Strategie für effektive Unified-Communications-Sicherheit
UC-Systeme sind vielen Risiken ausgesetzt, etwa DoS-Angriffen. Um gewappnet zu sein, empfiehlt sich ein Unified-Communications-Sicherheitsplan. Wir zeigen, was er enthalten sollte.
Unified Communications (UC) hat sich in den letzten Jahren immer stärker etabliert. Aber der plötzliche Wechsel zu Remote Working in großem Maßstab hat UC zu einer der wichtigsten Anwendungssuiten für KMUs und Firmen weltweit gemacht. Da sich immer mehr Unternehmen auf UC verlassen, ist die Sicherheit zu einem wichtigen Thema geworden. In diesem Artikel sehen wir uns einige der Schlüsselelemente an, die Bestandteil jedes Unified-Communications-Sicherheitsplans mit einem On-Premises-Ansatz sein sollten.
Während sich viele Sicherheitsfragen bei intern verwalteten und UCaaS-Systemen (Unified Communications as a Service) überschneiden, unterscheiden sie sich bei der Sicherheit der Infrastruktur. Sie stellen die Infrastruktur bereit, wenn Sie das System verwalten. Dementsprechend müssen Sie auch für die Sicherheit sorgen.
Je nach den spezifischen Services, die Ihre UC-Implementierung umfasst, werden die Details variieren. Infolgedessen müssen Sie auf jeden Fall die für das Messaging und verwandte Funktionen genutzten Server schützen. Gleiches gilt für die Session Border Controller (SBC), die für Ihr VoIP-to-PSTN-Gateway verwendet werden.
Drei häufige UC-Sicherheitsprobleme
Theft of Service. Hacker missbrauchen UC-Systeme für betrügerische oder illegale Anrufe. Diese Art von Angriffen zu erkennen, kann schwierig sein – es sei denn, Ihr UC-System wird nutzungsbasiert abgerechnet.
Denial of Service (DoS). DoS-Angriffe zielen typischerweise auf VoIP-Systeme ab. Einige DoS-Attacken überfluten das VoIP-System mit Anfragen, um es lahmzulegen. Andere Angriffe wiederum bringen das System zum Absturz, indem sie die Anrufprotokolle stören.
Hacking Tools. Diese Tools können sowohl von außerhalb als auch innerhalb des Unternehmensnetzwerks verwendet werden, um ein UC-System zu kompromittieren.
Abbildung 1: Befassen Sie sich mit diesen potenziellen Bedrohungen, um die Sicherheit von UC-Systemen zu gewährleisten.
Vier Tipps für die UC-Sicherheit
Obwohl einige Sicherheitsstrategien auf der Hand liegen, können sie auch leicht übersehen werden. Vergessen Sie also nicht die Grundlagen.
Schränken Sie den physischen Zugang ein. Stellen Sie sicher, dass Unbefugte nicht in die Nähe Ihrer UC-Hardware gelangen können. Dieser Schritt wird bewusst und unbewusst herbeigeführte Probleme vermeiden.
Setzen Sie komplexe Systempasswörter ein. Einfache Passwörter oder Standardpasswörter erleichtern Ihren Systemadmins möglicherweise die Arbeit. Aber sie machen es auch Hackern und anderen einfacher, Probleme zu verursachen. Die meiste Netzwerkhardware wird mit Standardpasswörtern ausgeliefert, die sich ohne Probleme über eine Suche im Internet finden lassen. Ändern Sie diese deshalb unbedingt.
Stellen Sie Software-Updates und -Patches bereit, sobald sie veröffentlicht werden. Viele Systemadministratoren sind froh, ein gut funktionierendes System in Ruhe zu lassen zu können, gemäß dem Motto: Never touch a running system. Leider kann diese Philosophie ein falsches Gefühl von Sicherheit vermitteln. Ihr System scheint einwandfrei zu laufen, obwohl es Schwachstellen gibt, die Sie vor große Probleme stellen können. Daher ist es wichtig, Software- und Firmware-Updates aktuell zu halten.
