CISA – Bundesbehörden müssen Log4j-Sicherheitslücke dringend schließen]

Die Cybersecurity and Infrastructure Security Agency (CISA) hat eine Notfallanweisung gemäß dem „ “ () 17. Dezember 2021 herausgegeben, in der sie die Bundesbehörden dazu verpflichtet, ihre Netzwerke unverzüglich gegen die Sicherheitslücken in „ Log4j“ abzusichern. Die Botschaft lautet: Wenn Sie kein Patch installieren können, entfernen Sie die betroffene Software aus Ihrem Netzwerk. Und tun Sie dies so schnell, wie es menschlich und technisch möglich ist.

„Sofort“ ist bei jedem IT-Projekt nur ein Wimpernschlag – ganz zu schweigen von einem Projekt, das die gewaltige Bürokratie der US-Regierung und ihre unzähligen Drittanbieter umfasst. Es war jedoch nicht das erste Mal, dass die CISA die Behörden aufforderte, die Sicherheitslücken so schnell wie möglich zu schließen. Einen Monat zuvor hatte die Behörde eine verbindliche operative Richtlinie „ “ (BOD) mit dem Titel „ “ herausgegeben, die sich auf etwa 290 bekannte kritische Sicherheitslücken bezog, die von Angreifern seit 2017 ausgenutzt wurden. (Bei einigen Sicherheitslücken räumte die CISA den Behörden 60 Tage und sogar sechs Monate Zeit für die Behebung ein, bei anderen Sicherheitslücken hingegen nur zwei Wochen.)

[Lesen Sie auch: Ein Brief an die Vorstandsvorsitzenden zur Sicherheitslücke „ Log4j “]

Die Dringlichkeit und die engen Fristen der CISA sind nachvollziehbar. Die bisherigen Richtlinien des Ministeriums haben die Herausforderungen beleuchtet, denen viele Bundesbehörden gegenüberstehen, wenn es darum geht, Transparenz in ihren Netzwerken zu erreichen – insbesondere hinsichtlich der Tausenden von Endgeräten, die von Remote-Mitarbeitern genutzt werden und in Cloud-Anwendungen enthalten sind – sowie schnelle und in Echtzeit erfolgende Software-Patches bereitzustellen.

Im Jahr 2015 stellten Forscher der CISA fest, dass fast jede dritte Sicherheitslücke bei Bundesbehörden durchschnittlich 200 Tage oder länger benötigte, um behoben zu werden. Drei Jahre später versuchte die Behörde, die Behebung der Sicherheitslücken zu beschleunigen, indem sie eine BOD erließ, wonach alle bekannten Schwachstellen innerhalb von 15 Tagen behoben werden sollten.

Während nur 4 % der in dieser Richtlinie genannten Sicherheitslücken in der Praxis ausgenutzt worden waren, griffen Hacker am 0 . Tag (dem ersten Tag der Bekanntgabe, dass ein Sicherheitspatch erforderlich war) 42 % davon an, innerhalb von zwei Tagen nach dieser Bekanntgabe 50 % und innerhalb von 28 Tagen 75 %.

Cyber-risk 101

CISA’s patching directives are “risk management 101,” says Suzanne Spaulding, senior adviser for homeland security and director of the Defending Democratic Institutions project at the Center for Strategic and International Studies. „Man betrachtet die Folgen und die Wahrscheinlichkeit. „Es handelt sich hierbei um Sicherheitslücken, deren Ausnutzung potenziell schwerwiegende Folgen haben könnte und die zudem am ehesten ausgenutzt werden.“

Der fortlaufende „ “-Katalog der CISA ( ), in dem die in ihrem BOD aufgeführten Sicherheitslücken erfasst sind, umfasst Software und Softwarekonfigurationen einer Vielzahl bedeutender Softwareanbieter, darunter Adobe, Apple, Cisco, Google, Microsoft, Oracle und SolarWinds, die alle in Netzwerken der Bundesbehörden eingesetzt werden.

Der CISA-Risikokatalog spiegelt die Erkenntnis wider, dass die derzeitige Vielzahl von Angreifern bei ihren jüngsten Angriffen strategisch mehrere Schwachstellen miteinander „verknüpft“ hat.

