Wenn Dienstleister in einer air-gapped OT-Umgebung ein Update installieren müssen, Patienten Ihre MRT-Bilder ins Krankenhaus mitbringen, Sicherheitsbehörden Beweise auf Datenträgern auswerten oder Geschäftspartner vertrauliche Dokumente austauschen wollen, passiert das auch in Zeiten von Cloud-Dateitransfer immer noch sehr häufig über mobile Datenträger. Gleichzeitig bringen mobile Speichergeräte jedoch das Risiko mit sich, dass dessen Besitzer unbewusst oder gar absichtlich Malware in kritische Unternehmensnetzwerke oder OT-Umgebungen einschleusen.
Dieser Beitrag erläutert, wie man das Risiko von „Malware zu Fuß“ bereits vor dem Betreten einer Infrastruktur durch den Einsatz einer Datenschleuse minimieren kann.
Mobile Speichergeräte auf Malware prüfen: herkömmliche Methoden sind aufwändig und riskant
Lösungen wie Data Loss Prevention (DLP) oder PortBlocker erlauben ausschließlich registrierte und freigegebene USB-Speichergeräte im internen Netzwerk. Insofern bietet sich ein gewisser Schutz durch den regulierten Einsatz geprüfter und freigegebener Speichergeräte. Eine weitere sinnvolle Maßnahme ist es, nur verschlüsselte mobile Speichergeräte wie USB-Sticks zuzulassen.
Beides schützt das Netzwerk aber zunächst nicht vor Malware. Denn noch komplizierter wird es, wenn ein externer Geschäftspartner oder Besucher ein mobiles Speichergerät mitbringt – wie etwa der Service-Techniker die Diagnosesoftware oder die neue Firmware für eine OT-Produktionsanlage auf seinem USB-Stick. Hier stößt DLP sehr schnell an ihre Grenzen, selbst wenn DLP am Client eine Antivirenlösung anbietet. Evasive- und Zero-Day-Malware wird ungehindert über das Endgerät ins Netzwerk übertragen.
Die Lösung: Datenschleuse als Quarantänestation
Eine Datenschleuse (auch Wechseldatenträgerschleuse genannt) ist genau dafür konzipiert, den Aufwand beim Prüfen mitgebrachter Datenträger möglichst gering zu halten und das Sicherheitsniveau zu erhöhen. Zudem vermeidet man damit fehleranfällige, riskante manuelle Prozesse, schließlich muss jeder mobile Datenträger vor dem Zutritt auf Malware überprüft werden.
Eine Datenschleuse ist eine isolierte Quarantänestation. Damit verhindert man, dass Malware bereits während Überprüfung ins dahinterliegende Netzwerksegment gelangen kann.
Fast alle Datenschleusen haben gemeinsam, dass der Scan mobiler Datenträger mit mehreren Antivirenlösungen erfolgt, um möglichst hohe Erkennungsraten zu erreichen. Erfolgt der Virenscan parallel, d. h. gleichzeitig spart das dem Gast oder Geschäftspartner wertvolle Zeit.
Eine Datenschleuse bietet einen sicheren Prozess, und schützt vor mitgebrachter Malware bereits vor dem Zutritt zum Netzwerkperimeter.
Deswegen werden Datenschleusen bei Sicherheitsbehörden, in kritischen Infrastrukturen und im OT-Umfeld immer häufiger eingesetzt. Sie ermöglichen eine gründliche Überprüfung mobiler Datenträger und stellen sicher, dass nur sichere Dateien in das Unternehmensnetzwerk gelangen.
Mobile Speichergeräte auf Malware prüfen: Die Vorteile und Funktionen von Datenschleusen
1. Fast alle Datenschleusen nutzen mehrere Antiviren-Engines verschiedener Hersteller.
Damit erhöht sich die Erkennungsrate und in der Folge der Schutz vor Schadsoftware. Bei der Datenschleuse MetaDefender Kiosk von OPSWAT beispielsweise, überprüft der Anti-Malware-Multiscanner MetaDefender Core die Dateien mit mindestens 8, bis über 30 Malware-Engines parallel bzw. gleichzeitig. So erreicht die OPSWAT-Lösung Erkennungsraten von mehr als 99 %.
Zudem spart die patentierte parallele Überprüfung mit mehreren AV-Engines Wartezeit, wie sie bei seriellen, nacheinander erfolgenden Scans entstehen würde. Wird Malware auf den Datenträgern erkannt, ist das für die nachgelagerte IT-Infrastruktur trotzdem unkritisch. Infizierte Dateien werden in Quarantäne genommen oder gelöscht.
