Konzeption eines Systems zur überbetrieblichen Sammlung und Nutzung von quantitativen Daten über Informationssicherheitsvorfälle

318 Pages·2011·1.748 MB·German

by  Thomas Nowey (auth.)

Thomas Nowey
Konzeption eines Systems zur überbetrieblichen Sammlung und Nutzung
von quantitativen Daten über Informationssicherheitsvorfälle
VIEWEG+TEUBNER RESEARCH
Thomas Nowey
Konzeption eines Systems
zur überbetrieblichen
Sammlung und Nutzung
von quantitativen Daten
über Informations -
sicherheitsvorfälle
VIEWEG+TEUBNER RESEARCH
Bibliografische Information der Deutschen Nationalbibliothek
Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der
Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über
<http://dnb.d-nb.de> abrufbar.
Dissertation Universität Regensburg, 2010
1. Auflage 2011
Alle Rechte vorbehalten
© Vieweg+Teubner Verlag|Springer Fachmedien Wiesbaden GmbH 2011
Lektorat: Sabine Schöller
Vieweg+Teubner Verlag ist eine Marke von Springer Fachmedien.
Springer Fachmedien ist Teil der Fachverlagsgruppe Springer Science+Business Media.
www.viewegteubner.de
Das Werk einschließlich aller seiner Teile ist urheberrechtlich g es chützt.
Jede Verwertung außerhalb der engen Grenzen des Ur heber rechts ge set -
zes ist ohne Zustimmung des Verlags unzuläs sig und straf bar. Das gilt
ins be sondere für Vervielfältigungen, Über setzun gen, Mikro verfil mungen
und die Ein speiche rung und Ver ar beitung in elek tro nischen Syste men.
Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in die-
sem Werk berechtigt auch ohne besondere Kennzeichnung nicht zu der Annahme, dass
solche Namen im S inne der Warenzeichen- und Markenschutz-Gesetzgebung als frei zu be-
trachten wären und daher von jedermann benutzt werden dürften.
Umschlaggestaltung: KünkelLopka Medienentwicklung, Heidelberg
Druck und buchbinderische Verarbeitung: STRAUSS GMBH, Mörlenbach
Gedruckt auf säurefreiem und chlorfrei gebleichtem Papier.
Printed in Germany
ISBN 978-3-8348-1423-4
Wann immer einen die Dinge erschreck-
ten,seieseineguteIdee,siezumessen.
HumboldtsHauslehrerMarcusHerz
inDanielKehlmanns
DieVermessungderWelt“
”
Danksagung
DieseArbeitentstandzwischen2005und2009amLehrstuhlManagementderInforma-
tionssicherheit an der Universita¨t Regensburg. Ihre Erstellung wa¨re ohne die Hilfe und
Unterstu¨tzungzahlreicherPersonennichtmo¨glichgewesen,beidenenichmichandieser
Stellebedankenmo¨chte.
Zuerst gilt mein Dank meinem Doktorvater Prof. Dr. Hannes Federrath fu¨r sein Ver-
trauen und seine Unterstu¨tzung. Er hat mich in der wissenschaftlichen Arbeit geschult
undmirstetsdieno¨tigeFreiheitgelassen,ummeineForschungsinteressenzuverfolgen.
Prof.Dr.AlfredHamerledankeichherzlichfu¨rdieU¨bernahmederZweitbetreuung.
Mein Dank gilt allen, mit denen ich mich im Rahmen meiner wissenschaftlichen Arbeit
ausgetauschthabeunddiemirneueDenkansto¨ßegegebenhaben.Fu¨rdieUnterstu¨tzung
bei der Expertenstudie danke ich allen Studienteilnehmern, Moritz Riesner sowie Isabel
Mu¨nch und dem Bundesamt fu¨r Sicherheit in der Informationstechnik. Prof. Dr. Gu¨nter
Mu¨llerundProf.Dr.MyraSpiliopouloudankeichdafu¨r,dassSiemirbeimDoktoranden-
workshopimRahmenderKonferenzWirtschaftsinformatik2007denno¨tigenImpulsga-
ben,endlichmitderNiederschriftdieserArbeitzubeginnen.MeinenehemaligenKollegen
anderUniversita¨tdankeichfu¨rdasfreundschaftlicheArbeitsklima,spannendeDiskussio-
nen,neueDenkansa¨tzeundIdeen,spannendeKicker-Partienundvielescho¨neErlebnis-
se.
