NSA-TAO-Chef erklärt: "So macht ihr mir das Leben schwer"

Es passiert nicht oft, dass ein echter Einbrecher Ratschläge gibt, wie man ihn aussperren kann. Rob Joyce, Chef der auf Hacking spezialisierten NSA-Abteilung TAO tut genau das. In einem Vortrag erklärt er, wie man Hacker am besten draußen hält.

Lesezeit: 1 Min.
In Pocket speichern
vorlesen Druckansicht Kommentare lesen 47 Beiträge
Von

Rob Joyce, ist der Chef der Abteilung Tailored Access Operations (TAO), die bei der National Security Agency die Aufgabe hat, in wichtige Systeme einzubrechen, um dort Daten zu beschaffen. Das sind also die Jungs (und Mädels), die auf allerhöchstem Niveau, zur Not auch mit Hilfe bislang unbekannter Schwachstellen PCs, Server und Steuerungssysteme hacken.

In einem Vortrag auf der Usenix-Konferenz Enigma 2016 erklärt Joyce dem Auditorium aus der Sicht eines "Nation State Exploiters", was man tun könne, um sich zu verteidigen und ihm "das Leben schwer" zu machen.

Letztlich entsprechen seine Tipps im wesentlichen dem, was man auch von anderen Sicherheitsexperten bereits gehört hat. Wichtige Problemzonen – oder aus seiner Sicht Chancen: Bring Your Own Devices, das Internet of Things, Heimarbeits-Zugänge. Cloud-Computing erklärt er als schicke Bezeichnung für "anderer Leute Computer" ("someone else's computer").

Scannen auf eigene Gefahr: Der QR-Code des NSA-Guys.

Wichtigste Maßnahme für den Verteidiger ist eine Bestandsaufnahme, was man zu verteidigen hat und was denn die eigenen Kronjuwelen sind.Auch seine praktischen Ratschläge sind eigentlich nur bekannte Best Practises: Updates einspielen, systematische Sicherheitstests, Rechte minimieren, Netze separieren, Application Whitelisting und so weiter. Insbesondere bricht er eine Lanze für Reputation Services, mit denen man vom Entdecken potentiell bösartiger Dinge (Enumerating Badness) zu einem Sicherheitskonzept komme, das nur bekanntermaßen gute Dinge gestattet. Das mache es Einbrechern unglaublich schwer.

Joyce bemüht sich um einen lockeren Ton. Am Schluss präsentiert er einen QR-Code und fragt das Publikum: "Na, wer traut sich den QR-Code des NSA-Typs zu scannen?" Leider sieht man die Reaktion des Publikums nicht. Auch wenn der Chef der amerikanischen Über-Hacker keine fundamental neuen Erkenntnisse vermittelt, ist es doch interessant, diese Informationen von jemand zu bekommen, der auf der anderen Seite steht. Selbstverständlich kann man ihm durchaus unterstellen, dass er dabei schon im eigenen Interesse nicht die ganze Wahrheit erzählt. Doch wer seinen Tipps folgt, macht damit sicher nichts falsch. (ju)