An Tools für die Informationssicherheit mangelt es nicht
Mit mehr als 200 verschiedenen Produkten von 125 Anbietern zur Umsetzung der 20 wichtigsten Sicherheitsmaßnahmen (tief durchatmen) mangelt es auf dem Markt nicht an Tools für die Informationssicherheit. Unternehmen bauen sich mit diesen Tools ein Verteidigungsarsenal auf, doch die Angreifer schlüpfen nach wie vor durch die digitalen „Türen und Fenster“, die das Unternehmen offen und unverschlossen gelassen hat.
Anstatt dieses Problem von außen nach innen zu betrachten (d. h. „Wo und wie gelangen die Angreifer in das Netzwerk?“), plädieren wir seit langem für einen Ansatz von innen nach außen. Warum sollten Sie die nächste Bedrohung vorhersagen, wenn Sie stattdessen die eigentliche Ursache des Problems souverän angehen können? Ermitteln Sie zunächst, was innerhalb einer Umgebung verwaltet und gesichert werden muss, und sorgen Sie anschließend dafür, dass jede Ressource proaktiv durch geeignete Patches und Sicherheitskonfigurationsmaßnahmen geschützt wird. Das ist das Erste, was wir unseren Kunden sagen: Man kann nicht sichern, was man nicht verwalten kann, und man kann nicht verwalten, was man nicht kennt.
Einsatz von Tanium im Rahmen der Bewertung der Sicherheitshygiene
Eine der ersten Maßnahmen, die wir gemeinsam mit potenziellen Tanium-Kunden durchführen, ist eine „ “-Sicherheitsüberprüfung (Security Hygiene Assessment). Mithilfe von Tanium sind wir in der Lage, Einblick in die aktuelle Sicherheitslage eines Unternehmens zu gewähren, um eine Basislinie für den aktuellen Ist-Zustand zu erstellen. Dieser Prozess ermöglicht es uns, zu erfassen und zu verstehen, über wie viele Rechner ein Unternehmen verfügt, welche Software darauf läuft, welche Fehlkonfigurationen möglicherweise vorliegen und wo Schwachstellen bestehen – was die IT-Teams meist allein schon aufgrund der schieren Anzahl völlig schockiert. Dank der Geschwindigkeit und der Vollständigkeit der Daten in großem Maßstab, die die Tanium-Plattform bietet, sind wir in der Lage, diese Informationen zur Cybersicherheitshygiene innerhalb von Sekunden und kosteneffizient zu erhalten – ein entscheidender Faktor, der in der Vergangenheit oft als Hindernis für die Umsetzung dieses Ansatzes gewirkt hat.
Tanium führte eine solche Untersuchung bei Einzelhandels- und Softwareunternehmen mit mehr als 2.000 Remote-Standorten durch, und die Ergebnisse spiegeln die Erfahrungen vieler anderer Unternehmen wider. Wir geben Ihnen heute einen Einblick in die Ergebnisse ihrer Hygienebewertung.
Als diese Unternehmen Tanium erstmals im Rahmen ihrer bestehenden Softwarebereitstellungsprozesse – Windows SCCM – einsetzten, konnten sie lediglich 40 % ihrer Organisation abdecken. Alle älteren Software-Verteilungstools werden ähnliche oder schlechtere Ergebnisse liefern. Es kommt äußerst selten vor, dass wir auf Unternehmen stoßen, deren Softwarebereitstellungstools eine Abdeckung von mehr als 75-80 % aufweisen._ Was bei einer Schulprüfung gerade noch als „C+“ durchgehen würde, verschafft Ihnen bei der Softwarebereitstellung einen Platz auf der „Ehrenliste des Schulleiters“!
Warum ist das von Bedeutung?
Angreifer wissen, dass Sie Ihre Systeme nicht rechtzeitig aktualisieren können. Aus diesem Grund stammen 99,9 % der ausgenutzten Angriffe aus Sicherheitslücken, die bereits seit mehr als einem Jahr bekannt waren, einige davon sogar schon seit 1999.
Für diese Unternehmen bedeutet dies, dass jegliche Software, die sie zuvor eingesetzt hatten – einschließlich Sicherheitstools, Antivirenprodukte und Updates – effektiv nur zwei von fünf Rechnern im Netzwerk erreichte. Mit einer zweiten Welle unter Einsatz von McAfee ePO, früher bekannt als Intel Security, konnten sie eine Steigerung von weiteren 20 % erzielen.
In den meisten Unternehmen verfügen Teams heutzutage über zahlreiche Tools, um Software auf ihre Endgeräte zu übertragen; wenn Sie jedoch Software mit denselben, seit jeher unzuverlässigen Tools und Technologien bereitstellen, werden Sie wahrscheinlich Bereiche Ihres Netzwerks übersehen und letztendlich unverwaltete und ungeschützte Netzwerksegmente in Ihrem gesamten Unternehmen vorfinden. Letztendlich gelang es Tanium, die Lösung innerhalb eines Tages auf den verbleibenden 40 % der Endgeräte zu installieren und damit die angestrebten 100 % der Endgeräte vollständig abzudecken.
