Was versteht man unter Cyber-Bereitschaft? Es handelt sich um einen Bereich der Informationstechnologie (IT), der einen Ansatz nach dem Prinzip „ “ (), „Left of Bang“ () und „ “ () für das Endpunktmanagement, die Echtzeit-Erkennung von Bedrohungen und die schnelle Behebung von Bedrohungen umfasst. Bei Kampfhandlungen umfasst der Ansatz „ , left of bang“ ( ) die Planung von Operationen, um bereits vor einem Angriff, dem ersten Schuss und der Explosion einen Vorteil zu erzielen. Dies könnte die Durchführung eines Konvois zum richtigen Zeitpunkt, die Wahl der richtigen Route, die Suche nach böswilligen Akteuren oder die Reaktion auf Ereignisse auf unvorhersehbare Weise umfassen, um den Angreifer zu verwirren. „Left of Bang“ umfasst die Suche nach Bedrohungen sowie die anschließende rasche Bewertung von Risiken und Auswirkungen, um diesen Bedrohungen entgegenzuwirken. Verbindet man diese Konzepte mit dem Endpunktmanagement, der Echtzeit-Bedrohungserkennung und der schnellen Behebung von Bedrohungen, so wird Transparenz zum gemeinsamen Nenner. Transparenz ist für die Jagd von grundlegender Bedeutung und stellt eine grundlegende Fähigkeit dar, die Cyberhygiene, die Erkennung von Bedrohungen sowie die Bewertung von Maßnahmen zur Abwehr von Bedrohungen ermöglicht.
In „ “ – einem früheren Blogbeitrag unter – habe ich diese Gleichung als prägnante Möglichkeit zur Erläuterung der Cyber-Bereitschaft vorgestellt.
Cyberhygiene + Erkennung von Bedrohungen + Maßnahmen zur Abwehr von Bedrohungen = Cyber-Bereitschaft
Hier finden Sie eine kurze Erläuterung zu jedem dieser Elemente:
- Der „Cyber-Hygiene“-us konzentriert sich auf Endgeräte und Netzwerke und stellt sicher, dass alle Schutzmaßnahmen ordnungsgemäß umgesetzt wurden.
- Die Bedrohungserkennung ist, wie der Name schon sagt, die zeitnahe Erkennung von Bedrohungen – von Ransomware-Angriffen, die Geräte lahmlegen, bis hin zu „Business Email Compromise“-Angriffen (BEC), bei denen Mitarbeiter dazu verleitet werden, Geldbeträge an Kriminelle zu überweisen. Die schnelle und präzise Erkennung von Bedrohungen gibt Sicherheitsteams die Möglichkeit, deren Ausbreitung im gesamten Unternehmen zu verhindern und weiteren Schaden zu vermeiden.
- Maßnahmen zur Abwehr von Bedrohungen umfassen das Ergreifen von Maßnahmen, um Angriffe zu stoppen und in manchen Fällen sogar die Handlungsfähigkeit der Angreifer einzuschränken.
Wenn eine Organisation diese Maßnahmen erfolgreich umsetzt, wird sie ihre Cyber-Bereitschaft – also ihre Fähigkeit, Cyberangriffe zu vermeiden und ihnen standzuhalten – erheblich verbessern.
Cyberhygiene: Gewährleistung eines optimalen Zustands unserer IT-Umgebung
Schauen wir uns das erste dieser Elemente einmal genauer an: die Cyberhygiene. Hygiene, im Wesentlichen ein medizinischer Begriff, bezeichnet die Praxis, durch Sauberkeit die Gesundheit zu erhalten und Krankheiten vorzubeugen. Im Bereich der Cybersicherheit beugt Cyberhygiene Angriffen vor, indem sie Schwachstellen, Softwarefehler, Sicherheitslücken oder Fehlkonfigurationen beseitigt. Diese Maßnahmen sind vergleichbar mit dem Händewaschen, um Keime zu entfernen und so die Ausbreitung von Krankheiten zu verhindern. Mark Rober hat dies in seinem YouTube-Video „: Ein Experiment zur Verbreitung von Keimen“ veranschaulicht, in dem gezeigt wurde, wie leicht sich Keime ausbreiten.