Es handelt sich um eine Taktik, die die russische Hackergruppe „Nobelium“ bei mehreren Angriffen zu Beginn dieses Jahres anwandte, um eine Reihe von vier Schwachstellen im Microsoft Exchange Server auszunutzen ( ). Dabei nutzte sie Schwachstellen mit geringem Schweregrad, um sich Zugang zu einem Netzwerk zu verschaffen, und nutzte anschließend schrittweise weitere Schwachstellen, um ihre Zugriffsrechte auf sensiblere Daten und Protokolle auszuweiten.

Es gibt zahlreiche Fahrbahnschwellen

Es ist unerlässlich, Sicherheitslücken mit hohem Risiko zu beheben – und zwar zügig. Doch das ist nicht immer einfach. „Die Installation eines bestimmten Patches könnte das gesamte Netzwerk einer Behörde lahmlegen“, sagt Spaulding. Noch schwieriger ist es, dass Bundesbehörden und zivile Auftragnehmer in einer uneinheitlichen IT-Landschaft arbeiten, die Altplattformen, „ “-Firmware und Software umfasst. Da die Pandemie einen Umstieg auf Remote-Arbeit erzwang, verzeichneten cloudbasierte VPN-Zugangswege und Endgeräte mit „ “ einen explosionsartigen Anstieg.

“Das ist ein gewaltiges Unterfangen. Sie können doch unmöglich erwarten, dass die Behörden alles stehen und liegen lassen und diese Korrekturen sofort vornehmen.”

Bud Broomhead, Geschäftsführer von Viakoo

Damit eine Behörde die Anforderungen des BOD der CISA sinnvoll erfüllen kann, muss sie einen Prozess durchlaufen, bei dem alle ihre Netzwerkressourcen erfasst werden und „die Systeme identifiziert werden, für die Patches erforderlich sind, sowie die Auswirkungen ermittelt werden, die diese Patches auf ihre derzeitige Software haben werden“, so Jamil Jaffer, Geschäftsführer des National Security Institute.

Das bedeutet, eine gründliche Erfassung und Bestandsaufnahme aller Software, Firmware und Endgeräte der Behörde und der Anbieter durchzuführen – einschließlich lokaler und Cloud-Server, Desktop-Computer, mobiler Geräte und IoT-Sensoren. Anschließend müssen die Behörden alle anfälligen Systeme reparieren, entfernen oder ersetzen sowie sicherstellen, dass alle Software-Updates und die sicheren Konfigurationen unter ordnungsgemäß installiert sind und funktionieren.

[Lesen Sie auch: Ehemaliger Verteidigungsminister – „Wir sind unser schlimmster Feind“]

„Das ist ein gewaltiges Unterfangen“, sagt Bud Broomhead, Geschäftsführer von Viakoo, einem Unternehmen, das unter anderem zur Absicherung von IoT-Geräten beiträgt. „Sie können doch unmöglich erwarten, dass die Behörden alles stehen und liegen lassen und diese Korrekturen sofort vornehmen.“

Angesichts des Umfangs dieser Aufgabe vertritt Broomhead die Ansicht, dass eine manuelle Bewältigung sowohl unpraktisch als auch unrealistisch ist. „Es stehen einfach nicht genügend Mitarbeiter zur Verfügung, um diese Aufgabe zu bewältigen“, stellt er fest. „Tatsächlich benötigen Sie Automatisierung, doch nur ein sehr kleiner Teil der Agenturen hat diese bereits eingeführt.“

Selbst die Automatisierung von Software-Updates reicht möglicherweise nicht aus. Ein typisches Beispiel: Beim SolarWinds-Angriff nutzten russische Hacker ein routinemäßiges Software-Update als Trojaner vom Typ „ “ und schleusten dabei Schadcode in die Orion-Software ein, die anschließend im Frühjahr 2020 über einen Zeitraum von vier Monaten von 18 000 Nutzern heruntergeladen wurde.

Wo der Vorstand der CISA Defizite aufweist

Patches mögen zwar eine kurzfristige Lösung für Sicherheitslücken darstellen, doch wird eine umfassendere Überarbeitung erforderlich sein, um die Cybersicherheit der Regierung langfristig wirklich zu stärken.

