Refine
Document Type
- Bachelor Thesis (1)
- Master's Thesis (1)
Language
- German (2)
Has Fulltext
- yes (2)
Is part of the Bibliography
- no (2)
Keywords
- Cloud Security (1)
- IT-Sicherheit (1)
Open Access
- Closed Access (2)
Möglichkeiten für die Verbesserung der Sicherheit von Endgeräten und Netzwerkstrukturen in der Cloud
(2021)
Meine Thesis soll sich mit dem Betrieb eines Unternehmens-Netzes mit Microsoft Tools mit und ohne Cloud beschäftigen. Dabei soll herausgearbeitet werden, in welchen Bereichen es Sinn ergibt, eine Cloudstrategie anzustreben und wo Unternehmen vielleicht empfohlen werden sollte, vorerst oder vielleicht auch langfristig bei der on-premise Variante zu bleiben.
Dafür werden Dinge wie rechtliche Aspekte, Datenschutz oder Kostenpunkte eher sekundär behandelt, da das Hauptaugenmerk auf der Sicherheit der Unternehmensdaten, Endgeräte und Server liegen soll.
Tatsächlich verfolgen bereits einige große Namen in Deutschland eine sogenannte "Cloud-first" Strategie, bei welcher versucht wird, alle möglichen Anwendungen in der Cloud unterzubringen. Auf Beweggründe und Motivation dieser Unternehmen wird kurz eingegangen.
Dann werden verschiedenste Bereiche behandelt, die im täglichen Unternehmensumfeld eine Rolle spielen, darunter fallen beispielsweise die Nutzung von Fileservern im Vergleich mit dem Cloud Ansatz OneDrive. Es soll die Frage beantwortet werden, ob eine vollständige Migration in die Cloud für verschiedene Bereiche Sinn ergibt, wie eben zum Beispiel den kompletten FileServer in die Cloud (im speziellen Fall OneDrive) umzuziehen.
Ein weiterer Unterpunkt ist die Nutzung eines Active Directorys bzw. von Domain Controllern in der Cloud über Azure AD. Hier wird insbesondere auch auf die Frage eingegangen, welche Unternehmen immer wieder beschäftigt, ob die, für die Konfiguration von Endgeräten sehr wichtigen, Group Policies in der Cloud erhalten bleiben bzw. ob und durch was sie ersetzt werden, oder ob und wie man sie migrieren kann.
Migration ist an dieser Stelle ein gutes Stichwort, denn ebenfalls soll aufgezeigt werden, wie herausfordernd die Migration verschiedenster on-premise Strukturen in die Cloud ist, und ob überhaupt bei allen Dingen eine Migration möglich ist. Interessant wird es hier möglicherweise bei legacy-Anwendungen.
Neben weiteren Themen wie dem sicherheitskritischen Allow-listing und verschiedenen Security-Ansätzen, denen mit einer Cloud-Strategie bessere Möglichkeiten gegeben werden kann, soll geklärt werden, welche Zusatzherausforderungen, aber auch Chancen die Cloud bieten kann und wird.
17
Zusammengefasst soll am Ende klarer sein, für was sich die Microsoft Cloud Anwendungen momentan schon gut eignen, wo man abwägen muss, und in welchen Aspekten die Cloud sich zunächst noch weiterentwickeln muss, bevor sie sinnvoll und verlässlich nutzbar ist. Außerdem soll aufgeführt werden, in welchen Bereichen man in den nächsten Jahren, und vielleicht auch schon jetzt, kaum noch an der Cloud vorbeikommt, wenn man eine bestimmte Funktionalität, sei es nun eine Anwendung, die die Sicherheit des Unternehmens erhöht, oder eine die die Produktivität steigern soll, nutzen möchte.
Die Thesis soll also eine Möglichkeit für Unternehmen bieten, sich unabhängig über Cloudangebote, hier meist am Beispiel der Microsoft Cloud Services, zu informierten. Und außerdem einzuschätzen, wie komplex und realisierbar verschiedene Dinge sind.
Die Bachelorarbeit soll sich im Kern mit Möglichkeiten beschäftigen, wie der Faktor Mensch für die Bedrohung durch Social Engineering reduziert werden kann. Um diese Thematik aufzugreifen und zielführend zu bearbeiten, müssen zunächst einige Grundlagen geklärt werden. Deshalb wird im ersten Teil der Arbeit der Begriff Social Engineering definiert und es werden Unterschiede und Abstufungen erklärt. Weiterführend wird das Vorgehen bei Social Engineering Angriffen bzw. Penetrantionstests und Red Teaming Aufträgen in diesem Bereich erläutert. Dies findet in Zusammenarbeit mit der Firma cirosec statt. Hier findet auch direkt ein Vergleich mit dem Vorgehen „nach Lehrbuch“ vom wohl bekanntesten Social Engineer Kevin Mitnick statt und die bekanntesten Angriffs-Möglichkeiten werden genannt und beschrieben. Abschließend soll eine Abgrenzung zwischen gezielten und gestreuten Angriffen getroffen werden, da diese beiden Szenarien essenzielle Unterschiede in der Effektivität von Gegenmaßnahmen aufweisen.
Im folgenden Teil werden ehemalige Projekte der Firma cirosec GmbH nach einer Anonymisierung, mit dem Ziel analysiert, neben dem Vorgehen auch die Angriffsvektoren, das menschliche Fehlverhalten und, vor allem, die technischen Probleme in den vorliegenden Beispielen zu finden. Anschließend wird aufgezeigt, warum groß angelegte Awareness-Kampagnen eventuell auch zu Problemen für ein Unternehmen führen können.
Ein großer Teil der Arbeiten über das Thema Social Engineering stellen den Menschen als Risikofaktor in das Zentrum der Aufmerksamkeit. In dieser Thesis soll aber genau das nicht passieren. Betrüger gibt es seit es Menschen gibt, denn die Naivität und Gutgläubigkeit von
selbigen wurde schon immer ausgenutzt.
Doch anstatt diese Charaktereigenschaften, die sich über Jahrhunderte im Zusammenleben etabliert haben und auch dafür notwendig sind, mit Awareness Kampagnen oder Schulungen zu unterbinden, soll hier ein anderer Ansatz verfolgt werden. Das Augenmerk soll mehr auf technische Probleme gelegt werden. Eine IT Landschaft muss in der Zukunft nicht so gebaut sein, dass Menschen Schulungen brauchen, um sicher damit umzugehen.
Stattdessen soll eine Optimierung dahingehend passieren, dass der Mensch überhaupt keine schwerwiegenden und sicherheitskritischen Fehler begehen kann.
Es wird sich die Frage gestellt, wo man als Gegenmaßnahme ansetzen muss und dazu werden die vorher analysierten Projektbeispiele erneut aufgegriffen.
Auf Basis dieser Informationen, und den genannten Social Engineering Angriffsarten, werden Maßnahmen, die größtenteils technischer Natur sind, vorgestellt, erklärt und es wird beschrieben, gegen welche Arten von Angriffen sie effektiv helfen könnten. Dies soll im Idealfall, in einer sinnvollen Kombination, eine vernünftige Verteidigung gegen Social Engineering-Angriffe bieten.
Schlussendlich soll sich in einer perfekten IT-Landschaft jeder Mitarbeiter, ob mit fundiertem oder verschwindend geringem Sicherheitsverständnis, problemlos bewegen können und nicht vor jedem Klick oder dem offen halten einer Tür hinterfragen müssen, ob er damit das gesamte Unternehmen gefährden könnte.