Die DesktopdateienVerhinderung von Datenverlust mithilfe der Rechteverwaltung für Unternehmen

Wes Miller

Inhalt

Verhindern von Datenverlust
Bausteine der Rechteverwaltung
Wie funktioniert es?
Wo sind die Lücken?
Schützen Sie Ihre Ressourcen?

In meinem normalen Beruf arbeite ich für ein Unternehmen, das eine Whitelistanwendung herstellt, die den typischen Sicherheitsansatz zum Schutz Ihres Computers grundlegend umkehrt. Es gibt ein anderes Sicherheitsmodell, das vielleicht auch atypisch ist und das ich diesen Monat erörtern möchte: die Rechteverwaltung für Unternehmen und warum es die einzige Möglichkeit ist, vertrauliche Informationen wirklich zu schützen.

Auf der diesjährigen RSA Conference in San Francisco sah ich mich um und verglich die einzelnen Angebote der Hersteller, und ich muss zugeben, dass ich verwirrt war. Mit sehr wenigen Ausnahmen verkauften die Hersteller dort reaktive anstelle von proaktiven Sicherheitslösungen. Lassen Sie mich das näher erläutern. Wenn Sie ein Haus bauen, sichern Sie es durch Schlösser an den Türen und Fenstern. Wenn Sie mehr Sicherheit wünschen, lassen Sie ein Alarmsystem installieren. Das reicht Ihnen nicht? Umgeben Sie das Gebäude mit einem Zaun. Was Sie zum Sichern des Gebäudes nicht tun, ist, die Schlösser, das Alarmsystem und den Zaun wegzulassen und nur ein, zwei Wachleute anzustellen, die hin und wieder eine Runde machen. Dadurch allein wird nichts geschützt.

Zusätzliche Ressourcen

Verwaltung von Informationsrechten in 2007 Microsoft Office System

office.microsoft.com/en-us/help/HA101029181033.aspx

Verwaltung von Informationsrechten in Windows SharePoint Services

msdn.microsoft.com/library/ms458245

Windows-Rechteverwaltungsdienste

microsoft.com/windowsserver2003/technologies/rightsmgmt

Windows Server 2003-Rechteverwaltungsdienste

technet2.microsoft.com/windowsserver/en/technologies/featured/rms/default.mspx

RMS: Schützen Ihrer Ressourcen

blogs.technet.com/rmssupp/default.aspx

Partner für Windows-Rechteverwaltungsdienste

microsoft.com/windowsserver2003/partners/rmspartners.mspx

Verhindern von Datenverlust

Hier ein realistischeres Beispiel: Viele Kunden fragen mich, wie USB-Ports blockiert werden können, damit keine Informationen aus ihrem Unternehmen sickern (nachdem wir Bedenken über eingehende Bedrohungen beseitigt haben). Aber in der Realität bietet die Unterbindung des Datenflusses am Port selbst gar keinen Schutz. Es ist im Grunde wie ein völlig ungesichertes Gebäude, für das Sie dann einen Wachmann einstellen. Er ist zwar ein netter Kerl, aber realistisch betrachtet kann er nicht alle Ein- und Ausgänge überwachen. Letztendlich ist es in beiden Szenarios das falsche Tool für die Aufgabe.

Das Problem beim Blockieren des Zugriffs auf den Port besteht (wie bei allen anderen Lösungen, mit deren Hilfe Sie UNC-Freigaben scannen oder sichern oder eine statusbehaftete Paketprüfung oder andere Prüfungen durchführen können) darin, dass sie alle reaktiv sind. Sie alle versuchen, die Daten abzufangen, wenn sie die Organisation verlassen. Aber dann ist es meistens schon zu spät.

