Sicherheitsautomatisierung (wird in einem neuen Tab geöffnet) ist weitaus leichter gesagt als getan.
Betrachten Sie die Erfahrungen des Ministeriums für Innere Sicherheit mit seinem Programm „Continuous Diagnostics and Mitigation“ (CDM). Das im Jahr 2012 entwickelte Programm zielt darauf ab, die Sicherheit von Bundesbehörden durch die kontinuierliche Bewertung und Behebung von Systemen hinsichtlich Bedrohungen, Schwachstellen, Datenlecks und Sicherheitswerkzeugen, die nicht den Richtlinien entsprechen, zu verbessern.
Aufgrund von Fehlentscheidungen der Behörde und der Komplexität des Vorhabens kam das Programm nur schleppend in Gang. Laut einem Bericht des DHS unter der Bezeichnung „ “ ( ) des Büros des Generalinspektors hatte das DHS ursprünglich gehofft, den ersten Teil des Programms bis zum Jahr 2017 umzusetzen, doch dieser Termin verschob sich auf das Jahr 2022. Gemäß dem „ April 2023“ sind zivile Bundesbehörden jedoch verpflichtet, wöchentliche automatisierte Sicherheitsüberprüfungen durchzuführen und die dabei festgestellten Sicherheitsmängel genau zu erfassen.
Dies ist ein weiterer Schritt im Rahmen des Programms „ “, den die Bundesregierung unternimmt, um die Automatisierung im Sicherheitsbereich voranzutreiben. Doch solche stockenden Fortschritte müssen bei Bundesbehörden – und übrigens auch bei Unternehmen der Privatwirtschaft – nicht die Regel sein. Indem sie sich an bewährten Verfahren der Branche orientieren, können Unternehmen ihre Sicherheitsmaßnahmen auf die richtige Weise automatisieren.
Die Herausforderung der Automatisierung
Seit Jahren wird die Automatisierung der Sicherheit als der heilige Gral angepriesen. Zu diesen Bemühungen zählten unter anderem der Versuch von IBM, die Branche auf die Selbstheilungsfähigkeiten des „autonomen“ Computing umzustellen, sowie später das Bestreben der Netzwerkbranche, automatisierte Selbstheilungsfunktionen im Rahmen der „Netzwerkzugangskontrolle“ einzuführen. Keiner von beiden gewann so stark an Beliebtheit, wie sich die Anhänger erhofft hatten.
„-Automatisierung trägt dazu bei, den Großteil der … sich wiederholenden operativen Aufgaben zu reduzieren oder ganz zu eliminieren, sodass IT-Teams mehr Zeit für strategische Sicherheitsinitiativen aufwenden können.“
Seit diesen früheren Bemühungen hat sich die Lage erheblich verbessert. Zahlreiche Sicherheitsprozesse lassen sich automatisieren, was vor allem auf die zunehmende Einführung neuer Standards für die Sicherheitsautomatisierung, auf Anwendungsprogrammierschnittstellen (APIs) zur Vernetzung von Computerprogrammen sowie auf Cloud-Systeme nach dem Prinzip „ “ () zurückzuführen ist. Die Automatisierung trägt dazu bei, den Großteil der aufwändigen und oft sich wiederholenden operativen Aufgaben zu reduzieren oder ganz zu beseitigen, sodass IT-Teams mehr Zeit für strategische Sicherheitsinitiativen aufwenden können. Dies ist angesichts des anhaltenden Fachkräftemangels im Bereich der Informationssicherheit ( ) von entscheidender Bedeutung. Angesichts der anhaltenden Bedrohung durch Nationalstaaten, Ransomware-Banden und andere kriminelle Akteure benötigen Unternehmen Unterstützung im Bereich Cybersicherheit, wo immer sie diese finden können.
Um diese Herausforderungen zu bewältigen, sollten Sie die folgenden Maßnahmen ergreifen, wie die von Focal Point befragten Experten bestätigten.