Die Cyberhygiene weist in vielerlei Hinsicht Parallelen zur medizinischen Hygiene auf, da wir Schwachstellen oder Bedrohungen beseitigen wollen – also Möglichkeiten, über die ein Angreifer in unser Netzwerk eindringen kann. Wir müssen wissen, was auf jedem Endgerät (d. h. jedem Laptop, Desktop-Computer, Server, IoT-Gerät, jeder Cloud-Anwendung usw.) geschieht, unabhängig davon, wo es sich befindet und über welches Netzwerk es verbunden ist. Tatsächlich benötigen wir eine kontinuierliche Erfassung von Daten zur Cyberhygiene für jeden Endpunkt, den wir absichern möchten. Und wir benötigen Maßnahmen (denken Sie beispielsweise an IT-Sicherheitsrichtlinien oder bewährte Verfahren zur Absicherung von Endgeräten), um Angreifer abzuwehren und die volle Betriebsfähigkeit der Endgeräte wiederherzustellen. Aus technischer Sicht ist es erforderlich, dass unsere technische Infrastruktur voll funktionsfähig und fehlerfrei ist. Ein „ -Left-of-Bang“-Ansatz ( ) sorgt dafür, dass sich unser IT-Betrieb und unsere Sicherheitsumgebung stets in einem optimalen Zustand befinden.
Lassen Sie uns die vier Anforderungen an die Cyberhygiene genauer untersuchen.
Anforderung Nr. 1: Umfassende Transparenz
Unsere erste Anforderung ist umfassende Transparenz – Transparenz in Bezug auf jeden Endpunkt, der Daten des Unternehmens verarbeitet oder eine Verbindung zu dessen Netzwerken herstellt.
Eine ganzheitliche Transparenz scheint ein naheliegendes Ziel zu sein, das sich mit einem einfachen Überwachungstool erreichen lässt. Tatsächlich stellt die Transparenz über Endgeräte für die meisten IT-Abteilungen eine Herausforderung dar, selbst für solche, die bereits erhebliche Investitionen in die Cybersicherheit getätigt haben. Unternehmen verfügen häufig über zahlreiche Tools zur Erfassung ihrer Endgeräte, und die Ergebnisse dieser verschiedenen Tools sind durchweg uneinheitlich. Diese Inkonsistenz ist sowohl auf eine unzureichende Endpunktabdeckung als auch auf eine mangelhafte BZO der Umgebung zurückzuführen. Die Tools sind zwar bereitgestellt, aber noch nicht voll funktionsfähig, oder das Tool wurde schlichtweg gar nicht bereitgestellt. Detaillierte Prüfungen von Unternehmensnetzwerken zeigen, dass die meisten Organisationen 10-20 % der Endgeräte übersehen.
Warum besteht diese Lücke in der Sichtbarkeit? Viele Endpunktmanagement-Produkte sind auf die Verwendung mit bestimmten Betriebssystemen und bestimmten Gerätetypen beschränkt, oder ihr Erkennungsalgorithmus funktioniert nur bei Geräten, auf denen bereits Endpunktmanagement-Software installiert ist. Mit anderen Worten: Diese Produkte können bestätigen, was Sie bereits wissen, doch sie können nichts entdecken, was Sie möglicherweise übersehen haben – nämlich die unsichtbaren Keime in Mark Roberts YouTube-Video. Infolgedessen besteht eine Lücke zwischen der Gesamtheit aller Endgeräte, die eine Bedrohung für die Cybersicherheit darstellen, und der kleineren Menge an Endgeräten, von denen das Sicherheitsteam annimmt, dass es diese verwaltet.
Leider reicht es aus, wenn ein Angreifer – beispielsweise eine Ransomware-Bande – nur einen Endpunkt kompromittiert, um in einem Unternehmen Fuß zu fassen. Sicherheitsteams können es sich nicht leisten, auch nur einen einzigen Endpunkt zu übersehen, geschweige denn 10 % oder 20 % ihrer Endpunktinfrastruktur.
Stellen Sie sicher, dass Sie über eine Möglichkeit verfügen, alle Endgeräte in Ihrer Umgebung zu erfassen und zu verwalten, einschließlich der Endgeräte in Heimbüros, an Remote-Arbeitsplätzen und in Cloud-Umgebungen. Dann haben Sie die erste wichtige Voraussetzung für Cyberhygiene erfüllt: .
Anforderung Nr. 2: Echtzeit-Transparenz
Sobald Sie eine umfassende Transparenz geschaffen haben, müssen Sie sicherstellen, dass Sie einen kontinuierlichen Echtzeit-Überblick über den Zustand all Ihrer Endgeräte haben, unabhängig davon, ob diese lokal oder remote sind. Von grundlegender Bedeutung für einen „ “-Ansatz, der auf der „Left-of-Bang“-Methode basiert ( ), ist ein Entscheidungsvorteil; dieser Vorteil wird durch Endpunktdaten gestützt.