Schützen Sie sich vor DoS-Angriffen. DoS-Attacken sind seit Jahren ein relativ einfacher Weg für Angreifer, die Betriebssicherheit von Systemen zu gefährden. Um sich vor diesen Angriffen zu schützen, sollten Sie sicherstellen, dass Next-Generation Firewalls (NGFW) so konfiguriert sind, dass sie Overload-Angriffe auf die für UC verwendeten IP-Ports erkennen und abwehren. Darüber hinaus verfügen einige VoIP-SBCs mittlerweile über eine integrierte DoS-Erkennung, um eine weitere Schutzebene zu bieten, die über die NGFW hinausgeht.
Wie Sie einen lückenlosen UC-Sicherheitsplan entwickeln
Das UC-System setzt sich aus mehreren miteinander verbundenen Anwendungen zusammen. Diese basieren auf einem Kern von Chat-, Dateitransfer- und Dateispeicher- sowie Sprach- und Videofunktionen. Der Erfolg von UC hängt von der Benutzerfreundlichkeit ab. Allerdings steht das Hinzufügen von Sicherheitsschichten für Unified Communications diesem Ziel entgegen.
Die Sicherheitsprobleme, mit denen Zoom Anfang 2020 konfrontiert war, veranschaulichen diesen Punkt. Die Benutzerfreundlichkeit ist eines der Hauptverkaufsargumente des Anbieters. Session-IDs waren zum Beispiel nicht übermäßig lang und erforderten auch keine Passwörter. Die Teilnehmercodes hingegen waren einstellig, was es Unbefugten leicht machte, sich in die Videokonferenzen der Benutzer zu hacken. Als Reaktion darauf nahm Zoom einige einfache, aber wirksame Änderungen vor, die die Sicherheit drastisch verbesserten, während die Plattform weiterhin einfach zu bedienen ist.
Der beste Weg ist, Ihr UC-System richtig zu konfigurieren, um ein Gleichgewicht zwischen Sicherheit und Benutzerfreundlichkeit herzustellen. Im Mittelpunkt Ihres UC-Sicherheitsplans sollte die Auswahl derjenigen Sicherheitsoptionen stehen, die den besten Schutz bieten, ohne dass dadurch die UC-Benutzererfahrung zu sehr leidet.
Der beste Ansatzpunkt sind die Benutzeridentifizierung und Passwörter. Starke Passwörter vorzuschreiben, ist eine gute Maßnahme, kann aber von einigen Nutzern als lästig empfunden werden. Ein achtstelliges Passwort – bestehend aus Groß- und Kleinbuchstaben, einer Zahl und einem Sonderzeichen – ist wohl noch praktikabel. Security-Experten empfehlen möglicherweise die Verwendung von 16 Zeichen in diesem Format, um auf Nummer sicher zu gehen, aber die Anwender könnten sich dagegen sträuben.
Multifaktor-Authentifizierung (MFA) ist ein weiteres Hilfsmittel. Aber auch hier könnte es einige Nutzer geben, die es ablehnen, bei jeder Anmeldung zum Telefon greifen oder eine E-Mail mit dem einmaligen Authentifizierungscode abrufen zu müssen.
Überlegen Sie, was Sie benötigen, damit UC für Sie funktioniert
Berücksichtigen Sie, welches Mindestmaß an Unified-Communications-Sicherheit Sie für Audio- und Videokonferenzen akzeptieren. Außerdem sollten Sie prüfen, wie viel Spielraum Sie den Anwendern einräumen wollen, um die Sicherheitsmaßnahmen für Konferenzen anzupassen.
Von jedem Anwender für jede Konferenz Passwörter zu verlangen, erhöht zwar die Sicherheit, beeinträchtigt aber die Benutzererfahrung (UX). Bei einigen Systemen können Sie Passwörter als Standardoption festlegen, aber auch dem Benutzer, der die Konferenz einrichtet, die Möglichkeit geben, diese Vorgabe wieder außer Kraft zu setzen.
