„Ist unser Netzwerk sicher? „Sind wir so gut wie möglich vor Cyberbedrohungen geschützt?“
Heutzutage muss jeder Technologieführer damit rechnen, dass ihm diese Fragen gestellt werden – sei es von einer Führungskraft des Unternehmens, einem Vorstandsmitglied oder einem kommandierenden Offizier.
Um diese Fragen mit Sicherheit beantworten zu können, benötigen Sie umfangreiche Daten – Daten zu Endgeräten, Patch-Stand, Netzwerkaktivität, Ransomware-Varianten und so weiter. Außerdem müssen Sie wissen, wo sich diese Daten befinden und wie Sie sie erfassen und auswerten können. Nur durch die Erfassung und Auswertung dieser Daten können Sie eine aussagekräftige und umfassende Bewertung der Sicherheit Ihres Netzwerks vornehmen.
Für die meisten Unternehmen erfordert eine derartige Analyse umfassende, mehrere Wochen oder sogar mehrere Monate dauernde Befragungen von IT- und Sicherheitsspezialisten. Selbst dann wird die daraus resultierende Analyse wahrscheinlich nur zu dem Zeitpunkt relevant sein, zu dem die Daten erfasst, ausgewertet und ausgewiesen werden. Neue Sicherheitslücken und andere Risiken könnten bereits einen Tag später – oder sogar schon wenige Minuten später – auftreten.
Ein besserer Ansatz besteht darin, Tools und Prozesse einzuführen, mit denen Sicherheitsdaten kontinuierlich und in Echtzeit erfasst werden können. Mit Echtzeitdaten zum Status von Netzwerken und Endgeräten können Sie Fragen zur allgemeinen Sicherheit mit eindeutigen Antworten beantworten. Dann können Sie den Stand der Cyber-Bereitschaft Ihres Unternehmens an einem Montagmorgen beschreiben und diesen am Freitagnachmittag erneut genau wiedergeben, selbst wenn Ihr Unternehmen am Mittwoch einen neuen Dienst eingeführt oder am Donnerstag eine Übernahme abgeschlossen hat.
Und da Sie ein automatisiertes System eingerichtet haben, das Ihnen jederzeit die benötigten Antworten liefert, verschaffen Sie sich damit einen operativen Vorteil bei der Abwehr von Angriffen. Das heißt, Sie sind der Cyber-Bereitschaft im Angesicht von Cyberbedrohungen einen Schritt näher gekommen.
Fragen, die zur Cyber-Bereitschaft führen
Bei der Cyber-Bereitschaft geht es letztendlich darum, drei verschiedene Fragen zu beantworten, die jeweils einen anderen Aspekt der Cybersicherheit betreffen. Diese Fragen lauten:
- Wie ist der Zustand meines Netzwerks? (Cyberhygiene)
- Welche Bedrohungen kann ich finden? (Erkennung von Bedrohungen)
- Wie schnell können Maßnahmen zur Abwehr von Bedrohungen umgesetzt werden (Maßnahmen zur Abwehr von Bedrohungen)?
Zusammengenommen bilden diese Fragen die Cyber-Bereitschaft. Sie können das Problem, wenn Sie möchten, mathematisch betrachten:
Cyberhygiene + Erkennung von Bedrohungen + Maßnahmen zur Abwehr von Bedrohungen = Cyber-Bereitschaft
In dieser Blogreihe werde ich jedes dieser Themen ausführlich behandeln. Zunächst möchte ich jedoch auf die defensive Denkweise eingehen, die diesem Ansatz zur Cybersicherheit zugrunde liegt. Es handelt sich um eine Philosophie, die von den Marines während des Irakkriegs entwickelt wurde. Es heißt „Left of Bang“. So funktioniert es.
Angriffe verhindern, anstatt auf sie zu reagieren
Mitte des Jahres 2006 erkannte das US-Marinekorps, dass es eine neue Strategie zum Schutz seiner Truppen im Irak benötigte. Der irakische Aufstand war in vollem Gange. Aufständische vergruben improvisierte Sprengsätze (IEDs) auf den Straßen, und diese versteckten Sprengsätze forderten verheerende Opferzahlen. Allein im September wurden 776 Amerikaner durch Sprengsätze verletzt. Und diese Geräte, von denen viele leistungsstark genug waren, um ein 27 Tonnen schweres Bradley-Kampffahrzeug zu zerstören, schienen überall zu sein. Im Juli wurden 666 Sprengsätze gezündet. Marinesoldaten fanden fast weitere tausend Geräte, die zur Explosion vorbereitet waren.
