Managed Security Services

Im Zuge der auf breiter Ebene statt­fin­den­den Di­gi­ta­li­sie­rung verlagern Un­ter­neh­men und Or­ga­ni­sa­tio­nen ihre Ak­ti­vi­tä­ten in virtuelle Räume und digitale Netze. Ten­den­zi­ell steigert dies die Effizienz, jedoch eröffnet sich dadurch auch eine größere An­griffs­flä­che. Or­ga­ni­sa­tio­nen sehen sich deshalb gezwungen, sich mit dem Thema IT-Si­cher­heit aus­ein­an­der­zu­set­zen. Dabei gilt: Pro­ak­ti­ves Vorgehen ist der Gold­stan­dard. Es ist besser, Angriffe im Vorfeld zu un­ter­bin­den, als zu versuchen, bereits ent­stan­de­ne Schäden zu beheben.

Tra­di­tio­nell wurden In­for­ma­ti­ons­si­cher­heits-Dienst­leis­tun­gen von Inhouse-Mit­ar­bei­tern be­reit­ge­stellt. Da jedoch nur größere Un­ter­neh­men Re­chen­zen­tren mit den ent­spre­chen­den Spe­zia­lis­ten betrieben, fiel das Thema bei kleineren Firmen oft komplett unter den Tisch. Doch selbst große Firmen waren aufgrund der Kom­ple­xi­tät des Themas und ständig wan­deln­der Ge­fähr­dungs­sze­na­ri­en schnell über­for­dert.

Fakt ist: Das Katz-und-Maus Spiel, die eigenen Systeme gegenüber globalen Banden von Cyber-Kri­mi­nel­len zu schützen, ist aufwendig und ver­schlingt laufend Res­sour­cen. Daher ist es attraktiv, Si­cher­heits-Dienst­leis­tun­gen an Spe­zia­lis­ten aus­zu­la­gern. Diese erbringen ten­den­zi­ell bessere Leis­tun­gen mit höherer Effizienz, d. h. ge­rin­ge­ren Kosten. Wir schauen uns die dabei er­brach­ten „Managed Security Services“ im Detail an.

Bei Managed Security Services (MSS) handelt es sich um Dienst­leis­tun­gen, die der Ver­wal­tung und Si­cher­stel­lung der IT-Si­cher­heit von Un­ter­neh­men oder sonstigen Or­ga­ni­sa­tio­nen dienen. Geleistet werden MSS von spe­zia­li­sier­ten Anbietern, so­ge­nann­ten „Managed Security Service Providern“ (MSSP). Zu den größten MSSPs gehören die IT-Bran­chen­rie­sen IBM, AT&T und Verizon, sowie Be­ra­tungs­häu­ser wie Accenture und Deloitte. Aus­schlag­ge­bend für MSS ist, dass die Dienst­leis­tun­gen an einen externen Partner über­tra­gen werden. Damit handelt es sich bei MSSP um eine Spe­zi­al­form der Managed Service Provider (MSP).

Bevor wir uns die ei­gent­li­chen Managed Security Services genauer ansehen, ein kurzer Ausflug in die Welt der IT-Si­cher­heit. Sind einem die drei grund­le­gen­den Begriffe der In­for­ma­ti­ons­si­cher­heit bekannt, lässt sich das Span­nungs­feld aus IT-Systemen, Cyber-An­grei­fern und MSSPs besser nach­voll­zie­hen. Es handelt sich um „Con­fi­den­tia­li­ty“, „Integrity“ und „Ac­ces­si­bi­li­ty“, oft als CIA abgekürzt:

Grund­sätz­lich erbringen Managed Security Service Provider (MSSP) jedwede Dienst­leis­tun­gen, die der Auf­recht­erhal­tung der IT-Si­cher­heit dienen. Be­trach­ten wir die ein­schlä­gi­gen Begriffe wiederum durch die Linse der In­for­ma­ti­ons­si­cher­heit:

Was also tun MSSPs? Sie schützen Res­sour­cen proaktiv vor Angriffen und Schäden, ana­ly­sie­ren Vorfälle, reagieren auf diese und stellen Systeme bereit, welche Warn­mel­dun­gen erzeugen. Sehen wir uns im Folgenden an, welche Dienst­leis­tun­gen MSSPs im Detail erbringen.

Zunächst ist ein Managed Security Service Provider (MSSP) der An­sprech­part­ner für alle Fragen rund um die IT-Si­cher­heit des Kunden. Im Rahmen der stra­te­gi­schen Planung helfen MSSPs dabei, Ziele zu de­fi­nie­ren, Risiken auf­zu­de­cken und Chancen zu erkennen. Der Kunde pro­fi­tiert von der Erfahrung und dem spe­zia­li­sier­ten Wissen des Anbieters.

