Die letzten zwei Jahre waren für Sicherheitsleiter herausfordernd – um es am wenigsten zu sagen. Sie haben beispiellose Ereignisse erlebt, die ein erhöhtes Bedrohungsniveau und ein erhöhtes Bewusstsein für Cyberrisiken auf den höchsten Ebenen von Organisationen haben.
In meinem vorherigen Blog habe ich kürzlich bemerkenswerte Cybersicherheitsvorfälle behandelt, von denen einige Schlagzeilen machten und den Opferorganisationen erheblichen Schaden zufügten, und die alle in vielen Organisationen Angst machten – oder sollten.
Ich habe auch damit begonnen, die Strategie zu präsentieren, die Unternehmen verfolgen sollten, um ein Cybersicherheitsprogramm zur Abwehr von Angriffen zu entwickeln. Der Plan umfasst fünf Bereiche: Bestands- und Assetmanagement, Aufschlüsselung von Silos, Risikobewertung, Lückenanalyse und Patchmanagement.
Ich werde in diesem Beitrag weiterhin die letzten drei Teile des Plans besprechen. Weitere Informationen über Bestands- und Assetmanagement sowie die Aufschlüsselung von Silos finden Sie in meinem vorherigen Artikel.
Was ist eine IT-Risikobewertung?
Eine IT-Risikobewertung ist etwas, das Unternehmen benötigen, aber es ist nicht einfach zu tun.
Es ist wie Buchhaltungsmathematik, aber für Technologie. Die Bedeutungen können sich ändern, und alles basiert auf einem gemeinsamen Verständnis dessen, was die Risikobewerter zu tun versuchen und wie sie das Risiko messen.
Glücklicherweise gibt es einige effektive Praktiken für die Risikobewertung. Eines ist es, ein kontextbezogenes Verständnis zu vermitteln. Risiko ist im Kern eine Beziehung zwischen Schwachstellen, Bedrohungen und Kritikalität. Ein Risikobewertungsteam kann das Risiko basierend auf dem Vorhandensein von Schwachstellen, der Wahrscheinlichkeit, dass die Organisation von jemandem anvisiert wird, der diese Schwachstellen ausnutzen möchte, und wie wichtig ein gezieltes System für die Organisation ist, messen.
Erhalten Sie mit der Risikobewertung von Tanium einen umfassenden Überblick über die Risikolage und proaktive Möglichkeiten, Ihre Organisation vor wachsenden Cyberbedrohungen zu schützen. Fordern Sie Ihren kostenlosen Bericht an.
Es gibt viele Rahmenbedingungen zur Risikomessung, aus denen Sie auswählen können. Der Schlüssel besteht darin, alles auf Schwachstellen, Bedrohungen und das Verständnis, wie wichtig ein bestimmtes Asset ist, abzubilden.
Noch etwas zu beachten ist, dass sich das Risiko bis zum zweiten ändert. Für jeden neu auftretenden Bedrohungsakteur, jede Zero-Day-Schwachstelle, die in freier Wildbahn gesehen wird, und jeden Laptop, der sich anmeldet, hat sich das Risiko verändert. Die Sicherheitsbranche hat eine veraltete Risikosicht als Momentaufnahme in der Zeit, aber das funktioniert einfach nicht in einer Technologielandschaft, die sich so häufig ändert.
Ein weiteres Problem ist die Meldung von Risiken. Für viele Organisationen erhält das Risiko eine einzige Folie in der vierteljährlichen Präsentation vor dem Vorstand – eine Situation, in der es unmöglich ist, sinnvolle Gespräche über die Risikolandschaft und Trends zu führen.
Organisationen müssen eine Messung des Echtzeitrisikos erstellen, und damit diese erfolgreich ist, muss die Risikoberechnung automatisiert werden. Wenn Sie eine Umgebung instrumentieren, sollte dies eine Überlegung mit hoher Priorität sein.
