Schließlich kam der Tod sehr plötzlich. Am 1. Januar 2021 beendeten die Entwickler von Adobe Flash – einst der allgegenwärtige Standard-Mediaplayer auf Desktops, Notebooks und anderen Endgeräten – ihren Support für die fehlerbehaftete Software nach mehr als zwei Jahrzehnten.
Während eines Großteils seiner Laufzeit war Flash von schwerwiegenden Sicherheitslücken betroffen: . Das hielt jedoch viele Unternehmen nicht davon ab, die einfach zu implementierende Anwendung zu nutzen.
Das liegt daran, dass Webentwickler Flash als einfache Möglichkeit empfanden, ansprechende Benutzeroberflächen zu gestalten und Multimedia-Videos in ihre Unternehmenswebsites zu integrieren. Dies ging sogar so weit, dass sie die Warnungen von Adobe ignorierten und die App weiterlaufen ließen – auf bis zu einer Milliarde Endgeräten auf dem Höhepunkt ihrer Nutzung.
Für Personen wie Bill Pelletier kann die Zurückhaltung von Unternehmensteams, einen Ausgleich zwischen der Benutzerfreundlichkeit von Anwendungen wie Flash und fundierten Sicherheitsentscheidungen zu finden, kostspielige Folgen haben. Als Sicherheitsarchitekt bei einer nationalen Versicherungsgesellschaft im 2010s warnte er sein Unternehmen davor, Flash zu nutzen, um Nutzerdaten zu erfassen und Preisangebote in den Browsern der Nutzer anzuzeigen. Niemand hörte zu. „Plötzlich entwickelte sich die Abkehr von Flash zu einem Projekt, das über mehrere Jahre hinweg Kosten in Höhe von 1 Million Dollar verursachte“, sagt Pelletier.
„Plötzlich [für uns] entwickelte sich die Abkehr von Flash zu einem Projekt im Umfang von 1 Million Dollar, das sich über mehrere Jahre erstreckte.“Bill Pelletier, Sicherheitsarchitekt
Pelletier erklärt, dass Unternehmen diese Lektion heute beherzigen müssen, da weltweit in Unternehmen Hunderte, wenn nicht gar Tausende von Anwendungen und Anwendungskomponenten im Einsatz sind, die ähnliche Sicherheitsrisiken bergen. Er fügt hinzu, dass das Risiko-Nutzen-Verhältnis bei der Auswahl von Anwendungen sorgfältig abgewogen werden muss und dass diese überwacht, gepatcht und während ihres gesamten Lebenszyklus, einschließlich ihres natürlichen Lebensende, auf dem neuesten Stand gehalten werden müssen.
Wenn Anwendungen nicht gepatcht und nicht gewartet werden, können sie oft aus der Ferne ausgenutzt werden, solange ein Unternehmen sie nutzt. Unternehmen, die mit anderen Unternehmen fusionieren oder diese übernehmen, ohne den von ihnen übernommenen Tech-Stack vollständig zu verstehen, leiden oft am stärksten unter der Unfähigkeit, diesen zu bewerten und Sicherheitslücken zu schließen.
Da ein Großteil der heutigen Belegschaft im Homeoffice arbeitet, sind die Risiken noch größer. „Wir arbeiten nicht mehr unter dem Schutz einer Unternehmensnetzwerk-Firewall“, sagt Pelletier. „Wir sitzen nun in unseren Heimbüros, auf Sofas und sind über unsere Kabelmodems im Heimbüro mit dem Internet verbunden oder nutzen auf Reisen öffentliches WLAN.“
Auch wenn eine wirksame Endpunktsicherheit nicht von heute auf morgen erreicht werden kann, raten Experten den Sicherheitsteams, sich an diese fünf grundlegenden Sicherheitsstrategien zu halten.
