Verfügung. Ganz anders jedoch ist dies zu bewerten, wenn diese Systeme nach außen kommunizieren können oder sollen. Werden dann diese Dienste nach außen, also in den Zugriffsbereich eines externen Angreifers, ebenso, dann unerwünscht, angeboten?

Abbildung 3: Open Ports-Auswertung eines CyberSecurity-Ratings – Quelle: Bitsight.com

Eine Open-Ports-Analyse als Basis für die Verbesserung der Sicherheit

Eine Antwort darauf können wir Ihnen im Rahmen unseres Security Ratings anbieten. Eine Sektion unserer Auswertungen liegt Ihnen direkt dar, welche Dienste und Ports von außen erreichbar sind.

Abbildung 4: Detailansicht eines offenen Ports – Bitsight.com

Eine Erstellung unserer Cybersecurity Ratings kann einmalig erfolgen. Hierbei erstellen wir Ihnen im Rahmen des Berichts einen Ist-Stand für Ihre Systemlandschaft. Damit können Sie auf Basis unserer Auswertungen gezielt die Systeme und Dienste überprüfen und mittels geeigneter Maßnahmen Ihre Angreifbarkeit reduzieren.

Die Maßnahmen und Korrekturen können dann durch ein zweites Rating validiert werden. Wir unterstützen Sie, Ihre Anstrengungen – ggf. im Rahmen eines Projekts – nachzuverfolgen und zu verifizieren. Das Aufrechterhalten Ihrer Sicherheit kann durch regelmäßig erstellte Ratings zudem gewahrt und belegt werden.

Sollten Sie Interesse an unserem Cybersecurity Rating haben, können wir Ihnen gerne eine individuelle Demonstration anbieten. Bitte senden Sie uns hierzu eine entsprechende E-Mail. Wir setzen uns unverzüglich mit Ihnen in Verbindung.
 
Weitere Informationen finden Sie in der Rubrik: Cybersecurity Rating: Instrument zur kontinuierlichen Beurteilung der Cybersicherheit von Unternehmen und Institutionen.

 

Kontaktieren Sie uns gerne, wenn Sie noch offene Fragen zum Thema haben.