Verbesserung von VPNs für sichere Fernarbeit während der Coronavirus-Pandemie

Für Tausende von Unternehmen bedeutet die Coronavirus-Pandemie eine drastische Zunahme des Fernzugriffs und der Arbeit von zu Hause aus. Wenn Sie einige Unternehmensanwendungen noch in Ihrem Rechenzentrum und nicht vollständig in der Cloud betreiben, kann die Zunahme der Fernarbeit Ihre VPN-Dienste in ungeahntem Maße belasten.

Um die Sicherheit und Produktivität aufrechtzuerhalten, müssen Sie sicherstellen, dass Ihr VPN der Aufgabe gewachsen ist. Möglicherweise müssen Sie die Anzahl der VPN-Plätze oder die Kapazität erhöhen, um die Last zu bewältigen, und Maßnahmen ergreifen, um sicherzustellen, dass alle Mitarbeiter über die richtigen Anmeldeinformationen verfügen (in vielen Fällen einschließlich der Zwei-Faktor-Authentifizierung) und wissen, wie sie von zu Hause aus sicher auf das Unternehmensnetzwerk zugreifen können. Außerdem muss sichergestellt werden, dass die gesamte VPN-Software auf dem neuesten Stand ist und die neuesten Sicherheits-Patches installiert sind.

Natürlich haben Sie vielleicht schon viele Ihrer Daten und Anwendungen in die Cloud verlagert. Für diese Anwendungen müssen Ihre Mitarbeiter kein VPN verwenden, und Sie profitieren automatisch von den Vorteilen der inhärenten Skalierbarkeit der Cloud und der direkten Erreichbarkeit für Remote-Arbeit. Je mehr Zeit Ihre Mitarbeiter mit Cloud-Anwendungen verbringen, desto weniger Zeit müssen sie für die Nutzung Ihrer VPN-Ressourcen aufwenden.

Doch selbst wenn Ihr langfristiges strategisches Ziel die vollständige Cloud-Basis ist, kann es sein, dass Sie derzeit in einem hybriden Modus arbeiten, in dem einige wichtige Unternehmensanwendungen noch in Ihrem Rechenzentrum ausgeführt werden und wichtige Sicherheitskontrollen bestehen. Einige Unternehmen verlassen sich beispielsweise auf die Beschränkung des direkten Internetzugangs, die Netzwerküberwachung, Firewalls und Webfilter, die im Rechenzentrum betrieben werden, und wenden diese Kontrollen auf den Benutzerverkehr an, indem sie den Datenverkehr über das VPN zurückverfolgen. Um die wachsende Zahl von Mitarbeitern, die von zu Hause aus arbeiten, zu unterstützen, müssen Sie möglicherweise den VPN-Zugang zu diesen Systemen erweitern und Mitarbeitern, die ihn bisher nie oder nur selten genutzt haben, jetzt, da sie außerhalb des Unternehmensnetzwerks arbeiten, VPN-Zugang gewähren.

Stellen Sie sicher, dass Sie über eine ausreichende VPN-Kapazität verfügen

Dementsprechend besteht eine unmittelbare Frage der Geschäftskontinuität darin, sicherzustellen, dass Sie über ausreichende VPN-Abschlusskapazitäten verfügen, wenn Ihre Zugriffslast steigt. Möglicherweise müssen Sie mehr VPN-Lizenzen erwerben und Software und Anmeldeinformationen, einschließlich der Zwei-Faktor-Authentifizierung, für Mitarbeiter bereitstellen, die diese benötigen. Wo immer es möglich ist, kann es ratsam sein, Client-VPN-Dienste zu nutzen, die in moderne Betriebssysteme integriert sind und L2TP-Konnektivität unterstützen, so dass keine separate VPN-Client-Software erforderlich ist. Die Aufrüstung von dedizierter VPN-Server-Hardware kann in der aktuellen Krise im Gesundheitswesen ein schwierigeres Thema sein, da die Bestellung und Konfiguration viel Zeit in Anspruch nimmt. Jetzt ist es an der Zeit, die Kapazität neu zu bewerten, damit Sie die Bestellung eher früher als später aufgeben können.

