Das Mohawk College verfügte bereits über ein leistungsfähiges System zum Schutz seiner komplexen IT-Umgebung. Die Hochschule wollte nun zusätzlich eine branchenführende SIEM-Lösung implementieren, um seine Abwehr gegenüber den zunehmenden Cyberbedrohungen noch weiter zu stärken.

Das College arbeitete deshalb mit GlassHouse zusammen, um die QRadar SIEM-Plattform zu implementieren. Ziel war es, einen transparenteren Einblick in seine Umgebung zu erhalten sowie Cybersicherheitsverletzungen zu erkennen, zu untersuchen und darauf zu reagieren.

Hochschuleinrichtungen sind eines der lukrativsten und attraktivsten Ziele für Cyberkriminelle. Die Beute ist zu verlockend: geistiges Eigentum, Forschungsergebnisse und personenbezogene Daten von Studierenden und Lehrkräften. Weil Cybersicherheitsmaßnahmen und entsprechende Technologien in Hochschulumgebungen oft nur punktuell eingesetzt werden, können sich böswillige Angreifer in der Regel einfach Zugriff auf diese leicht zu stehlenden Informationen verschaffen. Oft fehlt nämlich ein übergreifendes System zur Prävention und Reaktion, das mehrere Fachbereiche und Abteilungen einer Universität oder Hochschule abdeckt.

„Es gibt so viele verschiedene Fachbereiche, die alle etwas anderes machen, sodass sich der Schutz der gesamten Umgebung schwierig gestaltet“, erklärt Andrew Frank, Manager für IT Security Services am Mohawk College in Hamilton, Ontario. „Ohne gut durchdachtes Sicherheitsprogramm werden die Techniker in der Regel erst einmal alles tun, um die Umgebung zu schützen. Sie besorgen dann schnell ein paar Malwareschutzprogramme oder installieren vielleicht coole, neue Firewalls der nächsten Generation. Auch wenn diese Maßnahmen sehr wichtig sind, sind sie an einer Hochschule wie Mohawk nur ein Teil des Puzzles im Kampf gegen Cyberangriffe.“

Es ist nicht überraschend, dass Mohawk in puncto Cybersicherheit auf eine umfassende Lösung setzt. Schließlich legt die Hochschule den Schwerpunkt auf angewandte Forschung. Es werden mehrere Studienrichtungen angeboten, die es den Studierenden ermöglichen, praktische Erfahrungen in Unternehmen in Hamilton und dem Großraum Toronto zu sammeln. Die Hochschule ist für ihre innovativen Betriebsabläufe bekannt, mit umweltfreundlichen Gebäuden und Heizungs- sowie Kühlsystemen, die nach dem LEED-Standard zertifiziert sind.

Am Mohawk Collage wird auch das Fach Cybersicherheit unterrichtet. Außerdem verfügt die Hochschule über eine umfassende zentrale IT-Abteilung, die die Cybersicherheit der Einrichtung überwacht. Vor einigen Jahren wurde klar, dass die Hochschule technologisch ausgereifte Cybersicherheitstools zum Schutz vor und zur Verteidigung gegen böswillige Angreifer benötigt.

Frank erinnert sich daran, wie sich die Cybersicherheitsumgebung der Hochschule entwickelt hat. „Unser Vorstand fing an, Fragen dazu zu stellen, und wollte wissen, wie wir ein Programm zum Schutz unserer kritischen Assets entwickeln könnten“, erzählt er. Die zentrale IT-Abteilung befasste sich zunächst mit verschiedenen Branchenframeworks für die Sicherheit. Dazu gehörten beispielsweise die ISO-Normen 27001 und 27002 für das Management der Informationssicherheit. Dann wurde das National Institute of Standards and Technology Cybersecurity Framework (NIST CSF) herangezogen, um eine Schwachstellenanalyse durchzuführen und eine Selbsteinschätzung anhand der fünf Säulen des Frameworks vorzunehmen: Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen.

Die Hochschule wusste, dass die Identifizierung der zu schützenden Assets und der Schutz dieser Assets im Allgemeinen gut funktionierte. Allerdings schnitt das Mohawk College bei der Erkennung nicht gut ab. Das heißt, wenn die Kontrollen doch einmal versagten, konnte die Hochschule solch einen Verstoß nicht schnell genug identifizieren und infolgedessen auch nicht zeitnah darauf reagieren, geschweige denn, Maßnahmen zur Wiederherstellung ergreifen. „Sie können all diese Investitionen in Ihre Schutzmechanismen stecken, aber es gibt keine Patentlösung“, bestätigt Frank. „Am Ende ist das Risiko einer Kompromittierung hoch und die Umgebung komplex.“

Das Mohawk College beschloss, sich auf die Erkennung zu konzentrieren und in diesen Bereich zu investieren. „Wir wollten sicherstellen, dass wir Angreifer, die unsere Schutzmaßnahmen überwunden haben, schnell erkennen und aus unserem Netzwerk entfernen können“, sagt Frank. Im Hochschulbereich kann es manchmal Monate dauern, bis jemand merkt, dass Angreifer in ein System eingedrungen sind. „Dies wollten wir im Falles eines Angriffs auf unsere Systeme verhindern“, sagt er.

