Nicht autorisiertes Gerät (Rogue Device)

Ein Rogue Device wird durch eine Abweichung definiert, nicht durch seinen Typ. Eine Tastatur, ein USB-Stick oder ein Netzwerk-Switch ist gewöhnliche Hardware. Sie wird zum Rogue Device, wenn sie an einen Computer oder das Netzwerk angeschlossen wird und in der genehmigten Konfiguration fehlt, die für dieses Gerät erfasst ist.

Die Lücke lässt sich am einfachsten im Verzeichnis der Hardware-Asset-Verwaltung erkennen. Die meisten Rogue Devices werden nicht von einem Angreifer eingeschleust. Sie entstehen als Nebenprodukt alltäglicher Vorgänge, die niemand protokolliert hat. Deshalb zeigt sich das Problem meist im IT-Asset-Management und nicht in einem einzelnen Sicherheitsalarm.

Rogue Devices gelangen meist über einen von fünf Wegen in die Umgebung, und keiner davon erfordert böswillige Absicht:

Ein Rogue Device ist eine Lücke zwischen dem, was die IT für laufend hält, und dem, was tatsächlich angeschlossen ist. Diese Lücke hat Folgen, die über ein unordentliches Asset-Register hinausgehen:

• Sicherheitslücke. Ein Gerät außerhalb der Konfiguration unterliegt auch nicht den Kontrollen für verwaltete Hardware, etwa Patches, Verschlüsselungsrichtlinien und Überwachung. Es wird zu einem einfachen Einstiegspunkt oder zu einem unüberwachten Abflusskanal für Daten.
• Risiko der Datenexfiltration. Ein nicht protokolliertes Speichergerät oder ein Netzwerkadapter kann Daten abziehen, ohne in einem Audit-Trail aufzutauchen, der auf dem genehmigten Inventar aufbaut.
• Compliance-Risiko. Vorschriften und interne Richtlinien, die ein vollständiges, korrektes Hardware-Inventar verlangen, werden durch jedes Gerät untergraben, das dem Inventar unbekannt ist.
• Betriebskosten. Nicht erfasste Hardware verzerrt die Kapazitätsplanung, erschwert Garantie- und Lebenszyklusentscheidungen und kostet Zeit, wenn ein Fehler auf Geräte zurückgeführt werden muss, die niemand erfasst hat.

Die Erkennung vergleicht, was angeschlossen ist, mit dem, was angeschlossen sein sollte. Vier Schritte machen das dauerhaft, und die Ermittlung neuer Geräte ist der Schritt, der bisher Unbekanntes sichtbar macht:

1. 1

   Konfiguration abgleichen

   Was physisch an einen Computer angeschlossen ist, wird mit dessen genehmigter Konfiguration verglichen. Eine Abweichung in beide Richtungen wird markiert.

2. 2

   Neue Hardware erkennen

   Agenten auf verwalteten Endgeräten melden, was sie angeschlossen sehen. Periodische Scans finden neue Hardware, bevor jemand ein Ticket eröffnet.

3. 3

   Laufend prüfen

   Geräte werden zwischen Audits getauscht. Einmalige Zählungen übersehen Geräte, die dazwischen auftauchen und verschwinden, deshalb muss die Überwachung dauerhaft laufen.

4. 4

   Die richtigen Personen alarmieren

   Ein markiertes Gerät nützt nur, wenn es das IT- oder Sicherheitsteam erreicht, das für den betroffenen Computer oder Standort zuständig ist.

Ein Rogue Device ist nicht dasselbe wie ein unverwaltetes Gerät im Allgemeinen. Unverwaltet bedeutet nur, dass sich niemand darum kümmert, unabhängig davon, ob es angeschlossen ist. Ein Rogue Device ist dagegen genau ein Gerät, das jetzt angeschlossen ist und dem Datensatz widerspricht.

Es überschneidet sich mit Schatten-IT, ist aber enger gefasst, denn Schatten-IT beschreibt häufiger nicht genehmigte Software, Cloud-Dienste oder Konten als physische Hardware. Außerdem unterscheidet es sich von einem schadhaften oder gefälschten Gerät, das ein Angreifer platziert. Die meisten Rogue Devices sind gewöhnliche Geräte, die schlicht nie erfasst wurden.

Im Anexet Inventory listet der Reiter Geräte auf der Kartei jedes Computers die Hardware auf, die die Erkennung findet. Jedes Gerät wird über seine Geräte-Kennung zugeordnet. Ein angeschlossenes Bauteil, das in der Konfiguration fehlt, erhält daher ein Warnsymbol. Der Screenshot zeigt die Karte eines Servers, auf der nicht erfasste, angeschlossene Geräte so markiert sind.

Beginnen Sie mit einer klaren Liste dessen, was für jeden Computer als konfigurierte Hardware gilt, und lassen Sie die Erkennung jede Abweichung melden. Erkennungsmeldungen sollten eine Aktualisierung des Inventars auslösen, nicht nur das Entfernen des Geräts. Wer einen Monitor tauscht oder einen Drucker ergänzt, braucht eine einfache Möglichkeit, die Änderung zu erfassen, und keinen Anreiz, sie zu überspringen.

Erkennungswerkzeuge verkleinern die Lücke. Dass der Datensatz aktuell bleibt, hält sie klein.

Weiterlesen: Wie man unbefugten Zugriff auf den Computer verhindert.