„Jede Behörde befindet sich auf einem Weg zur Verbesserung der Sicherheit“, sagt Broomhead. „Das Endziel ist Zero Trust.“

Angesichts der Tatsache, dass laut Berichten 61 % der Datenpannen durch die Offenlegung von Anmeldedaten verursacht werden, ist die Multi-Faktor-Authentifizierung (MFA) ein entscheidender Schritt auf dem Weg zu Zero Trust. (Der Angriff auf die Colonial Pipeline , über den in der Sendung „ “ berichtet wurde, wurde mit einem einzigen durchgesickerten Passwort in Verbindung gebracht.) Die CISA hat sich jedoch nur zögerlich für die Einführung der MFA eingesetzt. Das Unternehmen hat lediglich die Einmal-Authentifizierung in seine Liste der „schlechten Praktiken“ für das „ “ ( ) unter August 2021 aufgenommen.

Während die im Juni erlassene Durchführungsverordnung der Biden-Regierung vorschrieb, dass alle Behörden und Anbieter innerhalb von 180 Tagen die Multi-Faktor-Authentifizierung (MFA) einführen müssen, räumte Biden selbst in einer Pressekonferenz ein, dass die Exekutive Sicherheitsprotokolle zivilen Auftragnehmern des Bundes nicht „vorschreiben“ kann.

[Lesen Sie auch: Die Cybersicherheitsrichtlinie der Fed rückt veraltete Netzwerke in den Fokus]

Eine weitere erhebliche Sicherheitslücke, die der Vorstand unberücksichtigt lässt: anfällige VPNs, die keine Möglichkeit bieten, die Fernzugriffsaktivitäten zu überwachen und zu prüfen. Sollte es doch zu einem Angriff kommen, speichern VPNs keine historischen Protokolle der Netzwerkaktivitäten, um die Quelle des Sicherheitsverstoßes zurückverfolgen zu können. Im Oktober veröffentlichte die CISA Leitlinien mit dem Titel „ “ ( ), um die Sicherheit beim Fernzugriff zu verbessern. Ohne einen soliden Rahmen für die Überwachung und die Gewährleistung der Einhaltung bleiben diese jedoch kaum mehr als bloße Ideen.

“Ich halte einen Mechanismus zur Einhaltung und Durchsetzung der Vorschriften für sehr wichtig. Ich denke, wir sollten uns mit Geldbußen befassen.”

Jen Easterly, Direktorin der CISA

Selbst wenn der Vorstand der CISA darauf abzielt, Sicherheitslücken zu schließen, scheint die Durchsetzung schwierig, wenn nicht gar unmöglich zu sein. Die zweiwöchige Frist ist am 17. November abgelaufen, doch die Behörde hat bislang keine Angaben dazu gemacht, wie viele Behörden und Anbieter der Anweisung nachgekommen sind, geschweige denn, inwieweit dies geschehen ist.

„Letztendlich verfügt die CISA nur über begrenzte Möglichkeiten, diese Vorschriften durchzusetzen“, sagt Jaffer. „Letztendlich werden der Präsident und der Kongress eine Rolle bei der Überwachung dieser Richtlinien spielen müssen. „Genau das wird den Druck auf die Leiter der Behörden erhöhen, so schnell wie möglich so viel wie möglich zu erledigen.“

in Jen Easterly , Direktorin der CISA, räumte dies ein, als sie bei einer Anhörung des Senatsausschusses für innere Sicherheit und Regierungsangelegenheiten im Rahmen des „September 2021 “ aussagte. „Ich halte einen Mechanismus zur Einhaltung und Durchsetzung der Vorschriften für sehr wichtig“, erklärte sie vor dem Ausschuss. „Ich bin der Meinung, dass wir die Möglichkeit von Geldbußen in Betracht ziehen sollten.“

„Geldbußen wären für eine Behörde natürlich das schlimmste Szenario, da sie sich auf die verfügbaren Mittel auswirken würden, die sowohl für operative Zwecke als auch für die Cybersicherheit vorgesehen sind“, sagt Jaffer. „Man möchte, dass die Behörden dem zuvorkommen und die CISA-Richtlinien umsetzen, idealerweise noch bevor der Kongress über die Erteilung einer solchen Befugnis berät.“

Das beste Szenario? In einer Cyberumgebung, in der böswillige Akteure rund um die Uhr nach Schwachstellen suchen, die sie ausnutzen können, müssen Bundesbehörden und ihre externen Partner über kurzfristige Notlösungen hinausgehen und eine langfristige „Zero-Trust“-Strategie verfolgen – und zwar zügig.