Spe­zi­fisch klären MSSPs auf, welche Systeme es wie auf­zu­bau­en und zu verwalten gilt. Dazu gehören Hardware, Software und Kon­fi­gu­ra­ti­on. Zum Teil werden diese direkt vom MSSP be­reit­ge­stellt, was heut­zu­ta­ge oft in der Cloud geschieht; an­dern­falls verwaltet der Anbieter die beim Kunden laufenden Systeme. Darüber hinaus helfen MSSPs dem Kunden, Best Practices zu im­ple­men­tie­ren. Dazu gehört auch die Schulung der Mit­ar­bei­ter.

Neben der vor­aus­schau­en­den Beratung ist zudem die Hilfe in Notfällen ein kri­ti­scher Managed Security Service. Denn ein Scha­dens­fall erfordert eine schnelle Reaktion. Gleich­zei­tig ist es un­ab­ding­bar, nicht in Panik zu verfallen, da ansonsten die Gefahr droht, die Situation zu ver­schlech­tern. Die er­fah­re­nen Spe­zia­lis­ten des Managed Security Service Provider haben häufig ein­tre­ten­de Szenarien bereits erlebt. Sie können die Risiken ein­schät­zen und Emp­feh­lun­gen für das beste Vorgehen geben.

Auch wenn es im Scha­dens­fall für eine Or­ga­ni­sa­ti­on Gold wert ist, Un­ter­stüt­zung durch einen Managed Security Service Provider zu erhalten, ist es dann oft schon zu spät. Wurden bei­spiels­wei­se sensible Daten entwendet, bleibt nur der Versuch, Scha­dens­be­gren­zung zu betreiben. Es ist daher besser, proaktiv zu handeln.

Die Basis für pro­ak­ti­ves Vorgehen liegt in vor­aus­schau­en­der Planung sowie kon­ti­nu­ier­li­cher Über­wa­chung der kri­ti­schen Struk­tu­ren. Dazu gehören IT-Systeme wie Endgeräte, Cloud-Um­ge­bun­gen, Da­ten­spei­cher und Netzwerke. Die Systeme werden auf das Auftreten ver­däch­ti­ger Muster überwacht. Wird ein Vorfall erkannt, werden Warn­mel­dun­gen erzeugt. Darauf aufbauend werden geeignete Abwehr- oder Ret­tungs­maß­nah­men ein­ge­lei­tet.

Die Über­wa­chung von IT-Res­sour­cen erfordert spe­zia­li­sier­te Systeme, welche in Echtzeit Warn­mel­dun­gen erzeugen. Nur so kann recht­zei­tig reagiert werden. Denn: In Computer-Netz­wer­ken finden andauernd An­griffs­ver­su­che statt. Auf der untersten Ebene kommen au­to­ma­ti­sier­te Ab­wehr­maß­nah­me zum Einsatz. Schauen wir uns einige davon an.

Die all­ge­gen­wär­ti­gen Firewalls filtern un­er­laub­te Pakete auf Basis sta­ti­scher Regeln heraus. Sie bilden damit die Grundlage für Netz­werk­si­cher­heit. Firewalls werden sowohl als spe­zia­li­sier­te Hardware als auch auf Software-Ebene rea­li­siert. Darüber hinaus kommen An­griffs­er­ken­nungs­sys­te­me zum Einsatz. Dabei handelt es sich um „Intrusion Detection Systems“ (IDS) bzw. „Intrusion Pre­ven­ti­on Systems“ (IPS), wobei letztere Firewall-Regeln in Reaktion auf erkannte Vorfälle in Echtzeit anpassen. Die IDS und IPS kommen sowohl als Teil von Netzwerk-Hardware als auch auf End­ge­rä­ten von Nutzern zum Einsatz.

Weniger glamourös als der Kampf gegen Hacker, jedoch nicht weniger wichtig, ist die Ver­wal­tung von Upgrades und Patches. Da gutes Patch-Ma­nage­ment vielen Angriffen die Grundlage entzieht, bildet selbiges einen es­sen­zi­el­len Teil der IT-Si­cher­heits-Strategie. Ferner lässt sich die Upgrade-Ver­wal­tung besonders gut als Managed Security Service auslagern. Denn prin­zi­pi­ell können bei jedem Update Probleme auftreten. Führt ein Dienst­leis­ter dasselbe Update bei vielen Kunden durch, sind die Probleme und deren Lösungen bekannt.

Im Zuge des pro­ak­ti­ven Ansatzes über­neh­men Managed Security Service Provider eine weitere Funktion. Sie über­prü­fen die Systeme ihrer Kunden auf Schwach­stel­len und Ver­wund­bar­kei­ten. Ziel ist, die Wahr­schein­lich­keit von Si­cher­heits­ver­let­zun­gen, sowie die Schwere der dabei auf­tre­ten­den Schäden zu mi­ni­mie­ren. Dabei kommen ver­schie­de­ne Ansätze zum Tragen.

