In dieser Blogserie werden wir die Funktionen des Browsers im heutigen Unternehmen untersuchen. Der Browser ist zur am häufigsten verwendeten Anwendung in Unternehmen geworden, und es wird für Desktop-, IT- und Sicherheitsteams immer wichtiger, den vollen Funktionsumfang dieser leistungsstarken App zu verstehen.
Warum? Weil einige der Dinge, die Ihr Browser tun kann, Sie überraschen werden.
Die Browser, die wir in dieser Serie besprechen werden, sind Google Chrome und Microsoft Edge. Diese robusten, auf Chromium basierenden Apps gehören zu den beliebtesten der Welt und repräsentieren zusammen einen globalen Marktanteil von fast 80%. Besser noch, diese Browser sind kostenlos, da sie eine der am besten geprüften und gemeldeten Apps der Welt sind.
Was Sie möglicherweise nicht genau wissen, ist, über wie viele richtliniengesteuerte Funktionen diese Browser verfügen. Tatsache ist, dass viele der Funktionen, die früher in das Betriebssystem des Geräts eingebettet waren, jetzt im Browser aktiviert sind und diese Funktionen möglicherweise auf dem Endpunkt aktiv sind, auch wenn der Benutzer nicht aktiv surft.
Zwischen Chrome und Edge gibt es buchstäblich Tausende solcher Richtlinien, die berücksichtigt werden müssen, und viele sind standardmäßig aktiviert. Noch besorgniserregender ist, dass einige Richtlinien speziell gesperrt werden müssen, um sicherzustellen, dass Benutzer sie nicht ändern können.
Die erste dieser Richtlinien, die wir in Betracht ziehen werden, ist DefaultWebBluetoothGuardSetting, mit der Websites direkt mit Bluetooth-Geräten kommunizieren können. Wenn Sie jemals ein Bluetooth-fähiges Gerät hatten, z. B. einen Fitness-Tracker, mussten Sie aufgrund von Updates Dinge wie Firmware-Updates auf Ihren Computer herunterladen und sie dann an Ihr Bluetooth-Gerät senden. Mit DefaultWebBluetoothGuardSetting kann die Website direkt mit Ihrem Gerät kommunizieren. In einem rein privaten Anwendungsfall mag diese Funktion sehr nützlich erscheinen. Im Unternehmen ist es jedoch etwas ganz anderes.
Warum es wichtig ist
Es ist leicht zu vergessen, wie viele Geräte über Bluetooth aktiviert werden und wie viele Informationen diese Geräte enthalten. Selbst im oben genannten Anwendungsfall für Fitness-Tracker lohnt es sich, die Daten zu berücksichtigen, die ein solches Gerät möglicherweise enthält, einschließlich Informationen über Größe, Gewicht oder Herz-/Lungenfunktion des Benutzers sowie Privatadresse, Standorte in Echtzeit und mehr.
Extrapolieren Sie diese Details nun auf Bluetooth-fähige Geräte, die in einem Unternehmen zu finden sind, wie Headsets, Smart Locks oder Konferenzlautsprecher. Vertikale Branchen haben immer noch mehr Geräte, darunter Barcodescanner, Kassensysteme oder Beacons im Einzelhandel oder medizinische Geräte wie Blutdruckmessgeräte oder sogar Patienten-Tracker im Gesundheitswesen.
Jedes dieser Geräte enthält Daten, die durchaus privat oder vertraulich sein können. Zumindest Details, die selbst dem harmlosesten Gerät entnommen werden könnten, könnten sich für Angreifer, die nach dieser einen Schwachstelle suchen, als gefährlich erweisen. Gefahren, die mit der Gewährung eines solchen Zugriffs verbunden sind, wie in der beschrieben Leitfaden zur technischen Implementierung von Sicherheit (STIG), die vom US-Verteidigungsministerium (DoD) verwendet werden, umfassen:
- Sicherheitsrisiken:
- Unbefugter Zugriff auf Bluetooth-Geräte kann zu Datenschutzverletzungen, Gerätemanipulationen oder zum Abhören der Kommunikation zwischen Geräten führen
- Schutz der Privatsphäre:
- Wenn Websites Zugriff auf Bluetooth-Geräte erhalten, besteht die sehr reale Gefahr, dass die Privatsphäre verletzt wird und eine unbefugte Datenerfassung oder -verfolgung ermöglicht wird.
