Auszeichnung für einfache und effektive IT-Sicherheitsmaßnahmen
In dem diesjährigen vom SANS-Institut ausgeschriebenen Wettbewerb „U.S. National Cybersecurity Innovation Award“ (Nationaler IT-Security Innovationswettbewerb) hat eine Abteilung im australischen Verteidigungsministerium gewonnen. Das Team um Steve McLeod und Chris Brookes hat Logdateien und Aufzeichnungen von Online-Einbrüchen in zivile und militärische Einrichtungen untersucht. Daraus wurden Maßnahmen herauskristallisiert, wie diese Verseuchungen einzudämmen gewesen wären.
Das Ergebnis ist eine Liste von 35 Maßnahmen, die für die Sicherheit ausschlaggebend sind. Revolutionär ist jedoch der Ansatz, diese Liste noch weiter zu vereinfachen und nun vier Maßnahmen zu postulieren, die als absolute Minimalanforderungen in allen Bereichen der IT Anwendung finden müssen. Diese vier Maßnahmen müssen zuerst umgesetzt werden, wenn ein ernsthafter Schutz der IT gewährleistet werden soll.
„The cost of implementing these four controls is a tiny fraction of the cost of implementing the average US federal government agency cybersecurity program“, so das SANS-Institut. „Since the impact of this low-cost approach is much better security than what U.S. agencies are experiencing, the Australian innovation changes the game.“
Die vier Maßnahmen:
- Patch applications e.g. PDF viewer, Flash Player, Microsoft Office and Java. Patch or mitigate within two days for high risk vulnerabilities. Use the latest version of applications.
- Patch operating system vulnerabilities. Patch or mitigate within two days for high risk vulnerabilities. Use the latest operating system version.
- Minimise the number of users with domain or local administrative privileges. Such users should use a separate unprivileged account for email and web browsing.
- Application whitelisting to help prevent malicious software and other unapproved programs from running e.g. by using Microsoft Software Restriction Policies or AppLocker.
Dies sei jedem Administrator wärmstens empfohlen.
Artikel von SANS: Australian Defence Signals Directorate wins U.S. National Cybersecurity Innovation Award
Artikel von theregister.co.uk, 26.10.2011: ‘Want to be more secure? Don’t be stupid’ redux