Der Hackerangriff auf Sony und die Sicherung der Software-Lieferkette

Noch nicht berücksichtigt sind in diesen Zahlen der Imageschaden, der Verlust von Arbeitsproduktivität und die zahlreichen weiteren Probleme aufgrund der Veröffentlichung großer Mengen persönlicher und geschäftsbezogener Daten. Wie genau die Hacker in das Netzwerk eindringen konnten, ist noch nicht restlos geklärt, aber die Verwendung der bekannten Schadsoftware Destover scheint gesichert. Anscheinend legte das Programm Kopien seiner selbst ab und installierte neue Hintertüren auf seinem Weg durch das Sony-Netzwerk. Die Serie dieser vielbeachteten Hackerangriffe, von Poodle über Heartbleed bis hin zum aktuellen Vorfall bei Sony, treibt den Verantwortlichen in anderen großen und kleinen Unternehmen zweifellos die Sorgenfalten auf die Stirn. Gut vorstellbar, dass Hunderte (oder Tausende) CEOs Dringlichkeitssitzungen mit ihren IT-Sicherheitsverantwortlichen einberufen und ihnen die Zusicherung abverlangen, dass ihr Unternehmen vor derartigen Katastrophen sicher sei. Was kann man tatsächlich tun? Vor allem muss der Verantwortliche für die Softwaresicherheit dafür sorgen, dass nur vertrauenswürdige Programme auf den internen Netzwerken laufen können – als eine seiner wichtigsten Aufgaben. Viele präventive Programme und Techniken für die Softwaresicherheit wurden genau dafür entwickelt. Ist nämlich die äußere Schicht einmal durchbrochen, lässt sich das Ausbreiten von Schadsoftware nur schwer verhindern, sie wird unter Umständen nicht mehr ohne weiteres als solche erkannt, und die Beseitigung der verursachten Schäden ist mit hohen Kosten verbunden. Natürlich ist es für das Tagesgeschäft unerlässlich, dass auf internen Netzwerken von Unternehmen auch Programme externer Lieferanten laufen. Daher wird Technologien wie Code Signing und digitalen Zertifikaten eine große Bedeutung beigemessen. Diese geben dem Empfänger die Sicherheit, dass der Code, den er gerade ausführen möchte, von einer bekannten Quelle stammt und nicht während der Übertragung manipuliert wurde. Zur Risikominimierung sind derartige Techniken des Supply-Chain-Risikomanagements zwar definitiv hilfreich, sie reichen jedoch nicht aus, um schädlichen Code zu verhindern. Das Problem bei diesen Techniken ist deren Passivität. Nur weil bekannt ist, dass eine Software von einem bestimmten Lieferanten stammt, heißt das nicht, dass sie auch als sicher eingestuft werden kann. Vielleicht hat dieser Lieferant die Grundsätze der sicheren Programmierung nicht beachtet oder hat die Software nicht ausreichend gründlich getestet. Ein ernsteres Szenario wäre die vorsätzliche Integration von gefährlichem Code in die Anwendung durch einen feindlich gesinnten Insider. Selbst wenn sich der externe Softwarelieferant an alle Regeln zur sicheren Softwareentwicklung gehalten hat – Garantie gibt es immer noch keine. Ständig berichten Nachrichten über neue Sicherheitslücken in der Software von vertrauenswürdigen Anbietern, die ausgenutzt werden. Tief um ihre Sicherheit besorgte Organisationen versuchen, sich aktiver zu schützen. Es ist allgemein üblich, Software von Drittanbietern sehr strengen Akzeptanzprüfungen zu unterziehen. Bei sicherheitskritischen Programmen umfassen diese Prüfungen auch einen Penetrationstest. Dennoch können derartige grundlegende Prüfungen keinen hundertprozentigen Schutz vor ausgefeilten Hintertüren bieten, die oft in abgelegenen und selten ausgeführten Ecken des Codes lauern. Die Lösung: Binäranalyse Darum vertrauen viele amerikanische Regierungsstellen wie das Heimatschutzministerium und die militärische Forschungsbehörde DARPA auf die statische Binäranalyse - und deshalb hat GrammaTech jahrelang auf diesem Gebiet geforscht. Mit unserer Arbeit verfolgten wir das Ziel, durch statische Analyse abisolierter (gestrippter) ausführbarer Software Sicherheitslücken aufzudecken. Weil die ausführbaren Programme konkret aufzeigen, was laufen wird, garantieren sie für Sicherheitssysteme eine direkte und genaue Prüfung. Die statische Analyse wurde entwickelt, um selbst die am seltensten ausgeführten Pfade zu untersuchen. Daher kann sie Sicherheitslücken finden, die nur unter außergewöhnlichen Umständen zutage treten. Mithilfe der statischen Analyse lassen sich auch solche schädlichen Sicherheitslücken aufdecken, die von böswilligen Insidern vorsätzlich eingebaut und so gestaltet wurden, dass sie im Quellcode unsichtbar bleiben. ----- Autor: Paul Anderson, Vice President Engineering, GrammaTech, Inc.