Ein sicheres Setup für Berater-Notebooks

Berater verwenden ihre Notebooks natürlich auch zum Surfen, für private Mails, Foto- und Videobearbeitung etc. Daneben liegen aber häufig wichtige und vertrauliche Kundendokumente auf den Geräten. Diese gilt es vertraulich zu halten. Der Ausfall des Geräts bedeutet wirtschaftlichen Schaden für zumindest den Kunden aber auch für das Beratungshaus, da ja zumindest eine Verzögerung auftritt. Gehen beim Ausfall auch Dokumente verloren steigt der Schaden.

Somit ergeben sich wichtige Punkte, die beim Setup berücksichtigt werden müssen:

  • Sicherung der gespeicherten Daten gegen unbefugten Zugriff (auch beim Verlust des Notebooks)
  • Sicherung der Arbeitsversionen von Dokumenten
  • Sicherung der Einstellungen (z.B. Zugangsdaten zu div. Kundenservern)
  • Schnelle Wiederherstellung der Arbeitsfähigkeit

Strategien

Keine Strategie

Leider sehr verbreitet, da auf den ersten Blick kostengünstig. Notebooks werden angeschafft, gerne Dell oder ähnliche Geräte mit vorinstalliertem Betriebssystem. Ein vorkonfiguriertes Software-Paket (MS Office Standard, der VPN-Client, Sicherungssoftware, evtl. noch weitere Standardsoftware) wird installiert. Vielleicht noch ein paar Domänen-Policies, die über das roaming Profile geladen werden (z.B. USB-Laufwerke werden verboten).  1-2 Stunden braucht die IT für das Setup, dann ist das Gerät bereit zur Auslieferung.

Vorteile

  • Kostengünstig
  • Schnell
  • Praktisch unendlich skalierbar
  • Ausfall einer Einheit betrifft nur eine Ressource

Nachteile

  • Bei Verlust des Geräts sind die Daten auf der Festplatte von jedem Laien auslesbar (man muss kein Hacker sein um Windows-Passwörter zu umgehen!)
  • Wenn keine Sicherung durchgeführt wurde (z.B. weil der Berater beim Kunden im lokalen Netz arbeitet) ist mit Datenverlust im Falle von Funktionsstörungen zu rechnen
  • Im Desaster-Fall braucht es mindestens 1-2 Tage, bis der neue Computer (und der Berater) wieder 100% einsatzfähig sind, selbst wenn keine Daten verloren gegangen sind

Lösung via Desktop-Virtualisierung 

Desktop Virutalisierung bedeutet, dass das eigentliche Endgerät nur als „Terminal“ verwendet wird. Die eigentliche Software läuft auf zumeist ausreichend dimensionierten Servern in einem Datacenter. Zwischen dem (sofort austauschbaren) Endgerät und dem Server gibt es eine VPN-Verbindung oder die Datenübertragung ist zumindest über SSL verschlüsselt.

Vorteile

  • Sämtliche Daten liegen ausschließlich in den Datacenters des Unternehmens.
  • Passwörter (mit Ausnahme des User-Accounts) liegen in den zentralen User-Profilen.
  • Sensible Daten verlassen zu keinem Zeitpunkt das Unternehmen.
  • Der Zugang zu eventuellen Kunden-VPNs kann zentral erfolgen.
  • Die Datensicherung – auch von Arbeitsständen kann zentral erfolgen.
  • Bei Ausfall eines Endgeräts ist der Mitarbeiter innerhalb kürzester Zeit wieder voll aktionsfähig (wenn ein Tauschgerät bereit liegt innerhalb weniger Minuten).

Nachteile

  • Die Hardware des Datacenters ist anspruchsvoller als Einzelgeräte, dennoch werden die einzelnen Endgeräte benötigt – also erhöhte Kosten gegenüber anderen Lösungen
  • Für den Mitarbeiter ist eine permanente Internet-Verbindung notwendig.
  • Fällt das Datacenter aus steht der komplette Betrieb aller Consultants, Entwickler, etc.
  • Viren, Würmer, Malware, Trojaner, uvm könnten das Datacenter befallen und somit das gesamte Unternehmen befallen.
  • Zentral gespeicherte Daten aller Kunden und Projekte des Beratungsunternehmens sind ein lohnendes Ziel für Hacker.

Lösung mit virtueller Maschine am Endgerät

Eine Virtuelle Maschine läuft nicht direkt auf der Hardware (in diesem Fall das Notebook). Zwischen der Hardware und der virtuellen Maschine hängt ein Stück Software, das die Verbindung zwischen der echten Hardware und dem Betriebssystem (z.B. Windows) herstellt. Ohne VM greift Windows mittels sogenannter Treiber direkt auf die Hardware zu. Mit VM greift Windows auf die VM-Treiber zu, diese übersetzen die Befehle und leiten sie an die eigentliche Hardware weiter. Auf welchem Betriebssystem die VM läuft ist für das innere Windows unerheblich.

