Die Sicherheit virtueller privater Netzwerke (VPNs) ist seit jeher wichtig, angesichts der aktuellen COVID-19-Pandemie jedoch nun unverzichtbar. Die Arbeit im Homeoffice ist rasch zur neuen Normalität geworden, und entsprechend ist die Nachfrage nach VPN-Funktionen sprunghaft gestiegen. Leider – wenn auch wenig überraschend – haben zugleich auch die Angriffe auf VPNs stark zugenommen. Um den Ernst der Lage zu unterstreichen, veröffentlichte die Cybersecurity and Infrastructure Security Agency (CISA) des US-Heimatschutzministeriums im März die Warnmeldung AA20-073A zur Sicherheit von Unternehmens-VPNs.
Im Wesentlichen erweitern VPNs den Netzwerkperimeter eines Unternehmens und ermöglichen Benutzern, von überall auf Unternehmensanwendungen zuzugreifen. Die lokale Infrastruktur ist damit praktisch nur noch „einen Sprung“ (oder einen Klick) vom Endgerät des Benutzers entfernt. Ebenso ist auch das Sicherheitsrisiko für Unternehmensressourcen nur noch einen Sprung entfernt. Angreifer müssen unter Umständen keine komplexen Schichten der Perimetersicherheit (Proxys, WAF, Angriffserkennung usw.) mehr überwinden; bereits eine einzige Schwachstelle oder eine unsichere Implementierung eines VPN kann Unternehmensressourcen und personenbezogene Daten offenlegen.
In diesem Artikel konzentrieren wir uns auf einige der wichtigsten Bereiche, die für die Bewertung der Sicherheit Ihres VPNs entscheidend sind.
Sicherheitsstatus des Endgeräts
Benutzer initiieren einen SSL-VPN-Tunnel in der Regel von ihren Endgeräten aus, beispielsweise von Desktop-Computern, Laptops und Mobilgeräten. Diese Endgeräte dienen sowohl als Zugangspunkte als auch als bevorzugte Ziele für Angreifer, die versuchen, sie als Angriffsvektoren zu nutzen. Daher ist es wichtig, vor dem Aufbau eines VPN-Tunnels stets sicherzustellen, dass das Endgerät sicher ist. Endgerätesicherheit ist ein strategischer Ansatz, mit dem sichergestellt wird, dass ein Clientgerät kein Sicherheitsrisiko darstellt, bevor ihm eine Remotezugriffsverbindung zum Netzwerk gewährt wird. Eine solche Strategie kann beispielsweise die systematische Überprüfung des Zertifikats des Clientcomputers, des Clienttyps und/oder der Version des Clientbrowsers, die Überprüfung des Patchstands der Anti-Spyware- und Antivirensoftware sowie die Kontrolle der Firewallregeln des Clients umfassen.
Die Bewertung des Sicherheitsstatus von Endgeräten erfolgt in der Regel zu Beginn der Sitzung, bevor ein VPN-Tunnel aufgebaut wird. Sie kann jedoch auch regelmäßig während der VPN-Sitzung des Benutzers durchgeführt werden. Durch die kontinuierliche Bewertung des Sicherheitsstatus von Endgeräten werden spätere Risiken reduziert, indem überprüft wird, ob die Endgeräte nach dem erstmaligen Aufbau des VPN-Tunnels kompromittiert wurden.
Benutzerauthentifizierung und -autorisierung
Bei der Authentifizierung wird die Identität der Benutzer überprüft, bevor ein VPN-Tunnel aufgebaut wird. Durch die Überprüfung der Anmeldedaten von Remote-Mitarbeitern wird sichergestellt, dass nur berechtigte Benutzer Zugriff auf interne Ressourcen und Anwendungen erhalten.
Angesichts der zunehmenden Verbreitung von Credential Stuffing und Methoden zur Kontoübernahme (Account Takeover, ATO) könnte ein Angreifer jedoch durchaus im Besitz gültiger Benutzeranmeldedaten sein und die Ein-Faktor-Authentifizierung umgehen. Daher ist es unerlässlich, eine Multi-Faktor-Authentifizierung für Ihr VPN zu implementieren.
Multi-Faktor-Authentifizierung (MFA)
MFA erhöht die Sicherheit, indem Benutzer vor dem Aufbau eines VPN-Tunnels zwei oder mehr überprüfbare Authentifizierungsfaktoren angeben müssen. Branchenschätzungen zufolge kann MFA mit diesem Ansatz 99,9 % aller Angriffe zur Kontoübernahme (Account Takeover, ATO) abwehren. Zu den gängigen Authentifizierungsfaktoren gehören:
- Etwas, das der Benutzer weiß, wie etwa ein Passwort, eine PIN oder eine Touchpad-Geste
- Etwas, das der Benutzer besitzt, wie etwa ein physisches oder softwarebasiertes Token oder ein Zertifikat
- Etwas, das der Benutzer ist, also ein biometrisches Merkmal wie ein Fingerabdruck, ein Netzhautscan oder eine Gesichts- bzw. Spracherkennung
Nachdem ein Benutzer authentifiziert wurde, werten Autorisierungsrichtlinien dessen Berechtigungen aus, um gezielten Zugriff auf interne Ressourcen und Anwendungen zu gewähren und entsprechende Einschränkungen durchzusetzen. Der Zugriff wird anhand verschiedener Berechtigungsmodelle gewährt, beispielsweise der rollenbasierten Zugriffskontrolle (Role-Based Access Control, RBAC). Bestimmte Berechtigungen und Einstellungen für VPN-Benutzer können durch zusätzliche Sicherheitskontrollen wie ACLs beim Aufbau des VPN-Tunnels durchgesetzt werden.