„Neben der schnellen Erkennung war für uns auch wichtig, was danach passiert“, erklärt Frank. „Man möchte in der Lage sein, Dinge zu reproduzieren, um zu wissen, was genau passiert ist und welche Systeme angegriffen wurden. Das ist notwendig, um seine Systeme nach einem Angriff wiederherzustellen und sein Netzwerk wieder abzusichern.“

Das Mohawk College machte sich auf die Suche nach einer branchenführenden Erkennungsplattform. Die Hochschule arbeitete zu diesem Zeitpunkt bereits mit IBM zusammen, um das Thema „SIEM-Tools“ (wie die QRadar-Lösung) in sein Ausbildungsprogramm für Cybersicherheit zu integrieren. Mit dieser Synergie im Hinterkopf begannen Frank und seine Kollegen, SIEM-Lösungen für die Hochschule genauer unter die Lupe zu nehmen.

Frank beschreibt, welche Kriterien wichtig waren: „Wir wollten ein einfach zu bedienendes Tool, das kein umfangreiches Training für die Benutzer erfordert, um die Daten zu durchsuchen und Ereignisprotokolle sowie den Netzwerktraffic zu analysieren.“ Die Hochschule benötigte ein Tool, das nicht nur die Informationen für die Suche speichert, sondern auch Vorfälle identifiziert und priorisiert und die Option zur Anwendung von KI bietet, um Verstöße schneller zu untersuchen. 

QRadar stellte sich schnell als eine der besten Lösungen heraus, die Mohawk genauer untersuchte. Das Tool hob sich in vielen Aspekten von den anderen in Betracht gezogenen Lösungen ab: Es wurde von Gartner in seinem Bericht „Magic Quadrant for SIEM“ als eine der führenden SIEM-Lösungen eingestuft, es hatte eine gute Reputation bei den Providern von Public Clouds und es hatte gute Referenzen von anderen Hochschulen erhalten.

Es gibt Bedrohungen, die es schaffen, selbst in die besten Cybersicherheitssysteme einzudringen. Und wenn das Sicherheitsteam die Bedrohung nicht sehen kann, kann es auch nicht darauf reagieren. Nach der Implementierung von QRadar kann das Mohawk College nun Cybersicherheitsverstöße schnell erkennen und entsprechend reagieren.

„Es geht vor allem um Transparenz“, sagt Frank. „Es geht darum, zu sehen, was im Netzwerk vor sich geht und wie die verschiedenen Rechner miteinander verbunden sind und miteinander kommunizieren. Es geht darum, Alerts auszugeben, um zu sehen, ob es eine potenzielle Gefährdung im Netzwerk gibt, die untersucht werden muss. Mit QRadar erhalten wir ein Maß an Transparenz, das wir vorher nicht hatten.“

Frank vergleicht die frühere Komplexität der Überwachung des Sicherheitssystems von Mohawk mit der heutigen Einfachheit der Darstellung im QRadar-Dashboard. „Stellen Sie sich vor, dass Sie in einer großen Organisation viele verschiedene Sicherheitstools und -anwendungen haben“, sagt er. „Von Malwareschutz an den Endpunkten über das Rechenzentrum und Firewalls – außerhalb des Unternehmens und auch intern an verschiedenen Orten – bis hin zu Sensoren zur Abwehr von Angriffen von außen und so weiter.“ Früher hatten alle diese Systeme ihre eigenen Oberflächen, in die sich die Mitarbeiter des Sicherheitsteams einzeln einloggen mussten, um mögliche Bedrohungen zu untersuchen. Und jedes Element gab es mehrmals, verteilt über die gesamte Hochschule, in unterschiedlichen Fachbereichen, Campusgebäuden und an verschiedenen Standorten.