VM_with_and_without_VMDer Vorteil in der zusätzlichen Ebene ist, dass die darunterliegende Hardware von der VM-Software bedient wird. Das innere Windows weiß von der eigentlichen Hardware nichts sondern „spricht“ immer nur mit der virtuellen Maschine. Die virtuelle Maschine kann heute auf einem Notebook, morgen auf einem Stand-PC und übermorgen auf einem Linux-Server liegen.

In der Praxis wird man das Image nicht so häufig kopieren sondern nur, wenn ein Rechnerwechsel ansteht. Die Datensicherung z.B. auf eine verschlüsselte USB-Festplatte läuft in wenigen Minuten. Sämtliche Dokumente und Einstellungen sind zentral im Image abgelegt – das Image wird bei Bedarf auf einen neuen Rechner kopiert und ist sofort einsetzbar.

Die Sicherheitsthematik ist hier aber nach wie vor offen. Wenn sich ein Unbefugter Zugang zu dem Notebook verschafft kann er den Windows-User umgehen, das VM-Image mounten und hat Zugriff zu unseren Daten und Einstellungen.

Um das zu umgehen empfielt sich, die Daten auf dem äusseren Gerät in einen verschlüsselten Container zu legen. Dafür bietet sich  Truecrypt an. Sind die Daten erstmal  in einem Truecrypt-Container sind sie (abhängig vom Passwort natürlich) nicht zu knacken, auch wenn das Notebook verloren geht.

VM_with_VM_And_Truecrypt

Die regelmäßige Datensicherung ist natürlich auch hier unerlässlich. Dropbox, Google Drive, Livedrive und viele anderen Cloud-Services bieten zu geringe Sicherheit für sensible Daten. Der Versand der Dokumente erfolgt zwar meist (zumindest einstellbar) verschlüsselt, die Daten werden auf der Empfängerseite aber teilweise unverschlüsselt oder mit zentralem Schlüssel abgelegt. Unzuverlässige Mitarbeiter, Hackerangriffe oder je nach Land unterschiedlich gehandhabte Anfragen staatlicher Institutionen können dazu führen, dass Daten in falsche Hände gelangen.

Wuala ist eine sichere Alternative. Neben dem Standort in der Schweiz (kein Patriot-Act) bietet das Service clientseitige Verschlüsselung. Die Daten werden also VOR dem Versand verschlüsselt.

…the Cryptree is the first cryptographic data structure that combines the latest research in the area of general cryptographic key hierarchies and in the area of access control in file systems. The result is a key management scheme that is more efficient than those proposed in the context of file systems.

 

Auf dem Endgerät liegen die Daten in diesem Konzept im Truecrypt-Container ebenfalls verschlüsselt vor. Wenn die Passwörter für Wuala und Truecrypt noch mittels z.B. Keepass mit Passphrase auf USB-Stick und Passwort gesichert sind sind ist das Notebook fast schon ein kleiner Safe.

Vorteile

  • Verantwortungsbewusster Umgang mit Passwörtern vorausgesetzt eine relativ sichere Lösung.
  • Datensicherung erfolgt automatisch im Hintergrund (Voraussetzung: Internet-Verbindung)
  • Weitgehend unabhängig von der Hardware- und Host-Betriebssystem (hängt von der verwendeten virtuellen Maschine ab)
  • Umstieg auf ein neues Gerät in max. 2 Stunden möglich

Nachteile

  • Relativ hoher Aufwand für das erste Setup
  • Performance der Endgeräte wird nie optimal genützt (da der VM-Controller nie so performant sein kann wie direkte Hardwarekommunikation)
  • Erfordert problembewusste Anwender

 

 

Advertisements
Dieser Beitrag wurde unter Allgemein abgelegt und mit , , , , verschlagwortet. Setze ein Lesezeichen auf den Permalink.

Kommentar verfassen

Trage deine Daten unten ein oder klicke ein Icon um dich einzuloggen:

WordPress.com-Logo

Du kommentierst mit Deinem WordPress.com-Konto. Abmelden / Ändern )

Twitter-Bild

Du kommentierst mit Deinem Twitter-Konto. Abmelden / Ändern )

Facebook-Foto

Du kommentierst mit Deinem Facebook-Konto. Abmelden / Ändern )

Google+ Foto

Du kommentierst mit Deinem Google+-Konto. Abmelden / Ändern )

Verbinde mit %s