In die Rolle eines Hackers schlüpfen: Warum Mainframes Penetrationstests benötigen

Manchmal ist es der einzige Weg, sich wirklich vor Hackern zu schützen, sich in ihre Lage zu versetzen. Deshalb integrieren so viele Organisationen Penetrationstests in ihre Cybersicherheitsstrategie: 85 % der Cybersicherheitsexperten geben an, mindestens einmal jährlich einen Penetrationstest durchzuführen.

Penetrationstests sind zwar gängige Praxis für Netzwerkteams, werden aber nicht immer systemübergreifend eingesetzt, insbesondere nicht auf Mainframes. Als Chad Rikansrud, heute Practice Director bei NetSPI, Anfang der 2000er-Jahre mit Mainframes zu arbeiten begann, hatten sich nur wenige Unternehmen auf das Testen von Angriffstaktiken auf Mainframes spezialisiert. Wir sprachen mit Rikansrud darüber, was Unternehmen damals wie heute davon abhält, angemessen in die Mainframe-Sicherheit zu investieren, was ihn dazu bewogen hat, Penetrationstests auf Mainframes voranzutreiben, und wie der Prozess heute aussieht.

Einführung von Penetrationstests auf dem Mainframe

Wir wissen, dass Mainframes nur 6 % der IT-Ausgaben ausmachen, obwohl sie rund 68 % der weltweiten Produktion geschäftskritischer Anwendungen steuern. Warum investieren Unternehmen nicht in Mainframes?

Chad Rikansrud (CR): Der Mainframe ist eine riesige, teure und leistungsstarke Plattform, die seit über 50 Jahren existiert. Aufgrund seiner Größe, seines Preises und seiner Leistungsfähigkeit ist das Ziel der meisten IT-Teams, das System regelmäßig mit einer Auslastung von 90–100 % zu betreiben.

Leider wird Sicherheit oft als Gegensatz zur Auslastung betrachtet. Infolgedessen wird die Sicherheit vernachlässigt, da Patches aus Angst vor Ausfällen oder fehlender Möglichkeit zum Neustart des Systems nicht vollständig eingespielt werden. Zudem wird der weit verbreitete Mythos der inhärenten Sicherheit von Mainframes so stark beschwichtigt, dass die Befürchtung, diese könnten eines Tages kompromittiert werden und zu noch größeren Verlangsamungen führen, kaum noch besteht.

Sich für verstärkte Sicherheitsmaßnahmen an Großrechnern einzusetzen, erfordert oft viel Aufklärungsarbeit. Häufig ist ein Penetrationstest der einzige Auslöser, der die Verantwortlichen aufrüttelt. IT- und Geschäftsleitern einen Bericht zu präsentieren, der alle Möglichkeiten aufzeigt, wie man als Hacker ihr Unternehmen hätte lahmlegen können, ist ein sehr effektiver Weg, Alarm zu schlagen, bevor es zu spät ist.

Wie sind Sie Mainframe-Penetrationstester geworden?

CR: In meiner 20-jährigen Karriere bei einem großen Finanzinstitut war ich unter anderem für die Mainframe-Infrastruktur verantwortlich. Malware und Ransomware tauchten in dieser Zeit auf. Malware war zunächst extrem profitabel, aber auch sehr kompliziert: Man fand ein Haus, brach ein, nahm sich, was man wollte, und verschwand, bevor man erwischt oder blockiert wurde. Ransomware beseitigte viele dieser Komplikationen und machte es Kriminellen so einfach wie nie zuvor, Profit zu machen: Sie brachen ein, verriegelten alle Schränke, sodass niemand an die Wertgegenstände herankam, und ließen sich dann für die Entriegelung bezahlen.

Nach mehreren Mainframe-Ausfällen, die nicht auf Hackerangriffe zurückzuführen waren, fragte ich mich, wie es wohl wäre, wenn Ransomware den Mainframe befallen würde. Mir wurde klar, dass der Mainframe meines Unternehmens keine magischen, inhärenten Schutzmechanismen gegen Angreifer besaß. Bis dahin hatten wir einfach nur Glück gehabt.