Setzen Sie auf DevSecOps
Eine der unkompliziertesten Strategien, die Unternehmen verfolgen können, besteht darin, Sicherheitstests in den Softwareentwicklungszyklus zu integrieren – ein Prozess, der als DevSecOps bekannt ist. Andernfalls gelangen Softwarefehler in Produkte und Dienste, wo sie für Angriffe auf andere Systeme genutzt werden könnten. Sobald diese Sicherheitslücken in der Produktion auftreten, ist ihre Behebung mit höheren Kosten verbunden.
Im Bereich DevSecOps gibt es jedoch noch viel Raum für Verbesserungen. Eine von Venafi, einem Anbieter von Sicherheitslösungen für Kryptografie und digitale Zertifikate, durchgeführte Umfrage „ “ ( ) ergab, dass 97 % der leitenden IT-Führungskräfte der Meinung sind, dass Softwareentwicklungsprozesse nicht sicher genug sind. Darüber hinaus ergab die „ 2022 Global DevSecOps Survey“ von GitLab, dass weniger als die Hälfte der Befragten (42 %) DevSecOps umsetzt, obwohl dies einen Anstieg gegenüber den 36 % im Jahr 2021 darstellt.
„Die Anwendungssicherheit ist ein Bereich, der unbedingt automatisiert werden sollte, insbesondere angesichts der Vielzahl an Tools, die für automatisierte Sicherheitsprüfungen innerhalb der Pipelines für kontinuierliche Entwicklung und Bereitstellung zur Verfügung stehen“, sagt Kenneth Swick, leitender Sicherheitsberater beim Sicherheitsdienstleister NCC Group. „In diesen Bereichen gibt es zahlreiche Automatisierungsmöglichkeiten.“
Infrastruktur als Code verwalten
Im Zuge des Trends hin zu „Infrastructure as Code“ (IaC) können sowohl physische als auch virtuelle Computersysteme automatisch über vordefinierte, maschinenlesbare Definitionsdateien bereitgestellt und verwaltet werden, anstatt auf physische oder manuelle Prozesse zurückzugreifen. Dies trägt dazu bei, dass die System- und Sicherheitseinstellungen einheitlich bleiben.
Systeme können automatisch auf die gewünschten Einstellungen zurückgesetzt werden, wenn sie davon abweichen. Und dieser Ansatz hat noch einen weiteren Vorteil: „In dem Maße, in dem Unternehmen sichere Workloads über deren gesamten Lebenszyklus hinweg automatisieren und durchsetzen können, können sie ihre Angriffsfläche erheblich verringern“, so Swick.
NetOps ist ein damit verbundener Trend. Es handelt sich um einen Sammelbegriff für die Automatisierung von Netzwerksicherheit, -verwaltung und -leistung. Genau wie bei IaC werden Netzwerkkonfigurationen, Leistungstoleranzen und Sicherheitsanforderungen kodifiziert und, soweit möglich, automatisch durchgesetzt.
„In Netzwerken stehen wir gerade erst am Anfang der Automatisierung von Netzwerkfunktionen“, sagt Gary Marks, Geschäftsführer von Opengear, einem Unternehmen für Netzwerktechnologie. Unternehmen beginnen zunehmend, Ansätze wie das „Zero-Touch-Provisioning“ einzuführen, bei dem ein vernetztes System bereitgestellt und automatisch konfiguriert sowie verwaltet wird.
In seinem „ : Infrastructure as Code Security Cheat Sheet“ () erläutert das Open Web Application Security Project (OWASP), wie IaC-Umgebungen eine außergewöhnliche Ereignisprotokollierung sowie die „unveränderliche“ und kontinuierliche Überwachung der Infrastruktur ermöglichen. Sie erstellen die Infrastrukturkomponenten gemäß genau festgelegten Spezifikationen, ohne Abweichungen oder Änderungen. Sollte eine Änderung an einer Spezifikation erforderlich sein, wird auf der Grundlage der aktualisierten Anforderungen eine neue Infrastruktur bereitgestellt, und die bisherige Infrastruktur wird außer Betrieb genommen.