5 Sicherheitsstrategien
Schulen Sie Ihre Mitarbeiter in Sicherheitsfragen
Die erste Verteidigungslinie bilden die Menschen hinter den Endgeräten – den Laptops, PCs, Tablets und anderen Geräten, die Unternehmen ihnen zur Verfügung gestellt haben, damit sie ihre Arbeit aus der Ferne erledigen können. Sicherheitsteams müssen gemeinsam mit der Personalabteilung die Mitarbeiter wirksam schulen, damit diese sich vor hüten, nicht auf verlockende Phishing-E-Mails klicken und keine betrügerischen oder riskanten Anwendungen installieren. „Schulungen zur Sensibilisierung für Sicherheitsfragen sind unverzichtbar“, sagt Ken Swick , und leitender Sicherheitsberater beim in Manchester, England, ansässigen Sicherheitsdienstleister NCC Group. „Sensibilisierungsschulungen tragen dazu bei, sicherzustellen, dass die Nutzer diese schädlichen Inhalte nicht einbringen.“ „Außerdem kann es den Nutzern die Gefahren bewusst machen, die mit der Speicherung sensibler Informationen auf ihren Endgeräten verbunden sind.“
Ein solides Programm zur Sensibilisierung und Schulung im Bereich „ “ ( ) sollte mit einem eigens dafür zuständigen Schulungsleiter beginnen, der komplexe Sachverhalte verständlich vermitteln und das Engagement der Mitarbeiter fördern kann, ohne diese durch übermäßige Sicherheitsmaßnahmen zu überfordern. Das bedeutet oft, dass man die Art von Sicherheitsvorträgen, wie sie in vielen Unternehmen gehalten werden, vermeiden und stattdessen auf spielerisch gestaltete Sicherheitsschulungen und interaktive Videos zurückgreifen sollte, die die Mitarbeiter in den Sicherheitsprozess einbeziehen und ihr Interesse aufrechterhalten.
[Lesen Sie auch: So machen Sie Remote-Mitarbeiter zu Fürsprechern der Sicherheit]
Diese Schulung muss wiederholt werden und sich auf die Änderung langfristiger Verhaltensweisen konzentrieren. Eine Studie mit dem Titel „ 2020 “ ( ), die von Forrester Consulting im Auftrag des E-Mail- und Datensicherheitsunternehmens Mimecast durchgeführt wurde, ergab, dass Sicherheitsschulungen allein nicht ausreichen. Obwohl sie an Schulungen zur Sensibilisierung für Sicherheitsfragen teilgenommen hatten, gab durchschnittlich ein Drittel der Befragten zu, Sicherheitsrichtlinien zu umgehen, was zeigt, dass sich das Verhalten im Internet selbst ändern muss.
Verbesserung der IT-Transparenz
Es ist besser, einen Sicherheitsverstoß zu verhindern, als ihn erst aufdecken zu müssen. Aus diesem Grund ist ein gutes Endpunktmanagement unerlässlich. According to a 2020 Tanium survey of 750 IT decision-makers, 94% of CIOs have discovered endpoints within their environment that they were unaware of, thus clouding their ability to reduce potential security risks associated with those endpoints.
IT-Teams müssen wissen, welche Geräte die Mitarbeiter nutzen, wo sich diese Geräte befinden, welche Anwendungen darauf ausgeführt werden und welche Arten von Daten sie verarbeiten und enthalten. „Es ist unerlässlich, über fundierte Informationen zu den verwendeten Endgeräten zu verfügen“, sagt Fernando Montenegro , , Sicherheitsanalyst beim Marktforschungsunternehmen S&P Global Market Intelligence.
Bill Pelletier fügt hinzu, dass die Geräteverwaltung „ “ auf der Aktionsliste jedes Unternehmens stehen sollte, sofern dies nicht bereits der Fall ist. „Sie müssen in der Lage sein, all diese Geräte unabhängig von ihrem Standort zu verwalten, damit Sie alle erforderlichen Sicherheitsmaßnahmen durchführen können, um die Sicherheit zu gewährleisten“, sagt er.
Achten Sie auf IT-Hygiene
Der beste Weg, Angreifer von Endgeräten fernzuhalten, besteht darin, so viele Einfallstore wie möglich zu schließen. IT-Teams können dies durch Konfigurationsmanagement, die Durchsetzung von Richtlinien und eine effektive Patch-Verwaltung erreichen. „Gute Hygiene bedeutet, alles in Ordnung zu halten“, sagt Pelletier. „Das bedeutet, dass Sie Ihre Abhängigkeit von veralteten Komponenten wie Java verringern müssen.“ Er fragt: „Warum benötigen Sie Java 1,41 auf Ihrem Gerät?“
Neben der Installation der neuesten Patches, um Angreifer und Schadsoftware fernzuhalten, ist es zudem von entscheidender Bedeutung, kontinuierlich Richtlinien zur ordnungsgemäßen Gerätekonfiguration durchzusetzen, beispielsweise durch die Identifizierung unzulässiger Apps. „Die Möglichkeit, sicherzustellen, dass auf dem Endgerät ausschließlich autorisierte Software installiert und ordnungsgemäß konfiguriert ist, stellt eine wichtige Kontrollmaßnahme im Hinblick auf Konsistenz, Rechtskonformität und Support dar“, so Swick.
