IT-Sicherheit: Gefahrendiagnose wird zunehmend schwieriger

Die Security-Scanning-Industrie befindet sich im Umbruch, das machte Nessus-Erfinder Renauld Deraison deutlich: „Security-Scanning ist ein Vollzeitjob und kein Hobby.“ Nessus selbst wurde auch schon vor einiger Zeit zur Zielscheibe und „war leider nicht XP-tauglich“, sagt Deraison. „Wir haben das in letzter Minute entdeckt.“

Deraison und andere Security-Scanner-Inventoren wollen längst aus der Nische heraus. Warum überhaupt noch mit mehr oder minder löchrigen Tools proaktiv scannen, gibt Deraison zu bedenken. Die Scanner seien heute ein „legitimes Management-Werkzeug in der IT-Utility“, so Deraison.

Aber wohin geht die Reise, wie sehen die Scanning-Produkte künftig aus? „Firewalls und Intrusion Detection-Systeme bieten keinen ausreichenden Schutz gegen Würmer“, argumentiert Deraison. Und beruft sich auf gesetzgeberische Pflichten, den Datenverkehr einem Real-time-Monitoring zu unterziehen. Insbesondere Laptops seien eine Gefahr für die Stabilität der Netzwerke. Auch Voice over IP-Produkte hätten eine fatale Wirkung: „Eine einzige Box kann das ganze System zerstören“.

Die meisten Anwender sind durch den hohen Geräuschpegel im IT-Dschungel derzeit eher verunsichert. Und sie registrieren täglich, wie viel Geld auch in den Budgets für die IT-Security unnütz verbraten wird. Das jedenfalls illustriert Berater Stefan Strobel, Geschäftsführer der Heilbronner Cirosec GmbH, an einigen Beispielen.

Er zielt insbesondere auf die Anbieter von Managed Security Services. Diese seien ihr Geld meist nicht wert: „Wer überwacht schon mit qualifiziertem Personal den 24-Stunden-Betrieb, die Sicherheit dabei ist doch fragwürdig“, gibt Strobel zu bedenken.

Externe Operations-Zentren lösen das Security-Problem nach Auffassung von Strobel nicht. „Out-of-the-Box-Security“ bleibt ein vages Versprechen. So blieben tatsächlich erfolgreiche Angriffe in Firewall Logs via SQL-Injection oder Cross Site Scripting meist unsichtbar.

Auch die unzähligen IDS-Produkte mit ihren ständigen Fehlalarmen auf Netzwerkebene seien kein probates Mittel. „Bevor ich fünf Leute für ein IDS einstelle, sollten die Unternehmen lieber gezielt in die Applikationssicherheit oder das Verwundbarkeitsmanagement investieren“, fordert Strobel.