Mit ihrer engagierten Ta¨tigkeit im Rahmen von Seminar- und Abschlussarbeiten haben
zahlreicheStudentenzurArbeitundinsbesonderezurRealisierungdesPrototypsbeige-
tragen.Ihnenallendankeichherzlich.
Fu¨r die Unterstu¨tzung bei der Fehlersuche, wertvolle inhaltliche Anregungen und stete
MotivationdankeichDr.KlausPlo¨ßlundDr.ChristianSchla¨gersowieOliverPongratz,
Dr.FlorianHerrmannundArnoGra¨ml.
Dankesagenmo¨chteichallenFreunden,diedenAbschlussderArbeitsehnsu¨chtigerwartet
habenundmichimmerwiederzumAbschlussermutigthaben.DerB.u.S.-Familiedanke
ichfu¨rdiemoralischeUnterstu¨tzungunddafu¨r,dasssiestetsfu¨rdieno¨tigeAbwechslung
inmeinemLebensorgt.
Bei meinen Eltern mo¨chte ich mich ganz herzlich fu¨r den Ru¨ckhalt und die großartige
Unterstu¨tzungaufmeinemgesamtenbisherigenLebenswegbedanken.Dergro¨ßteDank
gebu¨hrtmeinerFrauSandra,derichdieseArbeitwidme–natu¨rlichfu¨rihrunermu¨dliches
Korrekturlesen,aberbesondersfu¨rihreLiebe,ihrVersta¨ndnisunddieta¨glichePortionMo-
tivation.
Inhaltsverzeichnis
1 Einleitung 1
1.1 MotivationundZielsetzung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 1
1.2 Forschungsfragen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 3
1.3 Forschungsmethodik . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
1.4 AufbauderArbeit. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4
2 Begriffe,GrundlagenundBezugsrahmen 7
2.1 QuantifizierungundMetriken. . . . . . . . . . . . . . . . . . . . . . . . . . . . 7
2.2 Sicherheit. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 8
2.2.1 IT-SicherheitundInformationssicherheit . . . . . . . . . . . . . . . . . 8
2.2.2 Schutzziele . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 9
2.2.3 MehrseitigeSicherheit . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
2.2.4 Angreifermodelle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10
2.2.5 Vertrauen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
2.3 Sicherheitsmanagement . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 11
2.3.1 Informationssicherheitsmanagement. . . . . . . . . . . . . . . . . . . . 11
2.3.2 Informationssicherheitsmanagementsystem(ISMS) . . . . . . . . . . . 13
2.4 RisikoundRisikomanagement . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
2.4.1 Risikobegriff. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 15
2.4.2 Risikomanagement . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
2.5 Begriffsmodell . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
2.5.1 Assets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 18
2.5.2 Schwachstellen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 19
2.5.3 AngreiferundAngriff . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
2.5.4 Bedrohungen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
2.5.5 Sicherheitsvorfa¨lle . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 20
2.5.6 ManagementvonSicherheitsvorfa¨llen . . . . . . . . . . . . . . . . . . . 21
2.5.7 Schaden . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
2.5.8 Sicherheitsmaßnahmen . . . . . . . . . . . . . . . . . . . . . . . . . . . 22
2.5.9 Beispiel. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 23
2.6 KostenundNutzenvonInformationssicherheit. . . . . . . . . . . . . . . . . . 24
2.7 O¨konomischeAspektederInformationssicherheit . . . . . . . . . . . . . . . . 25
3 InformationssicherheitsmanagementalsRisikomanagementaufgabe 29
3.1 Einflu¨sseaufdasInformationssicherheitsmanagement . . . . . . . . . . . . . 29
