Wenn Dienstleister in einer air-gapped OT-Umgebung ein Update installieren müssen, Patienten Ihre MRT-Bilder ins Krankenhaus mitbringen, Sicherheitsbehörden Beweise auf Datenträgern auswerten oder Geschäftspartner vertrauliche Dokumente austauschen wollen, passiert das auch in Zeiten von Cloud-Dateitransfer immer noch sehr häufig über mobile Datenträger. Gleichzeitig bringen mobile Speichergeräte jedoch das Risiko mit sich, dass dessen Besitzer unbewusst oder gar absichtlich Malware in kritische Unternehmensnetzwerke oder OT-Umgebungen einschleusen.
Dieser Beitrag erläutert, wie man das Risiko von „Malware zu Fuß“ bereits vor dem Betreten einer Infrastruktur durch den Einsatz einer Datenschleuse minimieren kann.
Mobile Speichergeräte auf Malware prüfen: herkömmliche Methoden sind aufwändig und riskant
Lösungen wie Data Loss Prevention (DLP) oder PortBlocker erlauben ausschließlich registrierte und freigegebene USB-Speichergeräte im internen Netzwerk. Insofern bietet sich ein gewisser Schutz durch den regulierten Einsatz geprüfter und freigegebener Speichergeräte. Eine weitere sinnvolle Maßnahme ist es, nur verschlüsselte mobile Speichergeräte wie USB-Sticks zuzulassen.
Beides schützt das Netzwerk aber zunächst nicht vor Malware. Denn noch komplizierter wird es, wenn ein externer Geschäftspartner oder Besucher ein mobiles Speichergerät mitbringt – wie etwa der Service-Techniker die Diagnosesoftware oder die neue Firmware für eine OT-Produktionsanlage auf seinem USB-Stick. Hier stößt DLP sehr schnell an ihre Grenzen, selbst wenn DLP am Client eine Antivirenlösung anbietet. Evasive- und Zero-Day-Malware wird ungehindert über das Endgerät ins Netzwerk übertragen.
Die Lösung: Datenschleuse als Quarantänestation
Eine Datenschleuse (auch Wechseldatenträgerschleuse genannt) ist genau dafür konzipiert, den Aufwand beim Prüfen mitgebrachter Datenträger möglichst gering zu halten und das Sicherheitsniveau zu erhöhen. Zudem vermeidet man damit fehleranfällige, riskante manuelle Prozesse, schließlich muss jeder mobile Datenträger vor dem Zutritt auf Malware überprüft werden.
Eine Datenschleuse ist eine isolierte Quarantänestation. Damit verhindert man, dass Malware bereits während Überprüfung ins dahinterliegende Netzwerksegment gelangen kann.
Fast alle Datenschleusen haben gemeinsam, dass der Scan mobiler Datenträger mit mehreren Antivirenlösungen erfolgt, um möglichst hohe Erkennungsraten zu erreichen. Erfolgt der Virenscan parallel, d. h. gleichzeitig spart das dem Gast oder Geschäftspartner wertvolle Zeit.
Eine Datenschleuse bietet einen sicheren Prozess, und schützt vor mitgebrachter Malware bereits vor dem Zutritt zum Netzwerkperimeter.
Deswegen werden Datenschleusen bei Sicherheitsbehörden, in kritischen Infrastrukturen und im OT-Umfeld immer häufiger eingesetzt. Sie ermöglichen eine gründliche Überprüfung mobiler Datenträger und stellen sicher, dass nur sichere Dateien in das Unternehmensnetzwerk gelangen.
Mobile Speichergeräte auf Malware prüfen: Die Vorteile und Funktionen von Datenschleusen
1. Fast alle Datenschleusen nutzen mehrere Antiviren-Engines verschiedener Hersteller.
Damit erhöht sich die Erkennungsrate und in der Folge der Schutz vor Schadsoftware. Bei der Datenschleuse MetaDefender Kiosk von OPSWAT beispielsweise, überprüft der Anti-Malware-Multiscanner MetaDefender Core die Dateien mit mindestens 8, bis über 30 Malware-Engines parallel bzw. gleichzeitig. So erreicht die OPSWAT-Lösung Erkennungsraten von mehr als 99 %.
Zudem spart die patentierte parallele Überprüfung mit mehreren AV-Engines Wartezeit, wie sie bei seriellen, nacheinander erfolgenden Scans entstehen würde. Wird Malware auf den Datenträgern erkannt, ist das für die nachgelagerte IT-Infrastruktur trotzdem unkritisch. Infizierte Dateien werden in Quarantäne genommen oder gelöscht.