Ich suchte nach jemandem, der die Sicherheitslücken unseres Mainframes testen konnte, musste aber feststellen, dass nur wenige Firmen auf Angriffe auf Mainframes spezialisiert waren. Obwohl ich über umfassende Sicherheitskenntnisse verfügte, wurde der Schutz des Mainframes zu meiner obersten Priorität. Daher begann ich, mit den wenigen Mainframe-Sicherheitsexperten der Branche (damals weltweit nur etwa sechs) zusammenzuarbeiten, um einen Prozess für Penetrationstests auf Mainframes zu entwickeln.

Wie sieht ein typischer Penetrationstest aus?

CR: Kurz gesagt, beim Penetrationstesting wird die aktuelle Konfiguration einer Organisation überprüft – wie das System eingerichtet wurde und welche Sicherheitskontrollen vorhanden sind.

Bei der Zusammenarbeit mit Kunden arbeiten wir üblicherweise an zeitlich begrenzten Projekten, die für ein einzelnes System etwa zwei Wochen dauern. Wir setzen dabei eine Kombination aus Black-Box- und White-Box-Tests ein: Beim Black-Box-Test agiert der Penetrationstester wie ein externer Hacker mit geringen bis gar keinen Kenntnissen der IT-Landschaft; beim White-Box-Test hingegen wie ein interner Entwickler mit umfassenden Kenntnissen.

Typischerweise beginnen wir mit den Zugangsdaten einer Person im Netzwerk, die die meisten Hacker leicht beschaffen können. Nach dem Erhalt des Fernzugriffs führen wir auf jedem System den folgenden Prozess durch:

Untersuchung: Wir beobachten die Gemeinschaftskonten den Großteil der ersten Woche. Während dieser Zeit halten wir uns unauffällig im gesamten System auf und suchen nach Sicherheitslücken, die wir später ausnutzen können.

• Plan: Auf Grundlage der Erkenntnisse einen Angriffsplan entwickeln.
• Angriff: Dies kann verschiedene Taktiken umfassen, doch die Eskalation der Berechtigungen ist das letztendliche Ziel. Je höher wir aufsteigen, desto größer ist unsere Fähigkeit, das System zu modifizieren, was weitaus wirkungsvoller ist als der bloße Datendiebstahl.
• Bericht: Wir fassen unsere Ergebnisse zusammen, ordnen sie nach ihrer Schwere, teilen sie den Kunden mit und beraten sie hinsichtlich möglicher Abhilfemaßnahmen.
• Erneuter Test: Sobald Änderungen implementiert sind, führen wir erneute Tests durch, um sicherzustellen, dass bestehende Lücken geschlossen wurden. Da sich das System ständig weiterentwickelt, empfehlen wir unseren Kunden, jährlich oder sogar halbjährlich erneute Tests durchzuführen.

Penetrationstests allein reichen jedoch nicht aus

Penetrationstests eignen sich hervorragend, um die Konfiguration der IT-Landschaft eines Unternehmens und die vorhandenen Kontrollmechanismen zum Schutz vor Angreifern zu überprüfen, decken aber keinen Code auf Betriebssystemebene auf dem Mainframe ab.

Leider werden Geschwindigkeit und Innovation oft gegenüber der Sicherheit priorisiert. Daher integrieren Anbieter häufig Code, der leicht ausgenutzt werden kann, um die Kontrolle über den Mainframe zu erlangen. Jedes Mal, wenn neuer Code in das System eingespielt wird – sei es durch die Zusammenarbeit mit einem neuen Anbieter oder durch ein routinemäßiges Update – besteht die Möglichkeit, dass dieser Code Sicherheitslücken aufweist. Durch regelmäßige, automatische Schwachstellenscans können Unternehmen den aktiven Code auf Betriebssystemebene untersuchen und feststellen, ob Anbieter unbeabsichtigt Bedrohungen durch Integritätslücken geschaffen haben. Penetrationstests und Schwachstellenscans bilden zusammen eine nahtlose Sicherheitsstrategie für Mainframes.