3.1.1 IT-Abha¨ngigkeitundBedrohungslage . . . . . . . . . . . . . . . . . . . 29
3.1.2 Wirtschaftlichkeitsgebot . . . . . . . . . . . . . . . . . . . . . . . . . . . 31
x Inhaltsverzeichnis
3.1.3 IT-GovernanceundIT-Compliance. . . . . . . . . . . . . . . . . . . . . 33
3.1.4 InternationaleStandardsundNormen. . . . . . . . . . . . . . . . . . . 40
3.2 ManagementvonInformationssicherheitsrisiken . . . . . . . . . . . . . . . . . 43
3.2.1 StandardsundVorgehensmodelle . . . . . . . . . . . . . . . . . . . . . 44
3.2.2 PhasendesRisikomanagementkreislaufs . . . . . . . . . . . . . . . . . 47
3.2.3 KlassifikationvonWerkzeugenundMethoden. . . . . . . . . . . . . . 53
4 EinsatzquantitativerDatenfu¨rdasRisikomanagement 57
4.1 NotwendigkeitquantitativerDaten. . . . . . . . . . . . . . . . . . . . . . . . . 57
4.2 Risikomaße. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59
4.2.1 Ja¨hrlicheVerlusterwartung . . . . . . . . . . . . . . . . . . . . . . . . . 59
4.2.2 ValueatRisk . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63
4.2.3 ErmittlungderVerlustverteilung . . . . . . . . . . . . . . . . . . . . . . 65
4.2.4 SonstigeAnsa¨tze . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 67
4.2.5 WeitereAnwendungsmo¨glichkeiten . . . . . . . . . . . . . . . . . . . . 67
4.2.6 Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 69
4.3 MetrikenundRegelnzurRisikosteuerung. . . . . . . . . . . . . . . . . . . . . 69
4.3.1 ROSI-basierteKonzepte . . . . . . . . . . . . . . . . . . . . . . . . . . . 69
4.3.2 Nettokapitalwert-basierteKonzepte . . . . . . . . . . . . . . . . . . . . 73
4.3.3 AnwendungshinweiseundFazit . . . . . . . . . . . . . . . . . . . . . . 75
4.4 Quellenfu¨rquantitativeDaten . . . . . . . . . . . . . . . . . . . . . . . . . . . 76
4.4.1 Verfu¨gbarkeitquantitativerDaten . . . . . . . . . . . . . . . . . . . . . 77
4.4.2 Mo¨glicheQuellen. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 78
4.4.3 Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 86
4.5 EmpirischeU¨berpru¨fungdesStatusQuo . . . . . . . . . . . . . . . . . . . . . 86
4.5.1 UntersuchungsdesignundVorgehen. . . . . . . . . . . . . . . . . . . . 86
4.5.2 ErgebnisseundImplikationen . . . . . . . . . . . . . . . . . . . . . . . 88
5 Grundkonzepteinesu¨berbetrieblichenVorfallsdatenaustauschs 93
5.1 NotwendigkeithistorischerDaten . . . . . . . . . . . . . . . . . . . . . . . . . 93
5.2 Basiskonzept. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 95
5.2.1 ZuerfassendeVorfallsdaten . . . . . . . . . . . . . . . . . . . . . . . . . 95
5.2.2 ArchitekturundAkteure . . . . . . . . . . . . . . . . . . . . . . . . . . 96
5.2.3 AufgabenderzentralenPlattform . . . . . . . . . . . . . . . . . . . . . 97
5.2.4 Auswertungsmo¨glichkeiten . . . . . . . . . . . . . . . . . . . . . . . . . 98
5.3 Nutzenbetrachtung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 99
5.3.1 DirekteEffekteaufEbenederEinzelorganisation . . . . . . . . . . . . 99
5.3.2 AusMarktmodellenabgeleiteteEffekte . . . . . . . . . . . . . . . . . . 100
5.3.3 U¨bergreifendeAspekte . . . . . . . . . . . . . . . . . . . . . . . . . . . 102
5.4 AbgrenzungzuexistierendenAnsa¨tzen . . . . . . . . . . . . . . . . . . . . . . 103
5.4.1 CERTsundCSIRTs . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 104
5.4.2 InformationSharingAnalysisCenters(ISACs) . . . . . . . . . . . . . . 105
5.4.3 InternetStormCenter(ISC) . . . . . . . . . . . . . . . . . . . . . . . . . 106
