Am gab die Biden Administration eine umfassende Richtlinie für Bundesbehörden heraus 3. November, um fast 300 bekannte Cyberschwachstellen zu beheben, die Hacker verwenden können, um staatliche Computernetzwerke zu infiltrieren und zu beschädigen. Zusammengenommen stellen diese Schwachstellen eine verwirrende Kette von Cyber-Katastrophen dar.
„Viele dieser kritischen Schwachstellen und Exploits können miteinander verbunden werden, um einen größeren Effekt zu erzielen“, sagt Edward Debish, ehemaliger Kommandant der Marine Corps Cyberspace Operations Group und jetzt Direktor des öffentlichen Kundenengagements bei Tanium. „Deshalb möchten Sie so viele davon wie möglich schließen.“
Die neue Richtlinie wurde von der Cybersecurity and Infrastructure Security Agency (CISA) herausgegeben und zielt darauf ab, etwa 200 Sicherheitslücken zu schließen – alle bekannt für böswillige Hacker –, die Cybersicherheitsprofis zwischen 2017 und 2020 und weitere 90 Schwachstellen identifiziert haben, die sie in 2021 entdeckt haben.
Die Richtlinie kommt sechs Monate, nachdem Präsident Biden eine Exekutivverfügung erlassen hat, die Agenturen zwingt, Cybersicherheitsinformationen zu teilen und neue Cybersicherheitsprotokolle zu übernehmen. Es begrenzt ein beispielloses Jahr der Cyberkriminalität, in dem Organisationen von Versorgungsunternehmen bis hin zu Telekommunikationsunternehmen Lieferkettenangriffen, Ransomware und Erpressung zum Opfer gefallen sind.
„Dies ist eine weitere Möglichkeit, einen Trommelschlag aufrechtzuerhalten“, sagt Debish. „Cybersicherheit ist entscheidend. Er berührt jeden Aspekt unseres Lebens. Alles, was wir jetzt tun, basiert auf Cyber. Wenn sie in irgendeiner Weise gestört wird, könnte sie erhebliche Probleme, Lieferkettenprobleme verursachen, Sie nennen sie. Dies ist der Präsident und sein Team, das versucht, so viel wie möglich zu tun, um die kritische Infrastruktur dieses Landes zu sichern.“
Die neue Richtlinie legt einen CISA-verwalteten Katalog von „bekannten ausgenutzten Schwachstellen“ fest, die ein „signifikantes Risiko“ mit sich bringen, und legt Anforderungen für Agenturen fest, die Mängel zu beheben. Der Katalog umfasst Software und Konfigurationen, die von Softwareanbietern wie SolarWinds bereitgestellt wurden, die im letzten Jahr einem hochkarätigen Angriff ausgesetzt waren, sowie große Technologieunternehmen wie Adobe, Apple, Cisco, Google, Microsoft und Oracle. Sie umfasst alle Software und Hardware auf Bundesinformationssystemen, einschließlich solcher, die von Dritten gehostet werden, wie z. B. Bundesauftragnehmern.
Veraltete Systeme
Die neue Richtlinie und die Exekutivanordnung der Biden-Administration im Mai spiegeln die Priorität wider, die die Regierung der digitalen Sicherheit einräumt. Debish sagt, dass es bei 95 % der neuen Richtlinie um das Patchen vorhandener Softwareschwachstellen geht, aber er sagt, es ist „absolut kritisch“, dass Agenturen sich anderer Angriffsvektoren, einschließlich Angriffe Dritter, bewusst sind.
„Es besteht die Erwartung, dass Anbieter vertrauenswürdig sind und dass das, was Sie von einer Anbieterseite erhalten, eine vertrauenswürdige Fähigkeit ist und Sie sie schnell implementieren können“, sagt Debish.
Er sagt auch, dass Agenturen veraltete oder veraltete Systeme sicher verwalten müssen. Solche Systeme sind möglicherweise nicht mit modernen Cyber-Hygienetechniken wie Asset-Erkennung und kontinuierlicher Überwachung kompatibel, die es Organisationen ermöglichen, Visibilität über ihre Netzwerke hinweg zu haben. Sonst können sie Enten für Hacker sitzen. Wenn diese Systeme nicht entfernt oder einfach heruntergefahren werden können, sagt Debish, dass Zugangspunkte zu diesen Netzwerken überwacht werden müssen, um Hacker fernzuhalten.
„Dies ist der Präsident und sein Team, die versuchen, so viel wie möglich zu tun, um die kritische Infrastruktur dieses Landes zu sichern.“Edward Debish, Direktor des öffentlichen Kundenengagements, Tanium
Darüber hinaus sollten Agenturen laut Debish starke Cyber-Hygienestrategien anwenden. Das bedeutet, Administratorrechte zu verwalten, Netzwerkkonfigurationen zu untersuchen und Zero-Trust- Protokolle zu verwenden. Vor allem sollten Agenturen Tools einsetzen, die Netzwerkschwachstellen vollständig überwachen und potenzielle Eindringlinge proaktiv aufspüren können, bevor sie schlagen.
„Sie benötigen Echtzeit-Visibilität und Kontrolle über Ihr Netzwerk“, sagt Debish. „Der Gegner engagiert sich aktiv für den Zugriff auf staatliche Netzwerke und Infrastruktur.“
Das Department of Homeland Security, die Mutteragentur von CISA, hat zuvor Cybersicherheitsvorschriften für Regierungsbehörden erlassen, oft in Form von Notfallanforderungen, um eine sofortige Behebung eines kritischen Softwareproblems vorzunehmen. Diese neue Richtlinie ist jedoch bemerkenswert für den schiere Umfang der Mängel, die sie beheben möchte.
[Lesen Sie auch: Wie Sie Bundesendpunkte und Netzwerke mit präventiver Sicherheit stärken]
Es wird erforderlich sein, dass in diesem Jahr festgestellte Fehler innerhalb von zwei Wochen behoben werden. Agenturen haben bis zu sechs Monate Zeit, um Sicherheitslücken zu beheben, die in den vergangenen Jahren gefunden wurden. Die Richtlinie gilt für alle Exekutivabteilungen und Agenturen mit Ausnahme des Verteidigungsministeriums, der zentralen Geheimdienststelle und des Büros des Direktors für National Intelligence. Cybersicherheit für zivile Behörden wird in der Regel getrennt von militärischen und nationalen Sicherheitsorganen verwaltet.
„Mit einer Richtlinie wie dieser können Sie sicher sein, dass viele Menschen viel Energie auf die Behebung des Problems verwenden“, sagt Debish.
