Am 3. November erließ die Biden-Regierung eine umfassende Anweisung an die Bundesbehörden, fast 300 bekannte Cybersicherheitslücken zu beheben, die Hacker ausnutzen können, um in staatliche Computernetzwerke einzudringen und dort Schaden anzurichten. Insgesamt stellen diese Schwachstellen eine Kettenreaktion von Cyberkatastrophen dar.
„Viele dieser kritischen Sicherheitslücken und Exploits lassen sich miteinander verknüpfen, um eine größere Wirkung zu erzielen“, sagt Edward Debish, ehemaliger Kommandant der „Marine Corps Cyberspace Operations Group“ und derzeitiger Leiter des Bereichs Kundenbetreuung im öffentlichen Sektor bei Tanium. „Deshalb sollten Sie so viele davon wie möglich schließen.“
Die von der Cybersecurity and Infrastructure Security Agency (CISA) herausgegebene neue Richtlinie zielt darauf ab, etwa 200 Sicherheitslücken zu schließen – die böswilligen Hackern allesamt bekannt sind –, die von Cybersicherheitsexperten zwischen 2017 und 2020 identifiziert wurden, sowie weitere 90 Schwachstellen, die sie im Jahr 2021 entdeckt haben.
Die Richtlinie ergeht sechs Monate, nachdem Präsident Biden die Verordnung „ “ ( ) erlassen hatte, die die Behörden dazu verpflichtet, Informationen zur Cybersicherheit auszutauschen und neue Cybersicherheitsprotokolle einzuführen. Dies bildet den Abschluss eines beispiellosen Jahres der Cyberkriminalität, in dem Organisationen – von Versorgungsunternehmen bis hin zu Telekommunikationsunternehmen – Opfer von Angriffen auf die Lieferkette, Ransomware, sowie Erpressung geworden sind.
„Das ist eine weitere Möglichkeit, den Rhythmus aufrechtzuerhalten“, sagt Debish. „Cybersicherheit ist von entscheidender Bedeutung. Es betrifft jeden Aspekt unseres Lebens. Alles, was wir heute tun, basiert auf der Cyberwelt. Sollte es in irgendeiner Weise gestört werden, könnte dies erhebliche Probleme, Störungen in der Lieferkette und vieles mehr zur Folge haben. „Der Präsident und sein Team bemühen sich, alles in ihrer Macht Stehende zu tun, um die kritische Infrastruktur dieses Landes zu sichern.“
Die neue Richtlinie sieht die Einrichtung eines von der CISA verwalteten Verzeichnisses „bekannter ausgenutzter Sicherheitslücken“ vor, die ein „erhebliches Risiko“ darstellen, und legt Anforderungen an die Behörden fest, diese Schwachstellen zu beheben. Der Katalog umfasst Software und Konfigurationen von Softwareanbietern wie SolarWinds, das im vergangenen Jahr Ziel eines vielbeachteten Angriffs war, sowie von großen Technologieunternehmen wie Adobe, Apple, Cisco, Google, Microsoft und Oracle. Dies umfasst die gesamte Software und Hardware in Informationssystemen des Bundes, einschließlich derjenigen, die von Dritten – wie beispielsweise Auftragnehmern des Bundes – gehostet werden.
Veraltete Systeme
Die neue Richtlinie und die im Mai erlassene Verordnung der Biden-Regierung spiegeln wider, welche Priorität die Regierung der digitalen Sicherheit beimisst. Debish erklärt, dass es bei der neuen Richtlinie zu 95 % um die Behebung bestehender Software-Sicherheitslücken gehe; er betont jedoch, dass es für Behörden „absolut entscheidend“ sei, sich auch anderer Angriffsvektoren bewusst zu sein, darunter Angriffe durch Dritte.
„Man geht davon aus, dass Anbieter vertrauenswürdig sind und dass das, was man von der Website eines Anbieters erhält, eine zuverlässige Lösung ist, die sich schnell implementieren lässt“, sagt Debish.
Er weist zudem darauf hin, dass Behörden veraltete oder Alt -Systeme sicher verwalten müssen. Solche Systeme sind möglicherweise nicht kompatibel mit modernen Cyber-Hygiene- -Techniken wie der Erkennung von Netzwerkressourcen und der kontinuierlichen Überwachung, die es Unternehmen ermöglichen, einen umfassenden Überblick über ihre Netzwerke zu gewinnen. Andernfalls könnten sie für Hacker ein leichtes Ziel sein. Wenn diese Systeme nicht entfernt oder einfach abgeschaltet werden können, müssen laut Debish die Zugangspunkte zu diesen Netzwerken überwacht werden, um Hacker fernzuhalten.
„. Der Präsident und sein Team versuchen, alles in ihrer Macht Stehende zu tun, um die kritische Infrastruktur dieses Landes zu sichern.“Edward Debish, Leiter des Bereichs Kundenbetreuung im öffentlichen Sektor bei Tanium
Darüber hinaus, so Debish, sollten Behörden strenge Strategien zur Cybersicherheit umsetzen. Das bedeutet, dass die Verwaltung von Administratorrechten, die Überprüfung von Netzwerkkonfigurationen sowie die Nutzung von Zero-Trust- -Protokollen umfasst. Vor allem, so sagt er, sollten Behörden Instrumente einsetzen, mit denen sich Schwachstellen im Netzwerk umfassend überwachen lassen und potenzielle Eindringlinge proaktiv aufgespürt werden können, bevor diese zuschlagen.
„Sie benötigen Echtzeit-Transparenz und -Kontrolle über Ihr Netzwerk“, sagt Debish. „Der Angreifer versucht aktiv, sich Zugang zu Regierungsnetzwerken und -infrastruktur zu verschaffen.“
Das Ministerium für Innere Sicherheit, die übergeordnete Behörde der CISA, hat bereits in der Vergangenheit Cybersicherheitsvorschriften für Regierungsbehörden erlassen, häufig in Form von Notfallanordnungen zur sofortigen Behebung eines kritischen Softwareproblems. Diese neue Richtlinie zeichnet sich jedoch durch das schiere Ausmaß der Mängel aus, die sie beheben soll.
Demnach müssen die in diesem Jahr festgestellten Mängel innerhalb von zwei Wochen behoben werden. Die Behörden haben bis zu sechs Monate Zeit, um die in den vergangenen Jahren festgestellten Sicherheitslücken zu beheben. Die Richtlinie gilt für alle Ministerien und Behörden der Exekutive mit Ausnahme des Verteidigungsministeriums, der Central Intelligence Agency und des Amtes des Direktors der Nationalen Nachrichtendienste. Die Cybersicherheit für zivile Behörden wird in der Regel getrennt von den militärischen und nationalen Sicherheitsbehörden verwaltet.
„Bei einer solchen Anweisung, die zudem vom Präsidenten kommt, können Sie sicher sein, dass sich viele Menschen mit großem Engagement dafür einsetzen werden, das Problem zu lösen“, sagt Debish.