2. Unkritische Dateien, und wie es mit ihnen weitergeht.
Zumeist geben Richtlinien den weiteren Workflow vor: Der gescannte Datenträger kann entweder direkt im Netzwerk genutzt werden.
Oder, da versteckte bösartige Funktionen auch in der Hardware selbst verbaut sein könnten, ist es gängige Praxis, alle unkritischen Dateien auf einen überprüften und registrierten Datenträger der Organisation zu kopieren.
In besonders sensiblen Infrastrukturen oder getrennten OT-Netzwerksegmenten erfolgt der Datentransfer über Weiterleitung und Ausführung ausschließlich in einem Datensafe. Das verhindert, dass die in den Datensafe kopierten Dateien die Netzwerk-Umgebung infizieren können.
3. Zero Day Malware schon vor dem jüngsten Tag ausschalten
Per Definition wird Zero Day Malware selbst von dutzenden Antiviren-Engines und deren Schwarmintelligenz nicht erkannt. Modular aufgebaute Datenschleusen wie z.B. der MetaDefender Kiosk von OPSWAT lassen sich um das Modul Datei-Desinfektion (Data Sanitization oder DeepCDR) ergänzen. Die Datei-Desinfektion verifiziert die Dateitypen des Speichergeräts eindeutig. Zudem löscht sie u.a. Makros oder potenziell gefährliche Hyperlinks in Dokumenten, und wandelt Risiko-anfällige Dateitypen in harmlose Dateitypen um.
Datei-Desinfektion entgegnet Zero Day mit Zero Trust: Jede Datei, in die sich auch nur ansatzweise Malware einbetten könnte, unterstellt Datei-Desinfektion, dass sie auch tatsächlich Schadcode enthält, deshalb eliminiert sie dieses Risiko.
FAZIT: Mobile Speichergeräte auf Malware prüfen: Hierfür sind Datenschleusen unverzichtbar, und gegenüber herkömmlichen Methoden deutlich effizienter.
Eine Datenschleuse überprüft mobile Datenträger gründlichst mit fortschrittlichen Scan-Methoden, und können auch sichere Datenübertragungsmethoden bereitstellen. Damit stellt man ein Höchstmaß an Schutz sicher, „zu Fuß“ können mit Datenschleusen nur Schadsoftware-freie Dateien in Netzwerke gelangen. Sie werden deshalb häufig bei Sicherheitsbehörden, in kritischen Infrastrukturen und im OT-Umfeld eingesetzt.
Die ProSoft-Experten beantworten gerne Ihre Fragen. Nehmen Sie unverbindlich Kontakt auf unter info@prosoft.de oder telefonisch unter +49 (0)8171 405-200, oder erfahren Sie mehr im Webcast.
Firma zum Thema
Fachartikel
KI vor Sicherheit: Alle Fortune-500-Konzerne setzen auf künstliche Intelligenz – Schutzmaßnahmen hinken hinterher
Gefahr aus dem Code: Hackergruppe Water Curse nutzt GitHub für Malware-Verbreitung
Jenseits der Checkliste: Warum Angreifer Ihre Fehlkonfigurationen lieben – und wie Sie sie stoppen können
Wie Sie eine Systemhärtung bestens in Ihr Windows 11 Rollout Projekt integrieren
Vom Aushängeschild zum Sicherheitsrisiko: Warum Ihre Website ein Angriffsziel ist
Studien
Studie: Mehrheit der Beschäftigten hält KI am Arbeitsplatz für überschätzt
NTT DATA-Studie: Mangelde Abstimmung im C-Level bei Einführung von GenAI
PwC-Studie: Künstliche Intelligenz vervielfacht Produktivität und steigert Gehälter deutlich
TÜV-Studie: Cyberangriffe auf 15 Prozent der Unternehmen – Phishing bleibt Hauptbedrohung
Rasante Verbreitung von GenAI bringt Chancen und Risiken – Bericht zeigt alarmierende Entwicklung im Jahr 2025
Whitepaper
BSI-leitet G7-Arbeitsgruppe: Gemeinsames Konzept für eine „SBOM for AI“ veröffentlicht
NIST stellt 19 Modelle für Zero-Trust-Architekturen vor
Wirtschaft fordert deutsche Cloud-Alternativen – Abhängigkeit von US-Anbietern wächst
Internationale Behörden warnen vor Play-Ransomware: Neue Angriffsmethoden entdeckt
