Wenn Sicherheitsprodukte selbst zum Risiko werden
Zusammenfassung
Felix von Leitner sammelte im Februar 2020 drei Meldungen, in denen Sicherheitsprodukte selbst zum Problem wurden. McAfee kaufte eine Firma für Browser-Isolation, ein großer Provider filterte auf seinen Routern ungewöhnlich kleine Netzwerkpakete als vermeintlichen Angriffsschutz und legte damit unter anderem die Onleihe von Bibliotheken lahm, und die Kryptowährung IOTA stoppte nach einem Diebstahl ihr Netzwerk. Der gemeinsame Nenner: Sicherheit wird versprochen, aber ohne Verständnis umgesetzt.
Warum kleine Pakete nicht verdächtig sind
Die Router-Panne ist das lehrreichste Beispiel. Viele völlig normale Netzwerkpakete sind klein: DNS-Anfragen, Ping, die Steuerpakete von TCP beim Verbindungsaufbau und -abbau. Wer kleine Pakete pauschal als Angriff behandelt, bricht Dienste, die sich auf genau diese Pakete verlassen. Laut Provider fiel das erst nachträglich auf, als Nutzer der Onleihe und einiger älterer IoT-Geräte Probleme meldeten.
Ein Filter, der auf einem oberflächlichen Merkmal statt auf einem verstandenen Angriffsmuster beruht, schafft also mehr Schaden als Schutz.
Das Muster dahinter
Auch die anderen beiden Meldungen passen ins Bild: Ein Anbieter, der kurz zuvor selbst durch Sicherheitsprobleme aufgefallen war, verkauft neue Schutztechnik, und ein Projekt, das mit Sicherheit wirbt, muss nach einem Angriff den Betrieb einstellen. Sicherheitsprodukte vergrößern selbst die Angriffsfläche und verdienen deshalb dieselbe kritische Prüfung wie jede andere Software.
Ideen
- Pauschale Filter auf oberflächlichen Merkmalen brechen legitime Dienste.
- DNS, Ping und TCP-Steuerpakete sind von Natur aus klein.
- Sicherheitsprodukte vergrößern selbst die Angriffsfläche.
Einsichten
- Schutzmaßnahmen ohne Verständnis des Angriffs richten oft mehr Schaden als Nutzen an.
- Ein Sicherheitsversprechen ersetzt keine Prüfung.
Fakten
- Die Router-Filterung legte unter anderem den Zugriff auf die Onleihe lahm.
- McAfee übernahm im Februar 2020 Light Point Security, einen Anbieter für Browser-Isolation.
- Nach einem Diebstahl von Guthaben stoppte IOTA im Februar 2020 sein Netzwerk.
Referenzen
Bemerkungen
- Der Originalbeitrag ist sehr zugespitzt formuliert; die sachlichen Punkte stammen aus den verlinkten Meldungen von heise.
Empfehlungen
- Teste neue Filterregeln zuerst mit realem Verkehr und einem Rückweg, bevor du sie breit ausrollst.
- Prüfe Sicherheitsprodukte darauf, welche zusätzliche Angriffsfläche sie selbst mitbringen.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.