Vertraulichkeit und Integrität von Daten
Die Verschlüsselung gewährleistet die Vertraulichkeit und Integrität der Daten, während Unternehmensdaten über gemeinsam genutzte oder öffentliche Netzwerke durch den VPN-Tunnel übertragen werden.
Um vertrauliche Daten offenzulegen, können böswillige Akteure versuchen, private Schlüssel zu stehlen, bekannte Schwachstellen in der Implementierung kryptografischer Verfahren auszunutzen oder schwache kryptografische Parameter zu knacken.
Bei der Konfiguration eines SSL-VPN sollten Sie die Verwaltung des Schlüsselaustauschs und die Stärke der kryptografischen Verschlüsselungsverfahren berücksichtigen. Versionen vor TLS1.3 weisen bekannte Schwachstellen in der Protokolldefinition und deren Implementierung auf. Weitere Angriffsmöglichkeiten umfassen den Missbrauch der erneuten Aushandlung durch den Client sowie die Verwendung schwacher kryptografischer Primitive wie der RC4-Stromchiffre und Verschlüsselungsverfahren mit Export-Schlüssellänge.
DDoS-Angriffe auf VPNs
Wenn die meisten oder alle Ihre Mitarbeiter im Homeoffice arbeiten, ist die Verfügbarkeit Ihres VPN-Servers (manchmal auch als VPN-Konzentrator bezeichnet) für die Aufrechterhaltung des Geschäftsbetriebs von entscheidender Bedeutung. Gleichzeitig können VPN-Server ein bevorzugtes Ziel für böswillige Akteure sein, die versuchen, Ihre VPN-Server mit einer Vielzahl zufälliger, verteilter und automatisierter Anfragen zu überlasten und das VPN dadurch für legitime Benutzer unzugänglich zu machen.
SSL-VPNs sind über eine IP-Adresse/URL erreichbar (im Webbrowser oder in einem VPN-Client konfiguriert) und daher anfällig für dieselben DDoS-Angriffsmuster, die auf Webserver abzielen, wie etwa HTTP-Floods, SSL-Floods, SSL-Neuaushandlungen, TCP-Blend-Angriffe und Ähnliches.
Um die Geschäftskontinuität über Ihr VPN sicherzustellen, kann es daher unerlässlich sein, Ihr VPN im Rahmen Ihrer umfassenderen Sicherheitsstrategie so zu konfigurieren, dass es DDoS-Angriffe erkennt und abwehrt.
Weitere Ressourcen:
Über die Autoren
Ähnliche Blogbeiträge
F5 und Equinix bündeln ihre Kräfte, um die sichere Anwendungsbereitstellung in Multicloud-Umgebungen zu vereinfachen
F5 und Equinix ermöglichen es Unternehmen, sich weltweit sicher und zuverlässig mit ihren Partnern zu vernetzen.
API-Sicherheitsrisiken und -herausforderungen
Erfahren Sie, warum APIs für die moderne App-Entwicklung unverzichtbar sind und wie Sie sie vor den häufigsten Sicherheitslücken schützen. Profitieren Sie von Expertentipps und direkt umsetzbaren Strategien.
Ein Meilenstein für die Community Impact Grants von F5
F5 feiert das fünfjährige Bestehen seines innovativen Community Impact Grant-Programms, das gemeinnützige Organisationen, bei denen sich F5-Mitarbeitende ehrenamtlich engagieren, mit Fördermitteln in Höhe von 5.000 US-Dollar unterstützt.
Mit moderner, anpassungsfähiger und sicherer Gesundheits-IT Leben retten
Die IT-Investitionen im Gesundheitswesen tragen dazu bei, die schnellsten Wege zu einer besseren Versorgung zu finden, indem sie die medizinische Betreuung näher an die Patientinnen und Patienten bringen. Viele Gesundheitsunternehmen nutzen riesige Mengen an klinischen und anderen Gesundheitsdaten, um Entwicklungen zu verfolgen und übergreifende Trends in der gesamten Gesundheitslandschaft zu erkennen. Gleichzeitig nähern sie sich einer möglichst präzisen, individuell zugeschnittenen Versorgung an.
Verbesserung der Benutzer- und Administrationserfahrung durch sicheren hybriden Zugriff
Diese Kombination aus BIG-IP Access Policy Manager und Azure Active Directory ermöglicht Identitätsföderation, zentralisierten Benutzerzugriff (über Single Sign-on) und erhöhte Anwendungssicherheit (durch Multi-Faktor-Authentifizierung) für geschäftskritische Anwendungen sowie cloudbasierte und SaaS-Anwendungen. Dieser Ansatz vereinfacht die Einrichtung und Bereitstellung, reduziert den Verwaltungsaufwand und verbessert die gesamte Administration.
Das Internet der Sicherheitsdinge
Nein, das ist keine Tirade über die Sicherheit des IoT. Es ist eine Geschichte über Veränderung – genauer gesagt über Veränderung und ihre Auswirkungen auf die Sicherheit. Veränderung ist allgegenwärtig. Es gibt unzählige Axiome und Sprichwörter über Veränderung, also ist es ...