Beim Si­cher­heits-Audit werden alle Bereiche einer Or­ga­ni­sa­ti­on auf Ver­wund­bar­kei­ten hin überprüft. Neben den ob­li­ga­to­ri­schen tech­ni­schen Aspekten stehen ins­be­son­de­re or­ga­ni­sa­to­ri­sche und mensch­li­che Faktoren im Fokus. Zunächst werden die beim Audit ge­won­ne­nen Er­kennt­nis­se genutzt, um aufgrund logischer Schluss­fol­ge­run­gen Schwach­stel­len zu iden­ti­fi­zie­ren und Ver­bes­se­run­gen ein­zu­lei­ten.

Zum anderen versuchen gut­wil­li­ge „White Hat Hacker“ im Rahmen so­ge­nann­ter „Pe­ne­tra­ti­ons­tests“ (Pentest), die Si­cher­heits­vor­keh­run­gen eines Systems aus­zu­he­beln oder zu umgehen. Beim Pentesten kommen dieselben Ansätze und Werkzeuge zum Einsatz, die auch von bös­ar­ti­gen „Black Hat Hackern“ genutzt werden. Wurde das Ziel er­folg­reich gehackt, of­fen­ba­ren die Pentester, welche Schwach­stel­len sie aus­ge­nutzt haben. Auf Basis dieser In­for­ma­tio­nen werden die Systeme im Anschluss gehärtet. So sind sie vor ähnlichen Attacken bös­ar­ti­ger Akteure besser geschützt.

Zu guter Letzt un­ter­stüt­zen Managed Security Service Provider (MSSP) ihre Kunden dabei, geltende Re­gu­la­ri­en ein­zu­hal­ten und Best Practices korrekt um­zu­set­zen. Das Thema ist unter dem Namen „Re­gu­la­to­ry Com­pli­ance“ (kurz „Com­pli­ance“) bekannt. Die Über­wa­chung der Com­pli­ance eines Kunden durch einen MSSP wird als Com­pli­ance-Mo­ni­to­ring be­zeich­net.

Ins­be­son­de­re für kritische In­dus­trien wie Ge­sund­heits­we­sen, Ver­si­che­run­gen, ju­ris­ti­sche Or­ga­ni­sa­tio­nen und Bank- und Fi­nanz­we­sen ist Com­pli­ance von größter Wich­tig­keit. Denn nur durch si­cher­ge­stell­te Com­pli­ance ist es möglich, im Scha­dens­fall einen Image-Verlust und emp­find­li­che Scha­den­er­satz­zah­lun­gen ab­zu­weh­ren.

Das Ver­spre­chen bei der Nutzung von Managed Security Services liegt darin, eine bessere Si­cher­heit bei gleich­zei­ti­ger Senkung der Kosten zu erreichen. Managed Security Service Provider (MSSP) verfolgen einen sys­te­ma­ti­schen Ansatz zur Prüfung und zum Ma­nage­ment si­cher­heits­re­le­van­ter Themen. Ihr Spe­zi­al­wis­sen im Security-Bereich trägt zur Ein­hal­tung höherer Si­cher­heits­stan­dards bei. Bei Bedarf stellt der MSSP die für die Ein­hal­tung der Si­cher­heit benötigte Hardware bereit.

Die per­ma­nen­te Über­wa­chung der Si­cher­heit erlaubt ein pro­ak­ti­ves Ge­gen­steu­ern im An­griffs­fall. Im Vorfeld werden Si­cher­heits­lü­cken erkannt und behoben, Netzwerke und IT-Systeme überwacht und Angriffe au­to­ma­ti­siert un­ter­bun­den. Der Kunde pro­fi­tiert von der Si­cher­heits-Expertise eines er­fah­re­nen Dienst­leis­ters, denn die Spe­zia­lis­ten mit Know-how im Security-Bereich sind auf dem aktuellen Wis­sens­stand. Je nach An­for­de­rung werden die Managed Security Services flexibel aus der Ferne oder direkt vor Ort erbracht.

Auf Kun­den­sei­te ergibt sich eine Senkung der Kosten durch Ein­spa­rung eigener Zeit- und Per­so­nal­auf­wen­dun­gen. Ferner erlaubt die Kon­zen­tra­ti­on auf das Kern­ge­schäft eine ef­fi­zi­en­te­re Nutzung der ein­ge­setz­ten Res­sour­cen. Managed Security Services werden oft in ver­schie­de­nen Leis­tungs­klas­sen angeboten. So werden die Kosten für die IT-Si­cher­heit trans­pa­rent und planbar. Es lassen sich Kosten mi­ni­mie­ren und gleich­zei­tig die Si­cher­heit op­ti­mie­ren.

Sind besondere Com­pli­ance Regeln ein­zu­hal­ten, wie bei­spiels­wei­se im Ge­sund­heits- oder Fi­nanz­sek­tor, kann auf spe­zia­li­sier­te Managed Security Service Provider zu­rück­ge­grif­fen werden. Diese bieten perfekt auf den Bedarf der Kunden zu­ge­schnit­te­ne Kom­plett­pa­ke­te, welche die be­nö­tig­ten Managed Security Services zu einem optimalen Preis enthalten.