Dies erinnert mich an ein Szenario bei Microsoft, zu dem es in der Vergangenheit kam (und ich bin mir sicher, dass es Ihnen sehr vertraut vorkommen wird). In der Zeit vor der Verwaltung von Informationsrechten (Information Rights Management, IRM) in Microsoft Office und vor den Rechteverwaltungsdiensten (Rights Management Services, RMS) in Windows wurden interessante E-Mail-Nachrichten, selbst wenn sie als vertraulich gekennzeichnet waren, am Ende des Arbeitstags an die Presse weitergeleitet. Leider können Richtlinien, starke Kennwörter, Paketprüfung, Freigabesicherheit und sogar die Androhung einer Kündigung nur in einem gewissen Maß helfen. Es ist mehr erforderlich, und dies könnten die Rechteverwaltungstechnologien von Microsoft sein, die Ihnen helfen können, Ihren Office-Inhalt zu schützen. Ich bin ein Fan von IRM und RMS geworden, da ich sie zunehmend als Sicherheitslösungen statt nur als Überwachungs- oder Kompatibilitätstechnologien respektiere.

Worin bestehen die Vorteile von IRM/RMS beim Schützen von Office-Inhalt im Vergleich zum gewöhnlichen Kennwortschutz dieses Inhalts?

• Es gibt Brute-Force-Methoden, die den von Office-Dokumenten verwendeten Kennwortschutz beeinträchtigen können.
• Gewöhnlicher kennwortgeschützter Inhalt wird nicht auf dieselbe Art und Weise verschlüsselt wie IRM/RMS-geschützte Dokumente.
• IRM und RMS arbeiten zusammen, um Inhalt auf den untersten Ebenen innerhalb von Windows zu schützen.
• IRM/RMS ermöglicht das Schützen von Inhalt mithilfe sehr präziser Zugriffssteuerungen, die Active Directory-Konten zugewiesen sind.

Aber um was genau handelt es sich bei IRM und RMS? Diese Technologien, die erstmals mit Microsoft Office 2003 ausgeliefert wurden, ermöglichen das Schützen von geistigem Eigentum, das in Office-Dokumenten gespeichert ist, einschließlich E-Mails in Microsoft Outlook, Outlook Mobile Access und Outlook Web Access durch Internet Explorer, indem die Dokumente verschlüsselt werden und der Zugriff auf den Inhalt kontrolliert wird.

Die meisten Office-Dokumenttypen, einschließlich der neuen XML-basierten Dokumente, sowie E-Mails können verschlüsselt werden. Bei .msg-Dateien (E-Mail-Nachrichten, die oft an andere E-Mail-Nachrichten angefügt wurden) ist dies jedoch nicht der Fall. (Unter office.microsoft.com/en-us/help/HA101029181033.aspx finden Sie eine vollständige Liste der Dateitypen, die mit IRM verwaltet werden können.) Das Dokument wird erst entschlüsselt, wenn es von einem Benutzer geöffnet wird, der vom Urheber des Dokuments dazu autorisiert wurde.

IRM ist im Wesentlichen das Front-End der Rechteverwaltung, das durch eine RMS-fähige Anwendung zur Verfügung gestellt wurde, während RMS das Back-End ist. Ein RMS-Server enthält die Informationen, die zum Identifizieren der Rechte verwendet werden, die Benutzern gewährt wurden, und überprüft die Anmeldeinformationen dieser Benutzer. Mithilfe der IRM-Komponente in den RMS-fähigen Anwendungen können diese Rechte festgelegt und verwaltet werden. Zusammen ermöglichen IRM und RMS autorisierten Benutzern das Lesen, Ändern oder Ausüben vollständiger Bearbeitungskontrolle über ein Dokument (in Abhängigkeit von den zugewiesenen Rechten).

Wenn ein autorisierter Benutzer IRM-geschützten Inhalt über eine Office-Anwendung öffnet, ist der Inhalt entschlüsselt und innerhalb dieser Anwendung lesbar oder bearbeitungsfähig. Bedenken Sie dabei jedoch, dass Informationen durch IRM und RMS zwar gesichert werden, aber immer das Potenzial besteht, dass ein Benutzer sie dennoch gefährden kann, wenn er es wirklich darauf anlegt. Wenn ein Benutzer entscheidet, die „Analoglücke“ zu verwenden (eine Digitalkamera oder eine andere Software zur Bildschirmaufzeichnung), oder wichtige Informationen sogar von Hand eingibt, kann IRM wenig zum Schutz der Informationen tun. Für die meisten Szenarios handelt es sich jedoch um ziemlich leistungsstarke Sicherheit.