(Eine ausführliche Darstellung dieser Angriffe und der Reaktion der Marine finden Sie unter „Left of Bang: How the Marine Corps’ Combat Hunter Program Can Save Your Life“ von Patrick Van Horne und Jason A. Riley.)
Zu diesem Zeitpunkt des Krieges waren die Marines bestens ausgebildet, um bei auftretenden Problemen effektiv zu reagieren. Doch die Reaktion auf Explosionen von improvisierten Sprengsätzen führte nicht zu einer Verringerung der Häufigkeit der Anschläge. Auch trug das reaktive Vorgehen nicht wesentlich dazu bei, die Stärke der Aufständischen insgesamt zu verringern. Die Marines benötigten eine neue Strategie.
Marine-General James Mattis, Kommandeur der Ersten Marine-Expeditionsstreitkräfte, wollte, dass die Marines die Initiative ergreifen und in die Offensive gehen. Er strebte eine neue Art der Ausbildung für die Marines an – eine Ausbildung, die den Marines helfen sollte, eine „jägerähnliche Denkweise“ zu entwickeln, Situationen schnell einzuschätzen, potenzielle Bedrohungen zu erkennen und die wirksamsten Maßnahmen zu ergreifen. So entstand das „Combat Hunter“-Programm der Marine.
Der Leitgedanke hinter diesem Programm bestand darin, die Einsätze der Marine „vor dem Schuss“ zu verlagern. Stellen Sie sich den zeitlichen Ablauf eines Anschlags mit einer improvisierten Sprengvorrichtung vor. In der Mitte der Zeitleiste explodiert die Sprengvorrichtung. Das ist der Knaller. Rechts neben dem Knall sind alle Folgen der Explosion zu sehen: ein beschädigtes Fahrzeug, flüchtende Zivilisten und Sanitäter, die zum Ort des Geschehens eilen.
Bei 2006, links vom Knall – dem Zeitpunkt auf der Zeitachse vor der Explosion – waren vor allem Aufständische damit beschäftigt, den Anschlag zu planen, die Sprengvorrichtung zu bauen und diese in der Straße zu vergraben. Die Marines hatten kaum Einblick in diese Aktivitäten. Folglich fand nur ein sehr geringer Teil ihrer gezielten Handlungen vor dem „Bang“ statt.
Das „Combat Hunter“-Ausbildungsprogramm hat dies geändert. Die Marines lernten, wie man soziale Verhaltensmuster an öffentlichen Orten beobachtet. Sie lernten, nach Auffälligkeiten Ausschau zu halten, wie beispielsweise nach Personen, deren Verhalten nicht zu dem Umfeld oder dem Markt passte, in dem sie sich aufhielten. Sie lernten zu erkennen, wann sich Einheimische unerwartet von einem Ort entfernten – vielleicht, weil sie wussten, dass ein Angriff bevorstand. Und die Marines lernten, wann sie in die Offensive gehen mussten, um Aufständische zu fassen, bevor diese zuschlagen konnten.
Als Militärberater im Irak zwischen 2005-2006 wandten wir die Grundsätze von „Left of Bang“ an, um das Risiko für unsere Konvois zu verringern und die Qualität unserer Ergebnisse zu verbessern – damit wir pünktlich und sicher an unserem Ziel ankamen. Entscheidend für diesen Ansatz waren Beobachtbarkeit, Agilität und Vorhersehbarkeit. Für die meisten Amerikaner sind Long Island, Michigan und Tampa Orte, doch für Marinesoldaten und Soldaten stehen diese Begriffe für besonders gefährliche Routen, auf denen ein „Left-of-Bang“-Ansatz die Einsatzbereitschaft der Konvois verbessert hat. Das Erkennen der „goldenen Stunde“, die bereichsübergreifende Zusammenarbeit und die Einbindung von Technologie in unsere Einsatzplanung waren entscheidend für unsere Überlebensfähigkeit und die Einsatzbereitschaft unseres Konvois.