- Insider-Bedrohungen:
- Eine weitere Möglichkeit, wie diese Richtlinie missbraucht werden könnte, sind Insiderbedrohungen. Mitarbeiter oder andere interne Benutzer könnten Geräte leicht externen Bedrohungen aussetzen, die von bösartigen Websites ausgehen, entweder absichtlich oder versehentlich.
- Einhaltung der Richtlinien:
- Viele Vorschriften und Richtlinien, darunter STIG, Center for Internet Security (CIS) und andere, zielen darauf ab, potenzielle Sicherheitsrisiken zu minimieren.
Was ist zu tun
Das scheint eine leicht zu beantwortende Frage zu sein. Deaktiviere einfach die Richtlinie, oder? Nicht so schnell.
Diese Richtlinie ist ein gutes Beispiel für etwas, bei dem das Kleingedruckte wichtig ist, denn die Antwort ist kein einfaches „Ja“ oder „Nein“. Diese Richtlinie kann auf 2, auf 3 oder gar nicht gesetzt werden, was zu folgenden Ergebnissen führt:
- Einstellung 2 — Erlaubt keiner Website, über die Web-Bluetooth-API Zugriff auf Bluetooth-Geräte anzufordern.
- Einstellung 3 — Websites können den Benutzer bitten, Zugriff auf ein Bluetooth-Gerät in der Nähe zu gewähren.
- Unset — Websites bitten auch um Zugriff, obwohl der Endbenutzer die Einstellung ändern kann, wenn er dies wünscht und weiß, wie.
Okay, du denkst vielleicht, das war nicht so schwer... und du hättest recht. Das Problem ist, dass es immer noch Tausende solcher Richtlinien gibt, die es zu berücksichtigen gilt. Die beschreibende Sprache ist nicht so konzipiert, dass sie schwierig ist, aber Tatsache ist, dass jede Politik einzeln betrachtet werden muss.
Denken Sie jetzt einen Moment darüber nach, welches Mitglied Ihres überlasteten, überlasteten Teams das tun wird.
Es gibt einen besseren Weg
Browser Posture Manager, von Menlo Security, macht diesen Vorgang einfach. Bei Menlo haben wir die letzten zehn Jahre damit verbracht, die besten Browser mit dem umfassendsten Funktionsumfang zu sichern, die den zusätzlichen Vorteil haben, dass sie genau die Browser sind, die 80% der Unternehmen auf der ganzen Welt bereits verwenden!
Mit Browser Posture Manager können Sie mit nur wenigen Klicks sehen, wie Ihre aktuellen Browserrichtlinien im Vergleich zu den Benchmarks der Sicherheitsbranche abschneiden. Laden Sie einfach Ihre Browsereinstellungen als.JSON-Datei hoch und wählen Sie den Benchmark aus, den Sie sehen möchten. Sie erhalten sofort eine vollständige Liste Ihrer aktuellen Richtlinien sowie eine einfache Erklärung, was die einzelnen Richtlinien tatsächlich bewirken. Sie werden nicht nur alle Umstände sehen, unter denen Ihre Richtlinien Sicherheitsprobleme aufweisen, die mit den Benchmarks in Konflikt stehen.
Im Fall der Richtlinie, die wir uns gerade angesehen haben, verlangen beispielsweise sowohl CIS als auch STIG, dass die Richtlinie auf 2 gesetzt oder deaktiviert wird.
Das Beste ist jedoch, dass Menlo Brower Posture Manager diese Entscheidungen nicht für Sie diktiert. Unsere Erfahrung mit der Absicherung des Browsers für einige der größten Organisationen der Welt hat unsere Überzeugung bestätigt, dass jedes Unternehmen anders ist.
Erfahren Sie mehr darüber, wie Browser Posture Manager von Menlo Sicherheit einfach machen kann hier.