Bausteine der Rechteverwaltung

Die Microsoft-Rechteverwaltungslösung besteht aus vier Komponenten, die hier ausführlich behandelt werden sollen. Ich werde auch kurz das RMS SDK und das nützliche RMS Toolkit beschreiben. Die erste Komponente ist integriert. Die anderen können unter microsoft.com/windowsserver2003/technologies/rightsmgmt heruntergeladen werden.

Verwaltung von Informationsrechten Diese in Microsoft Office 2003 und 2007 Office System integrierte Komponente (sowie die mobilen Versionen von Outlook, Excel, Word und PowerPoint bis Windows Mobile 6x) ermöglicht Benutzern das Zuweisen von Berechtigungen für Word-Dokumente, Excel-Arbeitsmappen, PowerPoint-Präsentationen, InfoPath-Formulare, Outlook-E-Mail-Nachrichten und .xps-Dateien (XML Paper Specification), sodass den Empfängern das Weiterleiten, Kopieren, Ändern, Drucken, Faxen, Ausschneiden und Einfügen sowie das Verwenden der Taste für den Bildschirmdruck ermöglicht wird bzw. diese Vorgänge verhindert werden. Die Berechtigungen können pro Benutzer und pro Dokument festgelegt werden.

In einer Active Directory-Umgebung können auch Berechtigungen für Gruppen festgelegt werden, und wenn Ihre Organisation Microsoft Office SharePoint Server 2007 verwendet, können Sie Berechtigungen für Bibliotheken festlegen. (Beachten Sie, dass aus technischer Sicht Inhalt beim Speichern in SharePoint entschlüsselt und dann wieder verschlüsselt wird, wenn er Benutzern angeboten wird.) Wenn für IRM-Berechtigungen kein Ende der Gültigkeit festgelegt wurde, bleiben sie für ein Dokument gültig, und zwar unabhängig davon, wann oder wohin es gesendet wird.

IRM ist nicht für Office-Versionen für den Apple Macintosh verfügbar, aber es gibt Möglichkeiten, wie Mac-Benutzer RMS-geschützten Inhalt verwenden können. Der Artikel des nächsten Monats enthält Einzelheiten dazu.

Rechteverwaltungsdienste (Server) Dies steht für Windows Server 2003 zur Verfügung und ist eine verfügbare Rolle in Windows Server 2008. RMS-Server ist das Herzstück der Microsoft-Rechteverwaltung für Unternehmen. Es sorgt für das Zertifizieren vertrauenswürdiger Entitäten (Benutzer, Clientcomputer und Server), definiert und veröffentlicht Nutzungsrechte und -bedingungen, registriert Server und Benutzer, genehmigt den Zugriff auf geschützte Informationen und bietet die notwendigen administrativen Funktionen, die autorisierten Benutzern das Zugreifen auf durch Rechte geschützte Informationen ermöglichen.

Abbildung 1 zeigt den Server-Manager-Bildschirm, über den die RMS-Rolle auf einem Windows Server 2008-System installiert wird. Obwohl es bei RMS einige Abhängigkeiten gibt, führt der Assistent Sie durch den gesamten Prozess und installiert alle Abhängigkeiten für Sie.

Abbildung 1 Auswählen der Serverrolle für Rechteverwaltungsdienste (zum Vergrößern auf das Bild klicken)

Für die RMS-Serverrolle (entweder unter Windows Server 2003 oder unter Windows Server 2008) ist ein Serversystem mit Folgendem erforderlich:

• Microsoft Message Queue Server (MSMQ)
• IIS mit aktiviertem ASP.NET
• Active Directory
• Entweder SQL Server Enterprise Edition (für eine Produktionsumgebung), Microsoft SQL Desktop Engine (MSDE) oder SQL Server Express (reicht für eine Testumgebung aus)

Selbst wenn keine dieser Komponenten bei Ihnen installiert sind, werden sie während der Installation von Windows Server 2008 für Sie konfiguriert. Für eine Produktionsimplementierung brauchen Sie ein gültiges digitales SSL-Zertifikat für Ihre Server, damit RMS die Sicherheit zwischen Clients und Servern gewährleisten kann. Zum Testen kann RMS jedoch ein Testzertifikat bereitstellen, das als Teil der Rolleninstallation installiert ist. Abbildung 2 zeigt, wie die unter Windows Server 2008 ausgeführte RMS-Konsole aussieht.