Zusammenfassend lässt sich sagen, dass die Ausbildung den Marines Folgendes vermittelte:
- Bedrohungen anhand des Verhaltens identifizieren
- Bewerten Sie sowohl subtile als auch offensichtliche Anzeichen von Bedrohungen auf der Grundlage menschlichen Verhaltens, von Absichten und des Umfelds
- Denken Sie spontan kritisch nach und konzentrieren Sie sich dabei auf das Wesentliche
- Treffen Sie fundierte, schnelle Entscheidungen auf der Grundlage der verfügbaren Informationen
Die „Combat Hunter“-Ausbildung hat den Ausschlag gegeben. Plötzlich waren die Marines in der Lage, Situationen besser einzuschätzen. Es gelang ihnen, Bedrohungen – darunter auch solche durch Sprengstoffanschläge – früher zu erkennen und Maßnahmen zu ergreifen, um Verluste zu vermeiden. Die Zahl der Opfer durch IEDs ging zurück. Aufständische wurden festgenommen. Die Teilnehmer lobten das Programm und äußerten den Wunsch, sie hätten die darin vermittelten Erkenntnisse schon früher erlangen können.
Das Programm verdeutlichte die Vorteile eines proaktiven Denkens – also des Handelns „links vom Knall“.
Was IT-Sicherheitsteams aus dem „Bang-Training“ über Sicherheit lernen können
Heutzutage befinden sich viele IT-Sicherheitsteams in der Defensive. Sie tun ihr Bestes, um sich gegen eine Vielzahl von Angriffen zu schützen, darunter Ransomware, Phishing und Business-E-Mail-Compromise.
Allerdings ist ihre Sichtweite begrenzt. Die meisten arbeiten mit unvollständigen oder veralteten Endgerätebestandslisten. Sie wissen nicht genau, welche Softwarekomponenten wo installiert sind, wodurch sie anfällig für Angriffe über die Lieferkette sind. Allzu oft sehen sich IT-Sicherheitsteams dazu gezwungen, sich mit der reinen Bewältigung des Arbeitsaufwands zu beschäftigen oder im Grunde genommen auf Bedrohungen, Datenanfragen und Cybervorfälle zu reagieren, indem sie in einer „Right-of-Bang“-Welt agieren.
Überlegen Sie, wie das „Left-of-Bang“-Denken die zuvor von mir erwähnten Fragen verfeinern kann, die zu Cyberresilienz führen:
- Wie ist der Zustand meines Netzwerks? (Cyberhygiene)
Einblicke von „Left of Bang“:- Verstehe ich den Zustand meines Netzwerks wirklich? Kann ich mein Netzwerk einsehen?
- Nehme ich alles wahr, was ich wahrnehmen sollte, um Bedrohungen so schnell wie möglich zu erkennen?
- Habe ich Einblick in aussagekräftige Anomalien, auch wenn diese nur subtil sind?
- Welche Bedrohungen kann ich finden? (Erkennung von Bedrohungen)
Einblicke von „Left of Bang“:- Kann ich die subtilen Anomalien erkennen, die auf Bedrohungen hinweisen, die ich möglicherweise übersehen habe?
- Bin ich in der Lage, Bedrohungen überall zu erkennen – auf jedem Endgerät an jedem Standort, das eine Verbindung zu meinen Netzwerken herstellt oder Daten meines Unternehmens verarbeitet?
- Wie schnell können Maßnahmen zur Abwehr von Bedrohungen umgesetzt werden? (Maßnahmen zur Abwehr von Bedrohungen)
Einblicke von „Left of Bang“:- Kann ich schneller reagieren und fundierte, schnelle Entscheidungen treffen, um Angriffe zu verhindern oder sie schneller einzudämmen?
- Kann ich das Ausmaß und die Art von Angriffen schneller erfassen?
- Kann ich diese eindämmen und Maßnahmen ergreifen, um zu verhindern, dass sich ähnliche Angriffe wiederholen?
Sicherheitsteams können ihre Cyber-Resilienz erheblich stärken, indem sie eine „Left-of-Bang“-Strategie für die Cybersicherheit verfolgen und diese Erkenntnisse umsetzen.
Ein genauerer Blick auf die Cyber-Bereitschaft
In meinen kommenden Blogbeiträgen werden wir uns eingehender mit den Best Practices von „ “ in den Bereichen Cyberhygiene, Bedrohungserkennung und Maßnahmen zur Abwehr von Bedrohungen befassen.
Erfahren Sie unterdessen mehr darüber, wie die „ “-Plattform „Tanium Converged Endpoint Management (XEM)“ (wird in einem neuen Tab geöffnet) Sicherheitsteams dabei unterstützt, ihre Transparenz, Kontrolle und Behebungsmöglichkeiten zu verbessern, um die Cyber-Bereitschaft zu stärken.