Sorgen Sie für genaue Telemetriedaten
IT-Teams müssen den geschäftlichen Kontext jedes einzelnen Geräts verstehen. Dazu gehören die Rolle des Gerätebesitzers und die Art der vom Benutzer durchgeführten Aktionen, die sich weitgehend auf Telemetriedaten stützen würden – , d. h. die automatisierten Daten und Kommunikationsvorgänge bezüglich der auf einem Endgerät ausgeführten Systeme. Dies trägt wiederum dazu bei, dass die richtigen Schutzmaßnahmen und Sicherheitsrichtlinien vorhanden sind. Für die Endgeräte eines Finanzvorstands würde die Sicherheit dieselbe Überwachung des Netzwerkdatenverkehrs, der Cloud und der Endgeräteprozesse sowie zusätzliche Überwachungsmaßnahmen umfassen. Dies könnte die Überwachung des Anwendungsverhaltens von Finanzsystemen umfassen, auf die der Finanzvorstand zugreifen würde.
„Wir erkennen, wie wertvoll Endpunkt-Telemetriedaten sind, um zu verstehen, was in der Welt vor sich geht.“ „Es geht weit über die Feststellung hinaus, ob auf dem Gerät ein VPN genutzt wird oder nicht“, sagt Montenegro. „Es geht vielmehr darum, den Zustand des Geräts und dessen Nutzung zu verstehen. „Dazu gehören Telemetriedaten aus den E-Mail-Systemen, aus den Identitäts- und Zugriffsmanagementsystemen sowie kontextbezogene Geschäftsinformationen, damit fundiertere Sicherheitsentscheidungen getroffen werden können.“
Verbesserung der Reaktion auf Vorfälle an Endgeräten
Letztendlich kommt es in jedem Unternehmen zu einer Sicherheitsverletzung an Endgeräten, sei es aufgrund von Software mit Sicherheitslücken oder weil ein Mitarbeiter auf einen Link in einer Phishing-E-Mail geklickt hat. Mangelhafte Sicherheitsmaßnahmen, einschließlich der Endgerätesicherheit, sind kostspielig. Laut dem Bericht „ 2020 Cost of a Data Breach“ (), dessen Forschungsergebnisse vom Ponemon Institute ( , ) bereitgestellt und von IBM Security (,) veröffentlicht wurden, beliefen sich die durchschnittlichen Kosten einer Datenpanne weltweit auf 3,86 Millionen US-Dollar. Die durchschnittliche Zeit, bis eine Sicherheitsverletzung entdeckt oder eingedämmt wird: 280 Tage.
Zwar sind viele Aspekte der Endgerätesicherheit im Laufe der Jahre unverändert geblieben, doch haben die Komplexität und das Ausmaß des Problems weiter zugenommen. „Die Fähigkeiten, die Unternehmen heute benötigen, sind die Fähigkeit, in großem Maßstab zu reagieren, da sie mittlerweile mit der Herausforderung von Zehntausenden oder Hunderttausenden von Geräten konfrontiert sind“, sagt Montenegro.
Die Reaktion auf Vorfälle ist zudem von entscheidender Bedeutung für die Einhaltung gesetzlicher Vorschriften – ein Aspekt, der letztendlich dazu führte, dass „Flash“ bei dem Versicherungsunternehmen, bei dem Bill Pelletier tätig war, scheiterte. „Sie [das Webentwicklungsteam] wollten Zahlungsdaten über Flash verarbeiten, und wir haben ihnen im Grunde genommen klargemacht, dass dies nicht in Frage kommt“, sagt er.
Dennoch setzte sich Flash anfangs durch, weil es funktionierte und so einfach zu bedienen war. Und genau diesen Kampf müssen Sicherheitsexperten jeden Tag an allen Endgeräten ihres Unternehmens führen und bewältigen, wenn sie deren Sicherheit gewährleisten wollen.