Sobald wir in der Lage sind, ein gesamtes Netzwerk zu überprüfen, stellen wir nicht selten fest, dass weitere 12 –20 % der Endpunkte nicht verwaltet werden und das Unternehmen schlichtweg nicht wusste, dass sie überhaupt existieren. Hier stellten wir fest, dass 23 % der Endpunkte nicht verwaltet wurden.
Nun können wir das Licht einschalten, um zu sehen, was wirklich vor sich geht …
Wenn wir uns damit befassen, wie man bei den Patches für wichtige Softwareanwendungen – wie beispielsweise Adobe, Google, Microsoft und Oracle – auf dem neuesten Stand bleibt, lassen sich Gemeinsamkeiten feststellen: zahlreiche, unterschiedliche und veraltete Versionen sowie große Unterschiede bei den Patches von Computer zu Computer. Die Anzahl kritischer Sicherheitslücken kann außer Kontrolle geraten. CISOs haben zwar eine allgemeine Vorstellung von den verschiedenen Softwaretypen und den Unterschieden zwischen den verschiedenen Versionen in ihrer Umgebung, wissen jedoch selten, wie schlimm die Situation tatsächlich ist.
„Selige Unwissenheit“ ist ein Zustand, in dem sich viele CISOs in Bezug auf die Sicherheit aufgrund veralteter Tools gefangen sehen – diese sind der Hauptgrund für mangelhafte Sicherheitspraktiken.
Insgesamt haben wir Folgendes festgestellt:
Adobe: 2 771 kritische Sicherheitslücken (CVSS 5 oder höher), wobei 98,9 % der Endgeräte anfällige Versionen von Shockwave ausführten. 91 % verfügten über anfällige Versionen von Flash.
Java-: 106 verschiedene Java-Versionen wurden erkannt, wobei 97,8 % der Endpunkte von Sicherheitslücken betroffen sind
Windows-Patches: Auf 77 % der Rechner fehlten sechs oder mehr kritische Updates, insgesamt fehlten 1,6 Millionen Patches, wobei der älteste gemeldete fehlende kritische Patch die Nummer 2007 trug – ein fast 10 Jahre alter, fehlender kritischer Patch
SCCM-: 20 % der Computer weisen fehlerhafte SCCM-Clients auf
Nach einer Sicherheitsüberprüfung ist die Geschichte nicht einfach damit beendet, dass Sie Ihre Patches installieren und Ihre Sicherheitslücken schließen. Ein Bewertungsbericht ist lediglich eine Momentaufnahme der aktuellen Situation. Wenn dies das Ergebnis Ihrer Maßnahmen ist, werden Sie sich schon bald wieder in genau derselben Lage befinden, sofern Ihre Werkzeuge und Arbeitsabläufe nicht angepasst werden. Daher müssen Sie auch Ihre Umgebung und Ihre Tools sanieren: Diese weisen in der Regel ebenso viele Mängel auf wie die Sicherheitsstandards in Ihrem Netzwerk. Sicherheitshygiene ist weder besonders attraktiv noch einfach umzusetzen, doch wenn Sie sich kontinuierlich darum kümmern, werden Sie in der Lage sein, all diese digitalen Türen und Fenster zu verschließen.
Sie werden nie aufhören, Bedrohungen aufmerksam aufzuspüren und zu untersuchen, aber Sie werden dafür weniger Zeit aufwenden. Die Zeit, die Sie bisher damit verbracht haben, nach dem Fehler zu suchen, der den fehlenden kritischen Patch auf der 2007 verursacht hat, können Sie nun für andere Aufgaben nutzen.
Verschwenden Sie keine Zeit damit, zu raten, wo der nächste Angriff stattfinden könnte, wenn Sie die zugrunde liegenden Probleme beheben können.
Eine bessere Hygiene bedeutet eine höhere Sicherheit. Es gibt einen besseren Weg. Erfahren Sie unter , https://www.tanium.com/it-hygiene/und , wie „Tanium for Security Hygiene“ Ihnen bei der Bewältigung dieser Herausforderungen helfen kann.
Über den Autor: In seiner Funktion als Chief Customer Officer leitet Charles Ross das Team, das dafür verantwortlich ist, die Vision von Tanium für unsere Kunden umzusetzen: skalierbares Endpunktmanagement, um deren Geschäft zuverlässig und schnell zu betreiben und zu sichern. Vor seiner Tätigkeit bei Tanium war Charles bei McAfee beschäftigt, wo er verschiedene Führungspositionen in den Bereichen Pre-Sales-Engineering, Lösungsarchitektur und IT-Sicherheit innehatte. Vor seiner Tätigkeit bei McAfee war Charles als Berater für Unternehmensrisiken bei Deloitte & Touche tätig. Charles hat einen Bachelor of Science der University of Florida.