Das Ziel des Verständnisses und effektiven Risikomanagements ist es, umsetzbare Erkenntnisse zur Minderung und Behebung zu liefern. Minderung ist der vorübergehende Zustand der Risikominderung bei der Planung einer vollständigen Behebung oder Beseitigung.
Oft umfasst die Minderung Hotfixes, temporäre Zugriffskontrolländerungen oder andere Härteschritte, die Schwachstellen verringern, aber auch die Produktivität beeinträchtigen können. Dieser Prozess soll Zeit für die ordnungsgemäße Behebung kaufen, was oft Upgrades oder den Ersatz von gefährdeten Assets umfasst.
In einigen Fällen ist es erforderlich, dass das Unternehmen das Risiko „akzeptiert“, indem es den Stakeholdern Kontextinformationen über die Kosten der Behebung im Vergleich zu dem potenziellen Verlust bereitstellt, den die Ausnutzung des Risikos verursachen würde.
Risikoakzeptanz ist zwar ein gültiger Ansatz, sollte jedoch nach eigenem Ermessen verwendet und regelmäßig überprüft werden, um sicherzustellen, dass die Organisation nicht mehr Risiken übernommen hat, als sie bereit sind zu bezahlen.
Am Ende des Tages müssen Sie sicher sein, dass Sie nur schriftliche Risikoakzeptanzprüfungen haben, von denen Sie sicher sind, dass Sie Bargeld erhalten können. Fazit: Risiken müssen gemindert, behoben oder akzeptiert werden, und Minderung und Akzeptanz sollten niemals als „steady state“ angenommen werden.
Analyse und Management von Sicherheitslücken
Für jeden Sicherheitsvorfall gibt es wahrscheinlich eine Art Schwäche innerhalb der angegriffenen Organisation, die Cyberkriminelle ausnutzen konnten. Deshalb ist es so wichtig, bestehende Sicherheitslücken zu finden und zu schließen, bevor es zu spät ist. Die Zeit, die Umgebung zu aktualisieren, ist nicht während eines Angriffs, sondern heute.
Lückenmanagement in Bezug auf Netzwerksichtbarkeit und Eindringungserkennung ist unmöglich, ohne den aktuellen Zustand und das Endziel zu kennen und Verbesserungen im Laufe der Zeit zu messen. Zunächst muss ein Unternehmen festlegen, wie viele Endpunkte es sehen und verwalten kann, im Vergleich zu wie vielen nicht und ein Ziel festlegen, um diese Lücke über ein Quartal zu reduzieren.
Wenn diese Ziele erreicht werden, kann die Organisation sie erweitern, granularer werden und spezifische, hochtechnische Anwendungsfälle anvisieren.
Während einige dieser fortschrittlicheren Anwendungsfälle dringend erscheinen mögen, muss sich eine Organisation, die die Sichtbarkeit jedes Endpunkts nicht sicher beanspruchen kann, auf Visibilitätsverbesserungen als erste Priorität konzentrieren. Die Verbesserung der Visibilität skaliert die Wirksamkeit aller anderen Bemühungen für Sicherheit und Betrieb.
Erkennung, Triage/Analyse, Incident Response-Workflows und Infrastrukturmanagement sind oberste Ziele für Organisationen, die Endpunktbedrohungen verwalten. Um diese Dinge effektiv zu erledigen, müssen Unternehmen die richtigen Instrumente integrieren, bevor sie benötigt werden.
Bei der Bewertung der Instrumentierung müssen Unternehmen berücksichtigen, worauf sie Einblick erhalten können. Decken bestehende Lösungen alle Bereiche ab, in denen Visibilität erforderlich ist? Dies umfasst Endgeräte, Netzwerke, Anwendungen, Cloud-Dienste und andere Bereiche.
Patch-Verwaltung
Für viele Unternehmen ist das Patch-Management immer noch ein Achilles-Absatz, der durch die schnelle und unerwartete Umstellung auf Remote-Arbeit noch schlimmer wird. Selbst nach all diesen Monaten suchen einige immer noch nach dem richtigen Weg, Patches auf die Geräte zu erhalten, für die sie keine Sichtlinie haben.
