April 2007, FH-Hagenberg
Security Forum 2007 - Kommunikation als Schlüssel zur Sicherheit
Extrusion Prevention
cirosec GmbH
Christian Götz
Vortragsinhalt
In den letzten zehn Jahren hatte IT-Sicherheit in der Regel primär mit dem Schutz von (Betriebs-) Systemen zu tun. Man assoziierte damit Begriffe wie z.B. Firewalls, Betriebssystemhärtung, Anti-Virus-Lösungen oder Content Security. Das Ziel bestand darin, die Ausnutzung von Schwachstellen im Betriebssystem und in Anwendungen zu verhindern.Zum Schutz von Daten und Informationen wurden zwar Zugriffsrechte definiert und Verschlüsselungslösungen eingesetzt, allerdings verhindern diese Maßnahmen auch heute nicht, dass berechtigte Benutzer gewollt oder ungewollt, wissentlich oder nicht Daten veruntreuen oder fälschlicherweise in die Hände Dritter geraten lassen.
Daten bekommen erst dann einen Wert, wenn mit ihnen gearbeitet werden kann. Damit man mit Daten arbeiten kann, müssen Benutzer auf diese Daten zugreifen können. Schutzmaßnahmen wie Access Control und Verschlüsselung schützen die Daten vor dem unbefugten Zugriff nichtautorisierter Dritter. Aber wie können Daten vor illegalen Aktionen berechtigter Benutzer geschützt werden?
Das Schlagwort "Extrusion Prevention" beschreibt einen weiten Themenkreis, der sich mit dem Schutz von Daten und Informationen und vor allem mit der Verhinderung von unkontrolliertem Datenabfluss beschäftigt. Einige Methoden hierzu, wie z.B. Konzepte zur Klassifikation von Daten sind seit langem bekannt, andere Lösungsansätze, wie z.B. das Digital Rights Management befinden sich in ihrer technischen Ausprägungen noch in der Entwicklung bzw. verbreiten sich langsam. Andere Methoden versuchen über die Kontrolle der Datenbewegungen, d.h. es soll z.B. kontrolliert werden, wie ein Benutzer Daten nutzt, wie er sie bearbeitet und wo er sie speichert, den Abfluss sensitiver Daten zu verhindern oder zumindest zu protokollieren.
Der Vortrag beleuchtet neben Bedrohungsszenarien diverse Lösungsansätze, deren Vorteile, Nachteile und daraus resultierende Konsequenzen und soll dem interessierten Zuhörer ein Bild vermitteln, wie Daten heute adäquat geschützt werden können und müssen.