„Jetzt nimmt QRadar all diese Daten auf und stellt sie uns in einer einzigen Ansicht zur Verfügung“, sagt Frank. „Und dann werden alle Alerts, Warnungen und potenziellen Bedrohungen, die diese Lösungen ausgeben, nach Risiken priorisiert, damit wir sie untersuchen können. Es hilft uns also wirklich dabei, die Informationen zu sichten. Es geht schnell und sorgt dafür, dass wir uns auf die größten Risiken oder Bedrohungen konzentrieren.“

Das Mohawk College nutzt QRadar Data Store für das zentrale Protokollmanagement, wodurch die Einhaltung des Payment Card Industry Data Security Standard (PCI DSS) der Hochschule verbessert wird. Laut Frank hilft die zentralisierte Protokollierung auch dem operativen Team. „Wenn wir Probleme im Rechenzentrum beheben, die nicht sicherheitsrelevant sind, hat das operative Team jetzt Zugriff auf die Details“, sagt er. „Sie können Suchanfragen durchführen, um die benötigten Informationen schnell zu finden, ohne dass sie in jeden einzelnen Rechner gehen und versuchen müssen, die Protokolle manuell zu überprüfen. Ich denke, das beschleunigt eine Reihe von Herausforderungen, mit denen Infrastrukturteams in der Regel zu kämpfen haben.“

Frank ist froh, dass sich die Hochschule für die Zusammenarbeit mit einem IBM Business Partner wie GlassHouse entschieden hat und lobt das GlassHouse-Team: „Sie hatten nicht nur hochqualifizierte, technisch versierte und sachkundige Mitarbeiter für QRadar, sondern auch für die Cybersicherheit im Allgemeinen. Wir waren absolut beeindruckt.“

Jeff Wilson von GlassHouse erklärt seinerseits, warum die enge Beziehung zu Mohawk so erfolgreich war. „In der Umgebung von Mohawk gibt es nichts, was bei der Integration in QRadar schwierig war“, sagt er. „Im Sicherheitsbereich ist eine enge und effektive Zusammenarbeit mit dem Kunden – das Verstehen seiner Prozesse, seiner Infrastruktur und seiner Softwareumgebung sowie der Orte, an denen sich seine wichtigsten Daten befinden – wirklich wichtig, um Sicherheit zu bieten und Wege für die Beseitigung von Schwachstellen zu finden. Und ich denke, dass diese gute Kooperation zwischen einem mittelständischen Unternehmen wie GlassHouse und einem mittelgroßen Kunden wie Mohawk zu einer erfolgreichen Zusammenarbeit beiträgt.“

Die Zusammenarbeit war auch dank der Unterstützung der Hochschulleitung und der Akzeptanz durch andere Abteilungen wie die Betriebs- und Infrastrukturteams erfolgreich, die bereits von der QRadar-Lösung profitiert haben. „Sie kennen das Tool und dessen Funktionsweise. Und sie wissen, wie sie in ihren jeweiligen Abteilungen von dem Tool profitieren können“, sagt Frank. „Ich denke, das war ein entscheidender Erfolgsfaktor, ebenso wie die Tatsache, dass alle beteiligt waren und gemeinsam nach der richtigen Lösung für die Hochschule gesucht haben.“

Die Hochschule schafft Synergieeffekte zwischen ihrer im Hintergrund agierenden Sicherheitsabteilung und ihren akademischen Programmen, indem Kurse in Cybersicherheit angeboten werden, die auch SIEM einschließen. Letztendlich könnte sich der Einsatz der QRadar-Plattform zu einem Recruiting-Tool entwickeln, da Studierende, die sich in einem stark nachgefragten Bereich wie der Cybersicherheit weiterbilden wollen, sehen werden, dass die Hochschule durch die Implementierung einer technologisch ausgereiften SIEM-Lösung genau das praktiziert, was sie lehrt.

Das 1966 gegründete Mohawk College (Link befindet sich außerhalb von ibm.com) liegt in Hamilton, Ontario, Kanada, und positioniert sich als Hochschulstandort, der für seine Innovationskultur bekannt ist. Die Hochschule hat es sich zum Ziel gesetzt, hochqualifizierte Absolventen auszubilden und diese auf ihren Erfolg und ihren Beitrag zur Gemeinschaft vorzubereiten. Das Mohawk College unterrichtet mehr als 32.500 Vollzeit-, Teilzeit- und internationale Studierende und beschäftigt etwa 1.000 Lehrkräfte. Es betreibt drei große Campusstandorte: Fennell, Stoney Creek und das Mohawk-McMaster Institute for Applied Health Sciences der McMaster University.

Der 1993 in Toronto, Kanada, gegründete IBM Business Partner GlassHouse (Link befindet sich außerhalb von ibm.com) hilft seinen Kunden im privaten und öffentlichen Sektor, die Komplexität und Betriebskosten ihrer IT-Umgebungen zu reduzieren. Das Unternehmen verfügt über Fachwissen in den Bereichen Cloud, Managed Services, Unternehmenssicherheit, Infrastruktur und mehr und bietet entsprechende Lösungen an. GlassHouse hat seinen kanadischen Hauptsitz in Toronto und seinen US-Hauptsitz in Lisle, Illinois, und beschäftigt etwa 80 Mitarbeiter.