|  |
Game Server – Der Trend von Morgen
 Game Server sind gewöhnliche Bestandteile von Spielen, welche Multiplayer Optionen anbieten und stellen heutzutage eine Standardfunktion dar. Da der Spielesektor immer mehr anwächst, bieten Hosting Provider verstärkt dedizierte Server für Online Gaming an. Online Multiplayer sorgen leider nicht nur für Spass, sondern bringen auch einige Tücken und Sorgen.
Zahlreiche Berichte in den Medien beschreiben die Unsicherheit von Multiplayer Games. Betroffen sind unter anderem Quake, Unreal Tournament, Battlefield, Half-Life, Tribes, Return to Castle Wolfenstein, Medal of Honor, Americas Army u.v.a. Detaillierte öffentliche Aufzeichnungen betreffend deren Exploits und Schwachstellen gibt es jedoch nur sehr wenige.
Mehr und mehr Menschen erfahren die Vielfalt des Online Gamings. Trends zeigen einen massiven Anstieg in diesem Bereich und dies wird die nächsten Jahre auch so bleiben. (Hintergrund bietet die Deloitte-Studie "The State of the Media Democracy", die 2009 in Deutschland mit über 9000 Mediennutzern durchgeführt wurde.) Somit stellt die Gaming Branche einen Wirtschaftszweig mit Zukunft dar.
Unabhängig der Architektur, zentralisiert oder verteilt, die "Key Elements" bleiben die gleichen. Dazu zählen High Availability, die Game Server, Game Server Switches, Corporate Firewalls, Network Management und das interne Netzwerk. Jeder Ausfall, jede Attacke etc. auf diese Schlüsselelemente kann den Stillstand des Betriebs und somit eine Kostensteigerung und Gewinnminimierung, bis hin zur Kundenfluktuation und Rufschädigung führen. Im Weiteren möchte ich einige Punkte behandeln, betreffend der Sicherheit, vor allem Vertraulichkeit, Integrität und Verfügbarkeit. Darunter finden Sie Schwerpunkte der Netzwerksicherheit, sowie Prozessthemen im Incidentbereich und Security Management.
Server based Gaming Security Review
Serverbasierende Spiele unterscheiden sich von Singleplayer Spielen und weisen daher ihre eigenen Schwachstellen und Sicherheitslücken auf, welche unbedingt adressiert gehören. Meist wird ein Team rekrutiert werden, welches sich mit aktuellen Themen der Sicherheit in Netzwerken und physikalischer Sicherheit auseinandersetzt. Für den allgemeinen Review sind folgende Bereiche zu beachten:
- Netzwerkkonfiguration
- Access Control für Betreiber und Lieferanten zu Gaming Equipment und Server
- Überprüfung implementierter Securitymaßnahmen
- Reporting Methoden und Prozeduren
System- und Netzwerksicherheit
Offene Netzwerkverbindungen
Auf Grund von Netzwerkkonfigurationen vieler Systeme, ist es für den Betreiber nicht möglich, alle Aktivitäten zu überwachen. Ein Kunde hat einige unabhängige und unkontrollierte Netzwerkverbindungen direkt zum Game Server. So ist es möglich, dass Systemkonfigurationen und/oder Modifikationen, ohne Wissen des Betreibers, durchgeführt werden können und ein System kompromittiert wird.
Kein sinnvolles Auditing
Die Möglichkeit ein System Review und Audit durchzuführen ist oft nicht möglich. Es ist dennoch notwendig die herrschenden Sicherheitsbestimmungen zu kontrollieren. Es kann sein, dass Hersteller direkte Wege in dessen Serverprogramme hinterlegt haben, um später, ohne Genehmigungen und Wissen des Betreibers, Modifikationen am Server durchführen zu können. Man spricht von Backdoors. Manche Operatoren sind zudem auch nicht in der Lage, selbst Modifikationen an den Servern durchzuführen und sind somit an den Hersteller gebunden.
Netzwerk Availability
Die Erfahrung zeigt, dass viele Netzwerke nicht adäquat vor unautorisierten Zugriffen geschützt werden. Systeme weisen meist mehrere Verbindungspunkte/Zugangspunkte auf, die nicht überwacht werden und sind auf diesem Weg potentiell für Netzwerkschäden anfällig und bieten erweitere Wege, wo Angriffe initiiert werden können. Es müssen Prozeduren entwickelt werden, um Netzwerke gegen unautorisierte Zugriffe zu schützen und Systemfehler und Datenverlust zu vermeiden und/oder zu mitigieren.
Fehlendes Security Incident Response
Oftmals gibt es keine bzw. unaktuelle Security Policys und Kontinuitätspläne, um auf unautorisierten Zugriff, Incidents und Daten oder System Recovery zu reagieren. Solche Pläne stellen klare Hilfsmittel und Methoden bzw. Verfahrensanweisungen zur Verfügung, um die Sicherheit weitreichend zu gewährleisten und Schadensaufkommen in Grenzen zu halten.