Identität automatisieren
im Bereich Identitätsmanagement – also die Sicherstellung, dass Benutzer, Geräte und Systeme nur auf die Ressourcen und Daten zugreifen können, zu denen sie berechtigt sind – besteht darin, zu authentifizieren, dass die betreffenden Entitäten tatsächlich die sind, für die sie sich ausgeben, und ihnen anschließend den Zugriff zu gewähren. Da Authentifizierung und Autorisierung in hohem Maße sich wiederholende Prozesse sind, bietet das Identitätsmanagement zahlreiche Möglichkeiten zur Automatisierung. Da Unternehmen jedoch mit immer komplexeren lokalen und Cloud-Umgebungen sowie Anwendungen konfrontiert sind und zudem einem starken regulatorischen Druck im Bereich „ “ ausgesetzt sind, ist die Bereitstellung von Ressourcen für Benutzer und die Verwaltung ihrer Zugriffsebenen zu einer immer größeren Herausforderung geworden.
„: In dem Maße, in dem Unternehmen sichere Workloads über deren gesamten Lebenszyklus hinweg automatisieren und durchsetzen können, lassen sich ihre Angriffsfläche erheblich reduzieren.“Kenneth Swick, leitender Sicherheitsberater bei der NCC Group
Viele identitätsbezogene Prozesse sind innerhalb der Geschäftsbereiche isoliert. Daher kann die Zentralisierung von Identitätssystemen, deren Integration in Personalverwaltungssysteme sowie die Festlegung von Zugriffsebenen und Benutzerrechten entsprechend spezifischer Aufgabenbereiche (bekannt als rollenbasierte Zugriffskontrolle) die Automatisierung der Bereitstellung, der laufenden Verwaltung und der Aufhebung von Zugriffsrechten erheblich vereinfachen.
„Eine sorgfältig ausgearbeitete Reihe sicherheitsbewusster, automatisierter Arbeitsabläufe kann potenziell die Verfahren zur Kontoverwaltung in den meisten Unternehmen ersetzen und es dem Unternehmen ermöglichen, seinen Benutzerstamm unter Einhaltung eines vorab vereinbarten akzeptablen Risikoniveaus selbst zu verwalten“, sagt Jason Sieroty, Architekt für Unternehmenslösungen beim Technologieanbieter e360. „Der daraus resultierende Prozess wird effizient und reproduzierbar sein, sodass die Mitarbeiter schneller und unter sichereren Bedingungen produktiv arbeiten können.“
Führen Sie eine SOAR-Plattform ein
SOAR – eine Abkürzung für „Security Orchestration, Automation and Response“ – ist eine Reihe von Sicherheitstools und -prozessen, die es Sicherheitsteams ermöglichen, bestimmte Aspekte des Sicherheitsbetriebs, der Reaktion auf Vorfälle und des Schwachstellenmanagements zu automatisieren.
„Viele Security Operations Center nutzen SOAR und erstellen automatisierte oder teilweise automatisierte Playbooks, um auf Vorfälle zu reagieren.“Scott Crawford, Leiter der Forschung im Bereich Informationssicherheit bei 451 Research
So können beispielsweise Threat-Intelligence-Feeds und Sicherheitswarnungen automatisch bestimmte „Playbooks“ für die Reaktion auf Vorfälle bei der „ “ auslösen, je nachdem, was erkannt wird. SOAR nutzt zudem, soweit möglich, künstliche Intelligenz sowie maschinelles Lernen, um Sicherheitsanalysten, Bedrohungsjäger und Sicherheitsbetriebsteams zu unterstützen.
Einige Vorgänge im Security Operations Center (SOC) lassen sich automatisieren. SOC-Teams befassen sich mit der Prävention, Überwachung, Erkennung und Reaktion auf Sicherheitsvorfälle. Wenn beispielsweise Sicherheitswarnungen mit Daten aus den Bereichen Bedrohungsanalyse und Schwachstellenmanagement abgeglichen werden können, sind Systeme möglicherweise in der Lage, automatisch festzustellen, dass bestimmte Warnungen ein geringes Risiko darstellen, oder sie können die Reaktion intensivieren, wenn die Umstände bedrohlicher erscheinen. Diese grundlegenden Aufgaben werden in der Regel von sogenannten Sicherheitsanalysten der „Stufe 1“ wahrgenommen.
