Tokyo Medical and Dental University

Wenn ein Unternehmen ein großes Projekt zur Netzwerktransformation durchführt, muss die Sicherheit der Infrastruktur und der Schutz der Nutzer in der neuen Umgebung sorgfältig geprüft werden. Genau dieser Situation sah sich der Bereich „IT Development“ der Tokyo Medical and Dental University (TMDU) nach einem Upgrade ihres Netzwerks im Jahr 2017 gegenüber. Dieses Team ist für den Betrieb und die Verwaltung des Netzwerks verantwortlich, das die Campus Yushima, Surugadai und Kounodai umfasst. Außerdem verwaltet es das Gäste-WLAN in gemeinsam genutzten Bereichen der gesamten Universität und beaufsichtigt mehr als 6.000 Nutzer.

Zunächst stellte das Team fest, dass die Bereitstellung von UTM‑Appliances (Unified Threat Management) mit Firewall‑, URL‑ und E‑Mail‑Filterfunktionen das in dieser neuen Umgebung erforderliche Schutzniveau bieten würde.

Trotz des Upgrades der Sicherheitsarchitektur der Universität verzeichnete das Team eine drastische Zunahme der Anzahl gezielter schädlicher E‑Mails, die die Posteingänge der Nutzer erreichten.

„Neben den üblichen Phishing‑E‑Mails, in denen Nutzer aufgefordert werden, ihre ID und ihr Passwort zu ändern, oder die vortäuschen, von einem Lieferservice zu stammen, erfassten wir gezielte E‑Mails, die so aussahen, als stammten sie vom IT‑Supportteam der Universität“, so Kazuya Sato, Director der Administrative Division des Institute of Information Technology und Division Head des Bereichs IT Development.

Die meisten dieser E‑Mails enthielten URLs, die Empfänger an Phishing‑Websites weiterleiteten, was zu mehreren Firewall‑Warnungen führte. Außerdem kam es täglich zu einer Flut von Meldungen verdächtiger E‑Mails von Studenten und Mitarbeitern. Das IT-Team beantwortete und untersuchte jeden Monat Hunderte von Sicherheitswarnungen.

„Früher haben wir gedacht, dass wir schädliche IP-Adressen einfach mit der Firewall blockieren könnten. Aber bei zielgerichteten E‑Mails ist das nicht mehr so einfach. Heutzutage ändern sich die IP-Adressen der eingebetteten URLs dynamisch“, erklärt Kozo Takase, Professor und Division Head der Abteilung Information Infrastructure and Security an der TMDU. „Und wenn sich die IP‑Adresse änderte, konnte auch der Schutz verloren gehen. Mit anderen Worten: Es bestand ein erhebliches Risiko, dass die Bedrohung die Firewall überwindet. Darüber hinaus hatten wir keine genaue Vorstellung, wie häufig dies geschah.“

Der Bereich IT Development war der Ansicht, dass die bestehenden Sicherheitsmaßnahmen Lücken aufweisen, und startete daher ein Projekt, um eine zusätzliche Schutzebene hinzuzufügen. Bei der Suche nach möglichen Lösungen lernte das Team einen Sicherheitsansatz kennen, bei dem rekursive DNS-Abfragen untersucht werden – mit DNS als Sicherheitskontrollpunkt.

„Da die Firewall diese schädlichen Transaktionen nicht stoppen konnte, dachten wir, dass es sinnvoll sei, einen Schritt früher in der Kill Chain anzusetzen und die Angriffe auf DNS-Ebene zu blockieren. Diese Überlegungen waren richtig, es blieb jedoch die Frage, ob dieser Ansatz tatsächlich effektiv funktionieren würde. Die einzige Möglichkeit, dies herauszufinden, bestand darin, es auszuprobieren“, erklärt Takase.

Darüber hinaus würde die Verwendung von DNS als Kontrollpunkt die Universität in die Lage versetzen, den HTTPS-Webtraffic ohne die Komplexität der Entschlüsselung dieses Traffics in ihren Firewalls zu überprüfen und zu kontrollieren.

Der Bereich IT Development prüfte eine Reihe von verfügbaren Lösungen, darunter Akamai Secure Internet Access Enterprise. Während das Team seine Optionen in Betracht zog, teilte Akamai mit, dass die Universität den Service mit einem kostenlosen Proof of Concept (POC) testen könne.

„Als wir zum ersten Mal von Akamai Secure Internet Access Enterprise hörten, war es für uns ein wenig wie eine Blackbox‑Situation. Wir waren uns nicht sicher, worauf wir uns einließen. Wir wollten nicht einfach blind etwas einführen, worüber wir uns nicht zu 100 % sicher waren. Daher musste zuerst einmal nachgewiesen werden, dass die Lösung auch effektiv ist“, so Sato.