Einige Mitarbeiter benötigen möglicherweise VPN-Hilfe

Möglicherweise haben Sie Mitarbeiter, die nicht in der Lage waren, die erforderlichen VPN- und MFA-Anmeldeinformationen zu erhalten, bevor sie sich zu Hause verkrochen haben. Infolgedessen könnten sie versucht sein, persönliche Apps für die Fernarbeit zu nutzen oder andere Umgehungen (Schatten-IT) zu versuchen, die zusätzliche Risiken bergen. Um riskante Umgehungslösungen zu vermeiden, sollten Sie Endbenutzer und Helpdesk-Mitarbeiter darüber schulen, wie sie schnell VPN-Zugang erhalten und bereitstellen können und wie sie VPNs zuverlässig nutzen, ohne Ihr Team oder Ihr Netzwerk zu überfordern.

Ihre VPN-Protokolle, Benutzerkonfigurationsdatenbanken und Helpdesk-Tickets können Ihnen dabei helfen, herauszufinden, wer Hilfe benötigt (und vielleicht auch Zugriffsversuche zu identifizieren, die nicht legitim sind). Einige Unternehmen stehen vor dem Problem, dass Mitarbeiter Helpdesk-Support benötigen, um sich in das VPN einzuwählen, aber das VPN benötigen, um Remote-Support vom Helpdesk zu erhalten. Wenn dies in Ihrer Organisation der Fall ist, benötigen Sie einen Prozess, der den Benutzern hilft, dieser Endlosschleife zu entkommen.

Die Aktualisierung der VPN-Software ist unerlässlich

Wo auch immer Sie sich auf spezielle VPN-Client-Software oder Server-Hardware verlassen, stellen Sie sicher, dass diese vollständig gepatcht und auf dem neuesten Stand ist. Obwohl dies für viele IT-Organisationen heutzutage eine Selbstverständlichkeit ist, kann es vorkommen, dass Dinge zwischen die Maschen fallen. Obwohl beispielsweise zwei führende VPN-Anbieter für Unternehmen im April 2018 umgehend ein kritisches Update zur Verfügung stellten, fand das CERT Coordination Center (CERT/CC) 16 Monate später mehr als 500.000 ungepatchte VPN-Server.[1]

Darüber hinaus wurden erst kürzlich beunruhigende Schwachstellen in VPN-Produkten gefunden. Im Frühjahr 2019 wiesen CERT/CC und die U.S. Cybersecurity Infrastructure Security Agency (CISA) auf eine Schwachstelle in der Authentifizierungsspeicherung von vier Unternehmens-VPNs hin, die es Malware ermöglichte, die Authentifizierungstoken der Benutzer zu stehlen und ihre Netzwerkkontorechte zu erlangen, ohne ein Passwort vorzulegen. [2] Erst im Oktober 2019 berichtete das National Cyber Security Centre (NCSC) des Vereinigten Königreichs, dass APT-Akteure (Advanced Persistent Threats) Schwachstellen in Unternehmens-VPNs nutzen, um britische und globale Regierungs-, Hochschul-, Unternehmens- und Gesundheitsorganisationen anzugreifen.[3]

Wie der NCSC rät, ist es wichtig, VPN-Zugriffsprotokolle sorgfältig auf mögliche Kompromittierungen zu überprüfen und anomale IP-Standorte oder Zugriffszeiten zu verfolgen, um potenziell gefährdete Konten zu identifizieren. Das ist ein guter Ratschlag, selbst wenn Sie sich mehr Sorgen über gewöhnliche Cyberkriminelle als über hochentwickelte APTs machen. Unternehmen, die sich auf VPNs verlassen, sollten diese als potenziellen Angriffsvektor betrachten und dies in ihrer Bedrohungskartierung und der täglichen Sicherheitsüberwachung berücksichtigen.

Die Quintessenz

Im Laufe der Zeit könnten die Ereignisse rund um das Coronavirus einige Unternehmen dazu veranlassen, ihre Umstellung auf die Cloud zu beschleunigen und andere IT-Richtlinien zu überdenken; beispielsweise könnten einige Unternehmen ihre BYOD-Richtlinie (Bring your own device) überdenken und durch die Ausgabe firmeneigener Geräte eine größere Kontrolle ausüben. In der Zwischenzeit bedeutet der durch das Coronavirus ausgelöste Anstieg der Fernarbeit, dass ein erneuter Fokus auf Cyber-Hygiene noch nie so wichtig war: Best Practices für Überwachung, Schulung und Patching, die unablässig angewendet werden.

[1] "VPN - A Gateway for Vulnerabilities," CERT/CC Blog, Carnegie Mellon University Software Engineering Institute

[2] "VPN-Anwendungen speichern unsicher Sitzungs-Cookies," CERT/CC

[3] "Sicherheitslücken in weltweit eingesetzten VPN-Produkten," UK National Cyber Security Centre