Stellen Sie sicher, dass Sie diese Fragen beantworten können:
- Um welche Art von Endpunkt handelt es sich?
- Welche Software wurde darauf installiert?
- Welche Sicherheitstools sind auf dem Endgerät installiert, konfiguriert und funktionsfähig?
- Welche Prozesse laufen auf dem Endgerät?
- Falls der Endpunkt an einer risikobehafteten Aktivität beteiligt war, mit welchen anderen Endpunkten stand er in Verbindung?
Sicherheitsteams müssen in der Lage sein, diese Fragen schnell zu beantworten, indem sie Ereignisse oder Risiken anhand von Endpunktdaten ergänzen und in einen Kontext setzen. Während geschäftliche Funktionen darüber entscheiden, ob ein Endgerät Teil des Key-Cyber-Terrain (KCT) ist, ermöglicht die Echtzeit-Transparenz anhand von Daten eine Einordnung der Risiken und Auswirkungen für den Fall, dass ein Angreifer die Kontrolle über ein KCT-Endgerät erlangt. Sollte gerade ein Angriff stattfinden, liefert die Einsicht in einen Compliance-, Änderungs- oder Konfigurationsbericht des vergangenen Monats im Vergleich zur Echtzeit-Transparenz nur minimale Erkenntnisse. Um schnell und effektiv reagieren zu können, müssen Sie wissen, welche Software derzeit installiert und aktiv ist, damit Sie Software-Schwachstellen und Bedrohungen erkennen können. Außerdem müssen Sie jederzeit nachvollziehen können, was auf jedem Endgerät vor sich geht. Sie müssen ein Jäger sein, der die Einstellung „ , left of bang“ ( ) vertritt. Sie müssen jene Prozesse, Aktivitäten und Verhaltensweisen erkennen, die auf dem Endgerät nichts zu suchen haben.
Echtzeit-Transparenz ist ein entscheidender Faktor für die Planung, Entscheidungsfindung und Erkennung von Bedrohungen. Daher ist dies ein wesentlicher Bestandteil der Cyberhygiene.
Anforderung Nr. 3: Umfassende Software-Transparenz – Einblicke in die Software-Stückliste (SBOM)
Die Sicherheitslücke in der Software „ “ Log4Shell (oder Log4j) (CVE-2021-44228), über die erstmals auf 9. Dezember 2021 berichtet wurde, hat die Arbeit im Bereich der Cybersicherheit in Unternehmen nachhaltig verändert. Hier handelte es sich um eine weit verbreitete Open-Source-Softwarekomponente, die in Tausenden von kommerziellen Anwendungen – darunter auch Anwendungen der renommiertesten Unternehmen der Softwarebranche – integriert war und sich als anfällig für Angriffe erwiesen hat. In bestimmten Szenarien könnte die Sicherheitslücke Cyberkriminellen die vollständige Kontrolle über die Prozessausführung verschaffen, sodass sie beliebige Programme oder Shell-Befehle ausführen könnten, auf die die Anwendungen Zugriff haben.
In den meisten großen Unternehmen war die Komponente „ Log4Shell “ nicht nur in kommerziellen Anwendungen, sondern auch in intern entwickelten Anwendungen integriert, was den Suchumfang erheblich erweiterte. Es gab einen Patch, vorausgesetzt, man konnte alle Stellen ausfindig machen, an denen Log4j installiert war. Dieser Erkundungsprozess war jedoch eine schwierige und zeitaufwändige Aufgabe, zum einen, weil der Umfang so groß war und zahlreiche Anwendungen umfasste, zum anderen aber auch, weil die Log4Shell Artefakte in Archiven von Archiven innerhalb von JAVA-Anwendungen verpackt waren.
Unterdessen waren die Angreifer fleißig bei der Arbeit. Innerhalb von 72 Stunden nach Bekanntgabe der Sicherheitslücke führten Cyberkriminelle mehr als 800 000 Angriffe durch, bei denen sie diese Sicherheitslücke ausnutzten.