Abbildung 2 Die RMS-Konsole (zum Vergrößern auf das Bild klicken

Rechteverwaltungsdienste (Client) Dies ermöglicht RMS-fähigen Anwendungen die Zusammenarbeit mit dem RMS-Server, um das Veröffentlichen und Nutzen von durch Rechte geschütztem Inhalt zu aktivieren. Der Client ist in Windows Vista und Windows Server 2008 integriert. Für frühere Versionen von Windows kann er heruntergeladen und installiert werden, damit diese Betriebssysteme über RMS-Funktionen verfügen.

Wenn Sie Ihre eigene Unternehmensbereitstellung entwickeln, werden Sie den RMS-Client sehr wahrscheinlich über neue Systeme, Gruppenrichtlinien oder System Center Configuration Manager (SCCM) bereitstellen wollen, statt dass Benutzer ihn manuell bereitstellen.

Rechteverwaltungs-Add-On für Internet Explorer In Internet Explorer 6.0 oder höher wird damit das Anzeigen von durch Rechte geschütztem Inhalt über Internet Explorer ermöglicht.

RMS SDK Ermöglicht Entwicklern das Erstellen eigener Anwendungen, die ihren eigenen benutzerdefinierten Inhalt mithilfe der SOAP-basierten Rechteverwaltungsdienste-API schützen können.

RMS Toolkit Wahrscheinlich werden Sie wie ich feststellen, dass das RMS Toolkit beim Bereitstellen und bei der Problembehandlung Ihrer eigenen RMS-Infrastruktur äußerst nützlich ist. Das Toolkit enthält eine Reihe nützlicher Programme, die dafür sorgen können, dass Ihr RMS-System wie gewünscht funktioniert. Beachten Sie, dass das RMS Toolkit nicht Teil von RMS ist und daher nicht offiziell von Microsoft unterstützt wird.

Wie funktioniert es?

Wenn Sie ein Dokument mithilfe von RMS schützen, indem Sie in Word 2007 auf der Registerkarte „Überprüfen“ auf „Dokument schützen“ oder in Excel 2007 auf „Arbeitsmappe schützen“ klicken, muss das Konto angegeben werden, das Sie als Autor des Dokuments verwenden möchten, also das Konto, das über Besitzerberechtigungen für das Dokument verfügt. Dies sollte im Idealfall ein Active Directory-Konto sein, obwohl RMS die Verwendung eines Windows Live-Testkontos ermöglicht, das Sie möglicherweise für ein echtes Produktionssystem nicht verwenden möchten.

Nach der Authentifizierung über ein Konto (siehe Abbildung 3) können Sie dieses Konto angeben oder als Besitzer Konten hinzufügen. Dann können Sie schnell grundlegende Rechte (siehe Abbildung 4) oder detailliertere Rechte für Benutzer angeben, die Berechtigungen zum Lesen oder Ändern des Dokuments haben sollen, das Sie schützen.

Abbildung 3 Angeben des zu verwendenden Kontos (zum Vergrößern auf das Bild klicken)

Abbildung 4 Festlegen von Berechtigungen (zum Vergrößern auf das Bild klicken)

Ihr Dokument ist nun geschützt. Jetzt muss jeder Benutzer, der versucht, das Dokument zu öffnen, Anmeldeinformationen bereitstellen, bevor es geöffnet werden kann. Außerdem werden die vom Besitzer des Dokuments definierten Berechtigungen durchgesetzt.