Untersuchungen zeigen, dass ein relativ kleiner Prozentsatz von Organisationen in der Lage ist, ein kritisches Patch in weniger als 24 Stunden bereitzustellen, und viele sind sich nicht sicher, dass angewandte Patches erfolgreich effektiv waren.
Schwachstellen werden heute aktiv innerhalb von Stunden ausgenutzt, nicht Tage oder Wochen. Sich auf eine Patch-Compliance von 30, 60 oder 90 Tagen zu verlassen, ist eindeutig nicht ausreichend für die schwerwiegenderen Schwachstellen.
Organisationen müssen nicht nur ihre gesamte Patch-Performance verstehen, sondern auch diejenigen IT-Assets identifizieren und klassifizieren, die priorisiert werden sollten. Es ist jedoch wichtig zu beachten, dass alle Systeme Priorität beim Patchen haben; es geht nur darum, dass einigen realistischerweise etwas mehr Zeit eingeräumt werden kann, damit die dringendsten zuerst gepatcht werden können.
Deshalb basiert das Verständnis des Risikos auf dem Verständnis der Asset-Kritikalität. Betriebliche Entscheidungen hängen von einem kontextabhängigen Echtzeitverständnis Ihrer Umgebung ab.
Für die meisten Organisationen bedeutet dies, dass die öffentlich zugänglichen Systeme, wie z. B. E-Commerce-Websites, eine hohe Priorität haben, da sie am anfälligsten für Angriffe sind. Dann können sie nach innen und unten zu Endbenutzer-Workstations arbeiten.
Die Technologiebranche macht oft Witze, dass Automatisierung daraus entsteht, dass sie immer wieder dieselben redundanten, zeitaufwendigen Aufgaben erledigt. Das gilt sicherlich für das Patch-Management. Während es einfach klingt, wissen die Ärzte, dass es oft mit fehlenden Geräten, Netzwerkbeschränkungen und Timing um die Geschäftsanforderungen herum zu kämpfen hat.
Nach der Visibilität sollte Ihre wichtigste Priorität darin bestehen, sicherzustellen, dass Ihre Patches automatisiert sind. Auf diese Weise können sich Ihre talentierten Engineering-Teams auf Innovation und Reifung zu einer proaktiven Haltung konzentrieren, anstatt Dutzende oder Hunderte von Stunden pro Monat für rückwirkendes Patching zu verwenden.
Zeit für die Erstellung und Ausführung Ihres Cybersicherheits-Aktionsplans
Dies sind sicherlich herausfordernde Zeiten für Unternehmen, wenn es um Cybersicherheit geht. Neue Bedrohungen und Schwachstellen entstehen ständig, während IT-Umgebungen immer komplexer werden.
Tatsache ist, dass es nicht einfacher wird. Sicherheitsmanager müssen ihre Organisationen bei der Erstellung und Bereitstellung eines Aktionsplans leiten, der Schlüsselbereiche wie Inventar- und Assetmanagement, Aufschlüsselung von Geschäfts-/Sicherheitssilos, Risikobewertung, Lückenmanagement und Patchmanagement abdeckt.
Auf diese Weise schaffen Unternehmen die Möglichkeit, ihre Verteidigung gegen die neuesten Bedrohungen zu stärken. Das wird ihnen den Weg freimachen, effektiv als digitale Unternehmen zu konkurrieren und gleichzeitig wertvolle Informationsressourcen zu schützen und ihre Sicherheitsoperationen auf ein proaktives und innovatives Niveau zu steigern.
Erfahren Sie, wie Tanium dazu beitragen kann, die Sicherheitsabwehr Ihres Unternehmens zu stärken. Fordern Sie eine Demo an oder testen Sie Tanium in Ihrer eigenen Umgebung mit einer kostenlosen Testversion.