Log4Shell hat die Messlatte für die Cybersicherheitshygiene höher gelegt. Vor Log4Shell konnten Sicherheitsteams ein gutes Patch-Management betreiben, indem sie den Überblick über Anwendungen und Patch-Stände behielten; nach Log4Shell wurde den Sicherheitsteams bewusst, dass sie eine Lupe oder Infrarotlicht (IR) benötigten, um die für das menschliche Auge unsichtbaren „Keime“ zu erkennen – sie benötigten Transparenz über alle Komponenten jeder Anwendung und jedes Dienstes, die in ihren Netzwerken ausgeführt wurden. Aus der Sicht eines Kampfjägers wollen wir zu jeder Tageszeit gute Sichtverhältnisse haben; wir benötigen Nachtsichtgeräte, damit wir in die Software hineinsehen und dort Bedrohungen, Schwachstellen, den Sicherheitszustand sowie die Einsatzbereitschaft beurteilen können.
Mit anderen Worten: Sicherheitsteams benötigen nun einen Echtzeit-Überblick über die Stücklisten für Software-Komponenten ( , SBOM). Eine SBOM ist die Liste aller Komponenten, aus denen sich eine Anwendung oder ein Dienst zu einem bestimmten Zeitpunkt zusammensetzt. Nur mit einer derart detaillierten Analyse können Sicherheitsteams darauf vorbereitet sein, zu reagieren, wenn die nächste Sicherheitslücke in einer Softwarekomponente bekannt gegeben wird. Angesichts der weit verbreiteten Nutzung beliebter Open-Source-Bibliotheken, der Komplexität von Software und der Wahrscheinlichkeit von Konstruktionsfehlern ist eine weitere Ankündigung ähnlich wie „ Log4j “ unvermeidlich.
Es ist anzumerken, dass eine in 2007 entwickelte Funktion nicht für das SBOM- Log4j -Problem konzipiert wurde. Moderne Funktionen sind erweiterbar, anpassungsfähig und agil. Moderne Cyberfähigkeiten ähneln eher einer Programmiersprache als einer monolithischen Funktion innerhalb eines Programms. Hier treffen in der Geschichte des Erfolgs im Cyberbereich Chancen und Arbeit aufeinander. Die Fähigkeit, maßgeschneiderte Inhalte zu erstellen, ist ein entscheidender Faktor, um die Bedrohungen von morgen zu erkennen. Zeit und Raum sind die einschränkenden Faktoren bei dieser Herausforderung; wir benötigen möglicherweise nicht alle Daten, sondern nur die richtigen Daten, um die richtige Entscheidung zu treffen und rechtzeitig die richtigen Maßnahmen zu ergreifen.
Aus diesem Grund sind Einblicke in die SBOM mittlerweile eine unverzichtbare Voraussetzung für die Cyberhygiene.
Anforderung Nr. 4: Konfigurationsabweichungen (Patch-Maßnahmen und Softwareverwaltung)
Wir haben darüber gesprochen, alle Endpunkte zu ermitteln und deren Schwachstellen und Risiken zu erfassen. Nun benötigen wir eine Methode, um diese Endgeräte abzusichern, indem wir sicherstellen, dass jedes Endgerät über die richtige Konfiguration verfügt – durch die Installation von Patches, den Einsatz eines aktiven Software-Managements und die ordnungsgemäße Konfiguration jedes einzelnen Endgeräts. Um Endpunkte widerstandsfähig gegen Angriffe zu machen, ist Vorhersehbarkeit erforderlich, wobei das Unternehmen Konfigurationsabweichungen auf ein Minimum reduziert. Im Wesentlichen entspricht jeder Endpunkt der vorgeschriebenen Konfiguration.
Um unsere Hygiene-Metapher fortzuführen: Mangelnde Hygiene birgt Risikofaktoren; umgekehrt fördert gute Hygiene die Gesundheit und Widerstandsfähigkeit, indem sie Keime beseitigt, die Krankheiten verursachen können. Nun werden wir den Ansatz „ “ (vor dem Ausführen) anwenden, um die Betriebsbereitschaft unserer Umgebung zu verbessern, indem wir diese frei von Sicherheitslücken, Fehlkonfigurationen und veralteter Software halten.