RMS verwendet IIS und ASP.NET, um jeden Benutzer zu authentifizieren, der das Dokument öffnet, seine Identität und Zugriffsrechte zu überprüfen und diese Informationen zurück an den RMS-Client und die IRM-Infrastruktur in Office zu übermitteln. Auf Grundlage von Active Directory und den vom RMS-Server definierten Rechten wird dem Endbenutzer entweder vollständiger oder beschränkter Zugriff oder keinerlei Zugriff auf das Dokument gewährt.

RMS verwendet eine Infrastruktur, die auf XrML (eXtensible rights Markup Language) beruht, um die Rechte von Endbenutzern von IRM-geschütztem Inhalt zu beschreiben. Diese Rechte sind in einer XrML-Lizenz enthalten, die an den digitalen Inhalt angefügt werden kann, sodass die Rechte dadurch beibehalten werden können. Da XrML ein Standard ist, kann diese Sprache auch von anderen Anwendungen verwendet werden, die Inhalt auf ähnliche Weise schützen wollen. Weitere Informationen finden Sie unter xrml.org.

Wo sind die Lücken?

Wie bereits erwähnt, sind RMS und IRM nicht kugelsicher. Wenn ein bösartiger „autorisierter“ Benutzer IRM-geschützten Inhalt gefährden will, erfordert dies einige Arbeit, aber es ist möglich.

Außerdem kann der Inhalt möglicherweise durch subversive Malware sowie durch Software zur Bildschirmaufzeichnung, die auf nicht den Standards entsprechende Weise arbeitet, abgefangen werden. Obwohl RMS Bildschirmaufzeichnung und nicht autorisiertes Ausschneiden und Einfügen zu verhindern versucht, ist dies nur in einem gewissen Maß möglich. Ich habe einige Lösungen gesehen, die versuchen, ein wenig weiter als IRM und RMS zu gehen und zusätzliche Inhaltstypen zu schützen. Weitere Informationen zu anderen ISVs, die Lösungen um RMS herum erstellen, finden Sie unter microsoft.com/windowsserver2003/partners/rmspartners.mspx.

Die Rechteverwaltung für Unternehmen ist meiner Überzeugung nach die einzige vernünftige Möglichkeit, „nicht ruhenden“ Inhalt in Systemen heutzutage wirklich zu sichern. Wenn Sie die Arten von Inhalt untersuchen, der heute beeinträchtigt werden (E-Mail-Nachrichten, Office-Dokumente usw.), könnte der größte Teil einfach mit IRM und RMS geschützt werden, was jedoch nicht geschieht. Obwohl Technologien zur vollständigen Volumeverschlüsselung (wie BitLocker in Windows Vista) das Sichern von ruhendem Inhalt ermöglichen und ihn im Allgemeinen im Fall einer Systemgefährdung sicher aufbewahren, schützen sie keinen Inhalt in Freigaben, auf E-Mail-Servern oder auf SharePoint-Servern.

Da Inhalt im Allgemeinen „in der Wildnis“ nicht geschützt werden kann, wurden Lösungen entwickelt, die versuchen, Inhalt aufzuspüren und zu beseitigen. IRM und RMS wurden für die Integration in Active Directory, Exchange, Office und Windows entwickelt. Aus diesem Grund ist nicht viel Schulung erforderlich, insbesondere nicht für die Endbenutzer, die den Inhalt tatsächlich nutzen, und der bereitgestellte Schutz ist enorm. In der Randleiste „Zusätzliche Ressourcen“ finden Sie weitere Informationen.

Schützen Sie Ihre Ressourcen?

Verwenden Sie RMS und IRM heute in Ihrer Organisation? Senden Sie mir Ihr Feedback zu RMS und IRM. Ich interessiere mich dafür, wie und warum einige Leser RMS und IRM bereitgestellt haben (oder nicht) oder ob Sie der Meinung sind, dass Ihre Organisation durch eine andere Methode vor Datenverlust geschützt ist.

Wes Miller ist Senior Technical Product Manager bei CoreTrace (CoreTrace.com) in Austin, Texas. Zuvor war er bei Winternals Software und als Programmmanager bei Microsoft tätig. Sie können Wes Miller unter technet@getwired.com erreichen.