[Lesen Sie auch: So bauen Sie ein Security Operations Center schnell aus]
„Ein Großteil der Tätigkeiten von Analysten der Stufe 1 lässt sich automatisieren“, sagt Scott Crawford, Leiter der Forschung im Bereich Informationssicherheit bei 451 Research, einem Unternehmen von S&P Global Market Intelligence. „Viele Sicherheitsleitstellen setzen SOAR ein und erstellen automatisierte oder teilweise automatisierte Playbooks, um auf Vorfälle zu reagieren.“
Überwinden Sie Hindernisse eines nach dem anderen
Natürlich ist die Automatisierung der Sicherheit kein einfaches Unterfangen, und nicht jedes Unternehmen – ja, nicht einmal die meisten Unternehmen – ist reif genug, um alles zu automatisieren. Zu den Herausforderungen zählen unter anderem ein mangelndes Verständnis der internen Sicherheitsrichtlinien oder eine unzureichende Standardisierung der Tools.
„Viele Unternehmen verfolgen bei ihrem Sicherheitsprogramm sehr uneinheitliche Ansätze, und der beste Ansatzpunkt für diese Unternehmen besteht darin, zunächst ihr Sicherheitsprogramm zu standardisieren“, sagt Swick. „Ermitteln Sie anschließend Bereiche mit hoher Erfolgswahrscheinlichkeit und unterteilen Sie diese Projekte in überschaubare Teilaufgaben.“
Crawford fügt hinzu, dass Sicherheitsteams nicht nur Bereiche für die Automatisierung auswählen sollten, bei denen die Erfolgswahrscheinlichkeit hoch ist, sondern dass Unternehmen auch die bei ihnen bestehenden Prozesse verstehen müssen, bevor sie versuchen, diese zu automatisieren. Durch die Automatisierung von nicht optimalen oder mangelhaften Prozessen „werden Sie Ihre Situation höchstwahrscheinlich noch verschlimmern“, sagt er. Beispiele hierfür sind die automatische Einrichtung von Benutzern mit unzureichend definierten Rollen oder die automatische Bereitstellung von Cloud-Workloads, die nicht ordnungsgemäß konfiguriert sind.
Auch Führungskräfte sollten die staatlichen Hilfsmaßnahmen in Anspruch nehmen. Im Rahmen der „ Juni 2021“ gab das National Institute of Standards and Technology (NIST) in Zusammenarbeit mit der Privatwirtschaft die Entwicklung der „ “ (OSCAL) bekannt – einer formatübergreifenden Plattform, die die Automatisierung von Sicherheitsmaßnahmen, kontinuierliche Bewertungen und Audits ermöglicht. Das NIST ist der Ansicht, dass OSCAL die Effizienz, Genauigkeit und Konsistenz von Sicherheitsbewertungen verbessern und eine kontinuierliche Überprüfung und Überwachung der Fähigkeiten ermöglichen wird.
Solche Bemühungen könnten letztendlich allen Organisationen dabei helfen, Teile ihrer Sicherheitsmaßnahmen leichter zu automatisieren. Und auch wenn sich die Sicherheit nicht vollständig automatisieren lässt, gibt es immer mehr Tools und Ansätze, die dazu beitragen können, den Umfang der Automatisierung zu erweitern.
Wenn Unternehmen ihre Abläufe genau unter die Lupe nehmen und alles automatisieren, was sich automatisieren lässt, entlasten sie ihre Mitarbeiter von Routineaufgaben und gestalten ihre Sicherheitsabläufe wesentlich effizienter. Da die Anzahl und die Raffinesse von Angriffen zunehmen und der Fachkräftemangel im Sicherheitsbereich weiterhin besteht, sind Sicherheitsexperten auf jede nur erdenkliche Effizienzsteigerung angewiesen.