5.4.4 CarmentiS . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 106
5.4.5 Leurrecom.orgHoneynetProject . . . . . . . . . . . . . . . . . . . . . . 107
Inhaltsverzeichnis xi
5.4.6 mwcollectAlliance . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 108
5.4.7 SonstigeverwandteInitiativen . . . . . . . . . . . . . . . . . . . . . . . 108
5.4.8 Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 109
5.5 EmpirischeEvaluationdesBasiskonzepts . . . . . . . . . . . . . . . . . . . . . 110
6 AnforderungenundLo¨sungen 113
6.1 Ergebnisaufbereitung . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 113
6.1.1 Auswertungenfu¨rdieRisikobewertung. . . . . . . . . . . . . . . . . . 114
6.1.2 Selektionskriterien . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 116
6.1.3 ArtenderErgebnisdarstellung . . . . . . . . . . . . . . . . . . . . . . . 117
6.1.4 FormenderDatenbereitstellung . . . . . . . . . . . . . . . . . . . . . . 117
6.1.5 WeitereAuswertungsmo¨glichkeiten . . . . . . . . . . . . . . . . . . . . 120
6.1.6 Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123
6.2 VergleichbarkeitderVorfa¨lle. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 123
6.2.1 ProblemstellungundAnforderungen . . . . . . . . . . . . . . . . . . . 123
6.2.2 BestehendeKlassifikationskonzeptefu¨rSicherheitsvorfa¨lle. . . . . . . 127
6.2.3 TaxonomiezurVorfallsbeschreibung. . . . . . . . . . . . . . . . . . . . 140
6.2.4 ErfassungderScha¨den/Auswirkungen . . . . . . . . . . . . . . . . . . 143
6.2.5 ErfassungrelevanterOrganisationsparameteralsBezugsgro¨ßen. . . . 149
6.2.6 Fazitundmo¨glicheErweiterungen. . . . . . . . . . . . . . . . . . . . . 152
6.3 Sicherheit. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 154
6.3.1 Grundmodell . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 154
6.3.2 Erweiterung1–TeilnehmeralsAngreiferauftechnischerEbene. . . . 160
6.3.3 Erweiterung2–TeilnehmeralsAngreiferaufinhaltlicherEbene. . . . 162
6.3.4 Erweiterung3–MinimalesVertrauenindenPlattformbetreiber . . . . 170
6.3.5 Fazit . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 180
6.4 Fairness. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 181
6.4.1 FairnessundkooperativesVerhalten . . . . . . . . . . . . . . . . . . . . 182
6.4.2 Free-Riding-Problem . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 183
6.4.3 Truth-Telling-Problem . . . . . . . . . . . . . . . . . . . . . . . . . . . . 185
6.4.4 Ansa¨tzezurVerhinderungunfairenVerhaltens . . . . . . . . . . . . . . 188
6.4.5 BausteineeinesAnreizsystems . . . . . . . . . . . . . . . . . . . . . . . 192
6.5 Fazit. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 196
7 Prototyp 199
7.1 Zielsetzung. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 199
7.2 TechnischesKonzeptundSystemarchitektur . . . . . . . . . . . . . . . . . . . 200
7.3 UmsetzungderAnforderungenausKapitel6 . . . . . . . . . . . . . . . . . . . 203
7.3.1 AuswertungenundReports . . . . . . . . . . . . . . . . . . . . . . . . . 203
7.3.2 AbbildungderTaxonomie. . . . . . . . . . . . . . . . . . . . . . . . . . 204
7.3.3 Sicherheitskonzept . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 206
7.3.4 Anreizsystem . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 209
7.3.5 MinimierungdesAufwands . . . . . . . . . . . . . . . . . . . . . . . . 210
7.4 Ausgewa¨hlteFunktionalita¨tenderAnwendung . . . . . . . . . . . . . . . . . 211
7.5 IntegrationweitererDatenquellen . . . . . . . . . . . . . . . . . . . . . . . . . 212