HomeServer Sicherheit (Ergebnis und Fragen)

[Schalke05]

Hallo,

ich habe nach dem letzten Post meinen HS mal einer ersten Sicherheitsüberprüfung unterzogen. Dazu habe ich zwei Pentrationstests (also Prüfung auf bekannte Schwachstellen durch automatisierte Sicherheitsscanner, da werden mehrere tausend bekannte Schwachstellen getestet) durchgeführt.

1. Lokal mit dem Retina Security Scanner (Kommerzielles Produkt)
2. Remote durch die Firewall (alle Ports freigeschaltet) mit unserem Firmeninternen Attack Server (Sammlung verschiedener Tools wie nmap, nessus, Nikta)

Erst mal die good news: Beide Tests haben im Grunde keine einzige Schwachstelle entdecken können.

Das einzige was raus kam:
Betriebssystem: Linux 2.4
System antwortet auf Ping (ist ja auch O.K.)
Erreichbare Ports:
80 Web (bei beiden Tests)
25 SMTP (Retina Scanner im lokalen Netz)
110 POP3 (Retina Scanner im lokalen Netz)

Ansonsten wurde beiden Scannern ein unbekannter Web-Service auf Port 80 identifiziert dem aber kein Schwachstellen nachzuweisen war.

Nicht schlecht da hätte ich mehr erwartet. Das heisst zwar nicht das das System 100% sicher ist (hat man ja nie die Garantie), aber das es zumindest gegen keine der bekannten Schwachstellen anfällig ist und somit nicht jeder halbbegabte "Script Kiddy" da Ansatzpunkte findet.

Ich werde wohl meine Visu hinter einer FW (DSL-Router Funktionalität) und somit ohne VPN erreichbar machen.


Wie es der Zufall so will kam gerade eine Interview Anfrage bei der PR Abteilung unserer Firma an. Der Redakteur hat folgende Fragen:

- Worauf kommt es in Bezug auf die Sicherheit im Vernetzen Haus an. Nach einer Studie von Accenture ist die IT-Sicherheit neben den Kosten einer der zentralen Wachstumshemmnisse für den potenziellen Boom des vernetztes Hauses.

- Welche besonderen Bedrohungszenarien sind im Smart Home anzutreffen?

- Welche Technologien und Schutzmaßnahmen sind Standard (Viren, Firewall, etc.....)?

- Welche zusätzlichen Schutzmaßnahmen empfehlen sich (z.B. Intrusion Prevention etc.)?

- Spezielle Fragen: Worauf müsste beim Einsatz bzw. der Einbindung von Voip-Technologien im vernetzten Haus besonders geachtet werden?

Die Studie kannte ich auch nicht und habe auch nicht das Gefühl das sie der Realität entspricht. Würde natürlich auch gerne eure Meinung hören. Da ja auch viele hier Planungsfirmen haben, wie stehen denn da eure Kunden zu?

Gruss,

Olaf

[Sture]

Hallo Schalke 05,

vielen Dank erstmal für deinen sehr interessanten Test. Ich finde der HS kommt doch recht ordentlich davon und zeigt wieder einmal die sehr hohe Qualität des Gerätes.

Ich finde den Ansatz der Studie von Accenture sehr interessant und denke, dass dieses Thema oft vernachlässigt wird bzw. erst im Nachgang der Anlagenintegration aufgegriffen wird.
Wie immer ist es dann meist zu spät bzw. unerwartete Kosten stehen im Raum.
Ich stimme auch dem Argument "Hemmniss" zu, da die Thematik Netzwerktechnik im allgemeinen schon ein eigenes Gewerk darstellt, fehlt hier oft auch schon beim Projektierer die notwendige Fachkenntnis.
Von daher kann er auch nicht dem Endkunden die Systemsicherheit garantieren und bevor er ein Risiko eingeht belangt zu werden bietet er solche Technologien evtl. gar nicht erst an.
Sollte der Kunde offensiv nach diesen Techniken fragen, ist sicherlich auch hier wieder ein hohes Maß an Kompetenz gefragt um ein Gefühl der Sicherheit zu vermitteln.

Auch ich bin hier nicht immer ganz sicher und verwende zumindest was die Finanzverwaltung betrifft, physikalisch abgekoppelte Laufwerke und nicht die Backup Platte am Fileserver.
Die ständige Präsenz im eigenen Netzwerk und die damit zeitlich gesehen hervoragenden Voraussetzungen für kriminelle Personen sind mir einfach zu heiss.

Die Studie von Accenture würde mich sehr interessieren, gibt es da evtl. einen Link oder eine Quelle wo ich mehr erfahren kann?

Bis dann weiterhin viel Spaß

Sture