Sobald Secure Internet Access Enterprise aktiviert war, erkannte es sofort eine Vielzahl schädlicher DNS‑Anfragen, die aus dem Netzwerk der Universität kamen.

„Wir bekamen jeden Tag Tausende böswilliger Anfragen“, erklärt Masanori Nasu, Technical Specialist im Bereich IT Development. „Ich war absolut verblüfft, um ehrlich zu sein. Wir hatten Dutzende oder vielleicht Hunderte erwartet.“

Das Team war zunächst skeptisch hinsichtlich der großen Anzahl gemeldeter böswilliger Anfragen, aber nach der Untersuchung der angeforderten Domains wurde klar, dass es sich bei der Mehrzahl um Phishing‑Websites oder Malware‑Drop‑Sites handelte.

Der Bereich IT Development war von der Zuverlässigkeit von Secure Internet Access Enterprise überzeugt und entschied sich, die Lösung sofort umfassend einzusetzen. „Wir konnten sehen, dass uns Risiken bevorstanden, sodass es keine Debatte darüber gab, ob wir Secure Internet Access Enterprise einsetzen sollten. Die Frage war also nicht ob, sondern von wann wir die Lösung implementieren“, so Takase.

Nach der vollständigen Einführung von Secure Internet Access Enterprise wurde bösartiger Traffic, den die Firewall nicht identifizieren konnte, erkannt und sicher blockiert. Und da Bedrohungen auf DNS-Ebene gestoppt wurden, sank die Anzahl der Bedrohungswarnungen von der Firewall drastisch – auf nur wenige pro Monat.

Vor der Bereitstellung von Secure Internet Access Enterprise hatte die Universität zudem zahlreiche Bedrohungswarnungen von externen Institutionen erhalten, die darauf hinwiesen, dass bösartiger Traffic vom Netzwerk ausging. Nach der Aktivierung von Secure Internet Access Enterprise gab es mehrere Monate lang überhaupt keine Warnungen. „Früher mussten wir auch nach dem Verlassen des Büros etwa einmal pro Stunde prüfen, ob wir eine externe Warnung erhalten hatten. Heute ist das nicht mehr nötig. Unser primäres Ziel wurde erreicht, und wir sind damit sehr zufrieden“, so Nasu.

Und obwohl es Bedenken gab, den DNS-Traffic der Universität auf Secure Internet Access Enterprise umzustellen, war der Übergang aufgrund der Skalierbarkeit, Kapazität und Ausfallsicherheit der Akamai Intelligent Edge Platform nahtlos.

Secure Internet Access Enterprise war auch für die TMDU kostengünstig, da Akamai eine spezielle Lizenz für Universitäten anbietet. „Dank des Machbarkeitsnachweises, der die Effektivität von Secure Internet Access Enterprise bei der Abwehr von Bedrohungen und der Erhöhung der Sicherheit demonstriert hat, konnten wir die Zustimmung gewinnen“, so Sato.

„Es gibt viele Universitäten mit ähnlichen Umgebungen wie unsere – aber sie haben einfach noch nicht erkannt, welchen Risiken sie ausgesetzt sind. Die Einführung von Secure Internet Access Enterprise ist schnell und unkompliziert. Sie müssen einfach nur Ihr rekursives DNS auf Akamai umstellen, ohne dass weitere Änderungen erforderlich sind. Es gibt nur wenige Aspekte von Secure Internet Access Enterprise, die sich mit den bereits vorhandenen Sicherheitsmaßnahmen überschneiden. Daher denke ich, dass andere Universitäten Secure Internet Access Enterprise in Betracht ziehen sollten“, so Takase.

Die TMDU wurde im Oktober 1928 als „Tokyo National School of Dentistry“ gegründet. Nach der Zusammenlegung der Studiengänge Medizin und Zahnmedizin bei Yushima Shoheizaka, einem heiligen Ort des Lernens, wurde die Einrichtung Japans einzige Universität mit einer Graduate School sowohl für Medizin als auch für Zahnmedizin. Sie strebt nach den neuesten Entwicklungen in der Medizin und vermittelt in ihren Studiengängen Wissen und Menschlichkeit. Die Universität zielt darauf ab, mitfühlende und wissenschaftlich gesinnte Ärzte, Zahnärzte, Krankenschwestern, Wissenschaftler, Zahnarzthelfer und Zahntechniker heranzubilden. Die Universität ist bestrebt, herausragende medizinische Mitarbeiter und Forscher auszubilden, einen umfangreichen Beitrag zur Gesellschaft zu leisten und gleichzeitig ein Forschungs- und Bildungssystem auf dem Gebiet der Medizin und der Biowissenschaften aufzubauen.