Wenn Ihr UC-System Ihnen Optionen bietet, um die Konferenz-IDs und Teilnehmercodes länger oder zufälliger zu gestalten, ist eine gute Möglichkeit, die Sie nutzen sollten. Diese Schutzmaßnahme trägt dazu bei, dass sich Unbefugte nicht in Konferenzen hineinmogeln können, und beeinträchtigt berechtigte Nutzer nicht übermäßig.
Die übersehenen Außenstehenden
Eine wichtige Komponente und ein Vorteil von UC ist die Erweiterung der Collaboration-Umgebung über die Mitarbeiter des Unternehmens hinaus. Außenstehenden zu erlauben, sich in Ihre UC-Umgebung einzuloggen, ist eine Kernfunktion. Doch diese Zugangsmöglichkeit stellt ein großes Problem bei der Unified-Communications-Sicherheit dar.
Per Definition sind externe Teilnehmer Ihrer UC-Umgebung BYOD-Nutzer. Deshalb lässt sich nicht vorschreiben, welche Geräte verwendet oder welche Sicherheitsvorkehrungen für diese Geräte getroffen werden müssen. Zwar verfügen einige UC-Systeme über die Möglichkeit, BYOD-Geräten, die die internen Sicherheitsanforderungen nicht erfüllen, den Zugriff zu verweigern. Doch hierbei handelt es sich um keine übliche Funktion.
Die wahre Bedrohung entsteht, wenn Außenstehende zu Gruppen- oder Teamdiskussionen hinzugefügt werden. Diese Threads können Themen enthalten, die vertraulich sind, oder Datei-Postings mit sensiblem Material. Mitarbeiter, die das System nutzen, sind sich vielleicht nicht einmal bewusst, dass Außenstehende diese Informationen einsehen und möglicherweise sensible und/oder vertrauliche Unternehmensdaten herunterladen und exfiltrieren können.
Schlimmer noch: Nachdem das Projekt abgeschlossen ist, haben Außenstehende oft immer noch Zugriff. Ein Team- oder Gruppenforum könnte für ein neues Projekt wiederverwendet werden, so dass Externe nun womöglich zu stillen Zuschauern bei Projekten werden, an denen sie gar nicht beteiligt sind.
Es ist wichtig, UC-Gruppen und -Diskussionen in regelmäßigen Abständen zu überprüfen. Veraltete Diskussionen sollten Sie archivieren und löschen. Außenstehende, die eine Berechtigung für ein bestimmtes, inzwischen beendetes Projekt hatten, sollten deaktiviert und aus dem System entfernt werden. Dies erhöht die Sicherheit von Unified Communications erheblich, da eine einfache und offensichtliche Hintertür – oder vielleicht sogar eine Vordertür – in das UC-System entfernt wird.
Was für einen Immobilienmakler der Standort ist, sind für einen Security-Manager die Schichten. Je mehr Sicherheits-schichten, desto schwieriger ist es für einen Hacker, erfolgreich zu sein.
Was für einen Immobilienmakler der Standort ist, sind für einen Security-Manager die Schichten. Je mehr Sicherheitsschichten, desto schwieriger ist es für einen Hacker, erfolgreich zu sein.
UC-Sicherheitsplan: Kosten
Zum Glück sind in den meisten UC-Systemen gleich mehrere Sicherheitsschichten integriert. Eine starke Sicherheit zu gewährleisten, erfordert nicht viele zusätzliche Kosten – Sie müssen lediglich sicherstellen, dass Sie eine NGFW auf Ihrem Perimeter installiert haben.
Der wahrscheinlich größte Kostenfaktor ist Zeit. Planen Sie die Zeit ein, um Ihr UC-System zu untersuchen und die entsprechenden Sicherheitsparameter zu konfigurieren. Achten Sie darauf, Sicherheits-Patches zu installieren, sobald sie veröffentlicht werden, und überwachen Sie die Protokolle. Schließlich empfiehlt es sich noch, die Effektivität Ihres Sicherheitsplans regelmäßig zu überprüfen und ihn bei Bedarf anzupassen.