Jedes Unternehmen verfügt über Tools, die es zur Installation von Patches und zur Bereitstellung von Software einsetzt; bei diesen Tools handelt es sich häufig um Einzellösungen, die Zeit und Aufwand erfordern. Dies hat zur Folge, dass trotz des Aufwands an Zeit und Mühe nur mittelmäßige Ergebnisse erzielt werden. Leistungskennzahlen sind zwar wichtig, doch die größeren Auswirkungen auf die Cyber-Bereitschaft liegen in den Abweichungen bei der Konfiguration aller Endgeräte. Das Tempo bei der Bereitstellung von Patches und der Einführung von Software ist zwar wichtig, doch die Unterstützung zahlreicher Konfigurationen erhöht die Komplexität und führt zu einem reaktiven Ansatz, der von Compliance-Anforderungen, veralteten Daten und historischen Berichten bestimmt wird. Dies könnte darauf zurückzuführen sein, dass zu viele Tools zum Einsatz kommen, was zu verworrenen und unzusammenhängenden Konfigurationsmanagementprozessen führt, oder das Problem könnte in der Wahl des falschen Tools, in einem Mangel an technischem Know-how innerhalb des Unternehmens sowie in einem Ansatz beim Konfigurationsmanagement liegen, der darauf ausgerichtet ist, „härter statt klüger zu arbeiten“.
Wenn Sie auf fünf oder zehn verschiedene Tools zurückgreifen, um Geräte zu scannen, Schwachstellen zu bewerten, Patches zu installieren, zu überprüfen, ob die Patches tatsächlich installiert wurden (bei vielen Tools können Erfolgsmeldungen stark übertrieben sein), und Berichte für Audits und Compliance zu erstellen, wird der Arbeitsablauf selbst zu einer neuen Art von Risiko. Es kann vorkommen, dass Schritte ausgelassen oder verzögert werden. Daten- und Berichtsformate können variieren. Wichtige Details könnten übersehen werden. Die Verfahren könnten sich gefährlich in die Länge ziehen.
Im Gegensatz dazu bietet „ “ im Rahmen eines effektiven Patch-Managements folgende Möglichkeiten:
- Auf der Grundlage der Informationen zum Patch-Status und zur SBOM, die von anderen Endpunktmanagement-Tools und -Workflows erfasst wurden
- Schnelle und effektive Installation von Patches, ohne die Leistung der Endgeräte oder des Netzwerks zu beeinträchtigen
- Erstellung von Berichten zum Echtzeitstatus von Endgeräten
- Unterstützung von Sicherheitsteams dabei, Probleme schnell zu erkennen und zu beheben, sobald neue Zero-Day-Angriffe bekannt werden
- Integration mit anderen Aspekten des Endpunktmanagements für nahtlose Übergänge im Endpunktbetrieb
Durch die Zentralisierung der Tools auf einer einzigen Plattform können Technologieteams Verzögerungen bei der Installation von Patches vermeiden und gleichzeitig die Echtheit der in ihre Umgebung eingebrachten Software gewährleisten, was zu einer einzigen Datenquelle führt, die verbindlich, genau, verfügbar und aktiv verwaltet ist. Tatsächlich bestehen moderne digitale IT-Organisationen aus vielen Teams, und jedes Team benötigt einen gemeinsamen Überblick, der die Suche im Rahmen eines „ -Left-of-Bang“-Ansatzes ( left of bang ) erweitert. Unternehmen erfüllen die vierte Anforderung an die Cyberhygiene, indem sie alle Teams an den Schnittpunkt zwischen Arbeit und Chancen heranführen, an dem Zusammenarbeit Aktivitäten vorantreiben kann, die Konfigurationsabweichungen minimieren und sicherstellen, dass sich das Netzwerk stets in einem bekannten Zustand befindet.
Cyberhygiene: ein wesentlicher Bestandteil der Cyber-Bereitschaft
Durch die Umsetzung der vier Anforderungen an die Cyberhygiene können Unternehmen den Zustand ihrer IT-Umgebung erfassen und nachvollziehen. Das Ergebnis wird eine verbesserte Cyber-Bereitschaft sein, die Angriffsflächen verringert, Endgeräte absichert und dafür sorgt, dass die Gesamtheit der Endgeräte frei von Schwachstellen ist. Wenn Teams innerhalb des Unternehmens eine gemeinsame Sichtweise auf potenzielle Bedrohungen teilen, ermöglicht eine effektive Endpunktmanagement-Lösung von es Unternehmen, ihre Umgebung durch Teamarbeit, Cyberhygiene und Einblicke in Konfigurationsabweichungen ihrer Endpunktinfrastruktur zu gestalten. Dieses Maß an Bewusstsein verschafft einen Entscheidungsvorteil, der Agilität, Anpassungsfähigkeit und das Erkennen von Bedrohungen ermöglicht.
Erfahren Sie mehr über die Tanium-Plattform „ “ unter und deren Rolle im Endpunktmanagement, einschließlich der Bereitstellung von Patches und der Einhaltung von Compliance-Vorgaben.