2. Unkritische Dateien, und wie es mit ihnen weitergeht.
Zumeist geben Richtlinien den weiteren Workflow vor: Der gescannte Datenträger kann entweder direkt im Netzwerk genutzt werden.
Oder, da versteckte bösartige Funktionen auch in der Hardware selbst verbaut sein könnten, ist es gängige Praxis, alle unkritischen Dateien auf einen überprüften und registrierten Datenträger der Organisation zu kopieren.
In besonders sensiblen Infrastrukturen oder getrennten OT-Netzwerksegmenten erfolgt der Datentransfer über Weiterleitung und Ausführung ausschließlich in einem Datensafe. Das verhindert, dass die in den Datensafe kopierten Dateien die Netzwerk-Umgebung infizieren können.
3. Zero Day Malware schon vor dem jüngsten Tag ausschalten
Per Definition wird Zero Day Malware selbst von dutzenden Antiviren-Engines und deren Schwarmintelligenz nicht erkannt. Modular aufgebaute Datenschleusen wie z.B. der MetaDefender Kiosk von OPSWAT lassen sich um das Modul Datei-Desinfektion (Data Sanitization oder DeepCDR) ergänzen. Die Datei-Desinfektion verifiziert die Dateitypen des Speichergeräts eindeutig. Zudem löscht sie u.a. Makros oder potenziell gefährliche Hyperlinks in Dokumenten, und wandelt Risiko-anfällige Dateitypen in harmlose Dateitypen um.
Datei-Desinfektion entgegnet Zero Day mit Zero Trust: Jede Datei, in die sich auch nur ansatzweise Malware einbetten könnte, unterstellt Datei-Desinfektion, dass sie auch tatsächlich Schadcode enthält, deshalb eliminiert sie dieses Risiko.
FAZIT: Mobile Speichergeräte auf Malware prüfen: Hierfür sind Datenschleusen unverzichtbar, und gegenüber herkömmlichen Methoden deutlich effizienter.
Eine Datenschleuse überprüft mobile Datenträger gründlichst mit fortschrittlichen Scan-Methoden, und können auch sichere Datenübertragungsmethoden bereitstellen. Damit stellt man ein Höchstmaß an Schutz sicher, „zu Fuß“ können mit Datenschleusen nur Schadsoftware-freie Dateien in Netzwerke gelangen. Sie werden deshalb häufig bei Sicherheitsbehörden, in kritischen Infrastrukturen und im OT-Umfeld eingesetzt.
Die ProSoft-Experten beantworten gerne Ihre Fragen. Nehmen Sie unverbindlich Kontakt auf unter info@prosoft.de oder telefonisch unter +49 (0)8171 405-200, oder erfahren Sie mehr im Webcast.
Firma zum Thema
Fachartikel
Warum ist Data Security Posture Management (DSPM) entscheidend?
CVE-2024-47176 – Linux-Privilegienerweiterung über CUPS-Schwachstelle
Was die PCLOB-Entlassungen für das EU-US-Datenschutzabkommen bedeuten
Sicher und besser fahren: Was NIS2 für Internetknoten und ihre Kunden bedeutet
2,3 Millionen Organisationen setzen auf DMARC-Compliance
Studien
Gartner-Umfrage: Nur 14% der Sicherheitsverantwortlichen können Datensicherheit und Geschäftsziele erfolgreich vereinen
Zunehmende Angriffskomplexität
Aufruf zum Handeln: Dringender Plan für den Übergang zur Post-Quanten-Kryptographie erforderlich
IBM-Studie: Gen-KI wird die finanzielle Leistung von Banken im Jahr 2025 steigern
Smartphones – neue Studie zeigt: Phishing auch hier Sicherheitsrisiko Nr. 1
Whitepaper
Sysdig Usage Report zeigt: 40.000-mal mehr maschinelle als menschliche Identitäten – eine Herausforderung für die Unternehmenssicherheit
eBook: Cybersicherheit für SAP
Global Threat Report 2025: Chinesische Cyberspionage-Aktivitäten nehmen um 150 % zu, wobei die Taktiken immer aggressiver werden und zunehmend KI zur Täuschung eingesetzt wird
Die 5 Stufen von CTEM – Ihr Leitfaden zur Umsetzung
