Hochriskant: USB-Massenspeicher und der Faktor-Mensch

USB-Ports sind offen für Alles – das macht aber nix

Mit Data Loss Prevention (DLP) oder Endpoint-Security reglementieren Sie die Nutzung u.a. von USB-Ports und damit verbundene externe Geräte. Obwohl DLP noch mehr kann, fokussiert sich dieser Artikel auf die Möglichkeiten von Data Loss Prevention Lösungen in Zusammenhang mit USB-Geräten.

Am Anfang steht hierbei die Identifizierung von externen Geräten über Merkmale wie USB-Geräteklasse, Hersteller- und Produktangaben sowie eindeutiger Seriennummer zur eingeschränkten Freigabe bzw. kompletten Blockade von USB-Ports und angeschlossenen Endgeräten. Hierbei spielt zunächst die USB-Geräteklasse des jeweiligen USB-Endgeräts eine entscheidende Rolle.

Damit Hersteller von USB-Geräten nicht für jedes Device einen neuen Treiber entwickeln müssen, sind USB-Geräteklassen in den USB-Spezifikationen der USB-IF vorgesehen worden. Dadurch können USB-Geräte generische Treiber nutzen und die Funktionsfähigkeit der angeschlossenen Endgeräte ist meist sofort gegeben. Aktuell gibt es 20 eindeutige USB-Geräteklassen.

Die Angabe der Geräteklassen ist im Device-Deskriptor fest eingetragen. In Fällen in denen ein externes USB-Endgerät mehreren Klassen angehört, z.B. bei einem CD-ROM Laufwerk oder einer Digitalkamera (hier Geräteklassen Bilder sowie Massenspeicher wegen der integrierten SD-Karte) sind alle zutreffenden Geräteklassen im Interface-Deskriptor hinterlegt.

USB-Geräteklasse HID – es menschelt

Human Interface Device (HID) ist die Standard-Klasse für Eingabegeräte wie u.a. Maus und Tastatur, die heute fast ausschließlich per USB-Port mit dem Host-Computer verbunden sind. Und auch Drucker, Digitalkameras, Bluetooth Adapter, Chipkartenlesegeräte u.a. werden über diese universelle Schnittstelle angebunden – ohne wäre also produktives Arbeiten unmöglich.

Jedes USB-Gerät lässt sich einer oder mehreren bestimmten Klasse(n) zuordnen. (Aufs Bild klicken, um es zu vergrößern)

Black- oder Whitelists einfach erstellen

PID und VID lassen sich u.a. über den Windows Geräte-Manager auslesen. Viele Data Loss Prevention Lösungen wie Safend Protector liefern entsprechende Tools mit, und erlauben auch einen Netzwerk-Lookup auf dort bereits verbundene USB-Geräte.

Zusammen mit den USB-Gerätklassen kann man PID und VID zur Erstellung von Black- oder Whitelists verwenden. Die Unique ID, also eine eindeutige Seriennummer pro USB-Gerät, ist das vierte Merkmal. In Kombination mit den anderen drei Parametern kann man so USB-Geräte noch exakter erkennen. Einige Hersteller bieten als Option an, einen fortlaufenden Seriennummernbereich zu liefern – und damit die Definition der Policy in DLP deutlich zu vereinfachen.

Diese Manipulationen sind theoretisch möglich, aber praktisch enorm aufwendig, es gibt deshalb nur wenige bekannte Fälle. Zudem haben hierfür namhafte Hersteller Absicherungen in Form eines Firmware-Schutz‘ über Zertifikate entwickelt. Wenn das Ziel lohnen genug ist, etwa in Hochsicherheitsbereichen, ist diese Art von Angriffen aber durchaus vorstellbar.

FAZIT 
USB-Geräte erhöhen die Effizienz und Produktivität. Wie immer steht die einfache Handhabung der USB-Endgeräte konträr zur IT-Sicherheit. Data Loss Prevention ist in Kombination mit hochwertigen USB-Speichergeräten eine aus unserer Sicht notwendige technische Maßnahme zur Absicherung gegen Datendiebstahl und DSGVO-Verstöße. Datenklassifizierung ist die Kür bei DLP. Hier wird die Kritikalität jeder Datei vor der Weiterleitung bewertet und in der Folge eine Aktion durchgeführt.