Risikominimierung (Zusammenfassung)
- Policys und Prozeduren implementieren, um sicheren Zugriff zu Servern und Kommunikation zu stärken,
- Mitarbeiter, die im Bereich der Game Server Landschaft tätig sind, müssen einem Background Check unterzogen werden,
- lizenzierte und zertifizierte Mitarbeiten einsetzen,
- Einführung von Security, Contingency, Continuity, Disaster und Incident Response Plänen,
- einführen und installieren von Intrusion Detection Systemen, um auf Attacken, Verlust von Netzwerk Availability oder unautorisierten Zugriff reagieren zu können,
- einsetzen von Betriebssystemen mit DAC und Firewalls,
- einsetzen von VPNs, um einen Security Layer zur Betriebssystemadministration einzuführen.
Attacken auf Game Server Netzwerke
Die häufigsten Attacken setzen sich wie folgt zusammen:
DDoS - Als Denial of Service (DoS, zu Deutsch etwa: Dienstverweigerung) bezeichnet man einen Angriff auf einen Host (Server) oder sonstigen Rechner in einem Datennetz mit dem Ziel, einen oder mehrere seiner Dienste arbeitsunfähig zu machen. In der Regel geschieht dies durch Überlastung. Erfolgt der Angriff koordiniert von einer größeren Anzahl anderer Systeme aus, so spricht man von Verteilter Dienstblockade bzw. DDoS (Distributed Denial of Service). Normalerweise werden solche Angriffe nicht per Hand, sondern mit Backdoor-Programmen oder Ähnlichem durchgeführt, die sich von alleine auf anderen Rechnern im Netzwerk verbreiten und dem Angreifer durch solche Botnetze weitere Wirte zum Ausführen seiner Angriffe bringen.
Quelle: Wikipedia.org
Game Server Attacken – Je nach Unsicherheit des gehosteten Spieles sind Attacken auf das Protokoll und die Dienste des Spieles möglich. Diese Sicherheit liegt jedoch allein in den Händen der Entwickler.
Public Service Attacken – Angriffe auf publike Server ist die am einfachsten durchzuführende Möglichkeit für einen Outsider, Angriffe auf interne Komponenten zu starten. Somit muss die interne Sicherheit für adäquates Hardening, Updates und Monitoring der Systeme sorgen.
Schlusswort
Sicherheit ist ein Griff ins Grenzenlose, daher gibt es keine 100%ige Sicherheit. Die Möglichkeiten nutzen, Angreiffern und Menschen mit bösartigen Absichten, Steine in den Weg zu legen, ist die Schutzimpfung unserer Systeme. Vorher angeschnitten – die Sicherheit des angebotenen Spieles liegt in den Händen der Spielmacher; Dies ist allgemein auf alle Softwareentwickler zutreffend. Hersteller ohne Sicherheitsbewusstsein oder ohne Sicherheitskultur wird es schwer fallen, sichere Applikationen zu programmieren. Sicherheit und Qualität spielen sehr stark zusammen und sind auch in Zukunft gefordert. Alle Maßnahmen die implementiert und überwacht werden, sorgen für Verfügbarkeit, Integrität und Vertraulichkeit. Internationale Normen wie ISO 2700x, ISO 9000 und ISO 14000 ergänzen sich und wirken mit Ihrer Akzeptanz. ITIL gibt eine solide Grundlage für Prozesse.02/2010, Michael F. Schratt
Kommentare zu diesem Beitrag | | |
Weitere Beiträge zu diesem Thema | | |
|  | | Security Awareness muss heutzutage in Unternehmen als kritische Maßnahme betrachtet werden, welche massgebend zum Erfolg eines globalen Sicherheitsprogramms beiträgt... | |  | | Verbrechen werden seit Menschengedenken verübt. Heutzutage sind häufig Computer oder andere elektronische Geräte in derartige Vorfälle involviert – sei es als Tatwerkzeug oder Hilfsmittel. | |  | | Drahtlose Mini-Netzwerke gibt es heute schon in vielen Haushalten. Was jedoch kaum jemand weiß: Die dafür eingesetzten Breitband-Router können schnell zum Einfallstor für Hacker werden. Daher ist in WLANs besondere Vorsicht geboten. Wirkliche ... | |  | | Unternehmenserfolg abgesichert: Bei Osram haben nicht nur Energiesparlampen ein langes Leben, auch das internationale Unternehmensnetzwerk ist durch intelligentes Application-Switching von Radware ausfallfrei ... | |  | | „Der gläserne Mensch“ – mit RFID (Radio Frequency Identification) ist dies keine Zukunftsmusik. So revolutionär und nützlich die Radiofrequenztechnologie für Identifikationszwecke ist, so mächtig und unsichtbar ist gleichzeitig die Gefahr, die für den ... | |
Beiträge aus anderen Themenbereichen | | |
|  | | Im Zuge der Ausgliederung aus dem MAN-Konzern suchte die manroland AG ein CMS und einen erfahrenen Dienstleister für die Umsetzung ihrer neuen, internationalen Webpräsenz. edicos überzeugte mit tiefgehender CMS-Expertise... | |  | | Für viele Unternehmen ist eine BI-Lösung unverzichtbare Basis zentraler Geschäftsentscheidungen. Dabei kann BI vieles sein: von der einfachen Excel-Auswertung bis hin zur hochkomplexen IT-Lösung... | |  | | Aufgrund hoher Nettorenditen sind exzellente After-Sales-Services für den Maschinen- und Anlagenbau ein strategischer Erfolgsfaktor im globalen Wettbewerb... | |
| | | |
