Da immer mehr Unternehmen in digitale Automatisierung investieren, um alles vom Kundensupport bis hin zur Bearbeitung von Betrugsfällen zu verwalten, sehen sich IT-Führungskräfte mit einigen kniffligen Fragen konfrontiert: Werden Algorithmen ihre Teams letztendlich überflüssig machen oder sie in andere Rollen versetzen?
Eine Gruppe innerhalb der IT-Branche begrüßt die Automatisierung jedoch mit offenen Armen: die deutlich unterbesetzten und überlasteten Cybersicherheitsteams. Seit mehr als einem Jahrzehnt bleibt das Angebot an Sicherheitsanalysten weit hinter der Nachfrage zurück. Laut Cybersecurity Ventures werden im Jahr 2021 mehr als 3,5 Millionen Stellen im Bereich Cybersicherheit unbesetzt bleiben.
Unterdessen steigt die Zahl der Bedrohungen, denen diese Teams ausgesetzt sind, sprunghaft an. Laut einer Studie von Bitdefender haben sich die Ransomware-Angriffe im Jahr 2020 im Vergleich zum Stand von 2019 versiebenfacht . Eine Umfrage von Ponemon ergab unterdessen, dass 60 % der Mitarbeiter von Sicherheitszentralen (SOC) angeben, dass sie erwägen, ihren Arbeitsplatz zu verlassen oder sogar den Beruf zu wechseln.
Für Sicherheitsexperten, die bereit sind, noch etwas länger durchzuhalten, ist Hilfe in Sicht. Eine wachsende Zahl von Tools zur Sicherheitsautomatisierung (öffnet in einem neuen Tab) , die für die Bewältigung sich wiederholender, einfacher Aufgaben konzipiert sind, kann einen Großteil der mühsamen Arbeit, die mit den meisten Tätigkeiten im Bereich der Cybersicherheit verbunden ist, sowie eine zunehmende Anzahl höherwertiger Aufgaben übernehmen.
„SOC-Burnout ist nicht nur ein Schlagwort, sondern Realität“, sagt Neal Dennis, Spezialist für Bedrohungsinformationen bei Cyware, einem in New York ansässigen Cybersicherheitsunternehmen. „Die Einführung von Automatisierungsmaßnahmen würde einen Großteil der Probleme, mit denen SOC-Analysten konfrontiert sind, beseitigen.“
Die Automatisierung bedeutet für Cybersicherheitsteams mehr als nur eine Entlastung. Es senkt die durch Cyberkriminalität verursachten Kosten und verkürzt die Bearbeitungszeiten. Eine Studie mit dem Titel „ Juli 2020 “ () , die von IBM und Ponemon durchgeführt wurde, ergab, dass Automatisierungstools ein entscheidender Faktor für die Senkung der Kosten von Datenschutzverletzungen sind. Der Einsatz von Software, die den Prozess der Erkennung und Abwehr von Bedrohungen automatisiert, spart Unternehmen durchschnittlich fast 3,6 Millionen US-Dollar pro Sicherheitsvorfall (bei durchschnittlichen Gesamtkosten pro Sicherheitsvorfall von etwas mehr als 6 Millionen US-Dollar) und verkürzt die Zeit bis zur Behebung um rund 25 % (von durchschnittlich 308 Tagen auf 234).
Es überrascht nicht, dass die Zahl der Unternehmen, die eine Form der Sicherheitsautomatisierung einsetzen, seit 2018 von 49 % auf 59 % gestiegen ist. Die wichtigste Frage liegt daher auf der Hand: Warum setzen nicht mehr Organisationen dies um?
Der nichtmenschliche Faktor
Ein Grund dafür ist, dass viele Sicherheitsteams nicht über die erforderlichen Kompetenzen verfügen, um die Vorteile der Automatisierung voll auszuschöpfen, sagt Richard Stiennon, leitender Forschungsanalyst bei IT-Harvest.
„Die Automatisierung der Passwortzurücksetzung ist ganz einfach“, sagt Stiennon. „Die Suche nach Bedrohungen und das automatische Blockieren von Netzwerkverbindungen stellen jedoch einen komplexeren Anwendungsfall dar.“ „Nur wenige Unternehmen sind dazu in der Lage.“
In den vergangenen Jahren mussten in SOCs menschliche Mitarbeiter auf Warnmeldungen reagieren, Bedrohungen analysieren und als Reaktion darauf Regeln verfassen oder programmieren. Heutzutage übernehmen Maschinen und Algorithmen viele notwendige, aber sich wiederholende Sicherheitsaufgaben, wie beispielsweise die Verwaltung von Zugriffsrechten, die Analyse von Protokollen oder die Abwehr geringfügiger Bedrohungen.
Der starke Anstieg der Zahl der Menschen, die in den ersten Tagen der Pandemie im Homeoffice arbeiteten, beschleunigte die Notwendigkeit, einen Aspekt der Arbeit jedes Sicherheitsteams zu automatisieren: die Zugriffsverwaltung. Manuelle Ticketingsysteme, die Mitarbeiter validieren und autorisieren, konnten laut Manav Mital, dem CEO des auf Datensicherheit in der Cloud spezialisierten Unternehmens Cyral, mit der Nachfrage nicht Schritt halten, was den Prozess verlangsamte und zu Fehlern führte.
„Bei Cyral setzen wir stark auf die Automatisierung von Sicherheitsmaßnahmen“, sagt Mital. „Unser zentrales Handlungsprinzip lautet ‚Sicherheit als Code‘.“
Durch den Ersatz der manuellen Bereitstellung durch Skripte und maschinell verwaltete Konfigurationsdateien können SOC-Manager menschliche Fehler minimieren und sicherstellen, dass nur die entsprechenden Personen Zugriff auf die richtigen Ressourcen haben, fügt Mital hinzu.
„: Die Automatisierung der Passwortzurücksetzung ist ganz einfach.“ Die Suche nach Bedrohungen und die automatische Blockierung von Netzwerkverbindungen stellen jedoch einen komplexeren Anwendungsfall dar.”Richard Stiennon, leitender Forschungsanalyst bei IT-Harvest
Automatisierungstools verbessern zudem die Reaktion auf Sicherheitsvorfälle, indem sie Bedrohungsinformationen aus verschiedenen Quellen bündeln, so Joe Partlow, CTO bei ReliaQuest, einer SaaS-Plattform, die Transparenz über den gesamten Sicherheitsstack hinweg ermöglicht. Sie können sogar vordefinierte Reaktionen auf geringfügige Bedrohungen bereitstellen, wie beispielsweise das Blockieren verdächtiger IP-Adressen oder das automatische Zurücksetzen von Passwörtern.
„Wir werden niemals in der Lage sein, alles zu automatisieren“, sagt Partlow. „Wenn wir es jedoch schaffen, den Zeitaufwand zu reduzieren, den Analysten für die Anmeldung bei verschiedenen Tools und die Bearbeitung irrelevanter oder wenig aussagekräftiger Warnmeldungen aufwenden müssen, können sie mehr Zeit für die eigentliche Analyse wichtiger Ereignisse aufwenden.“
Zeit, durchzustarten
Unternehmen, die die Vorteile der Automatisierung in größerem Umfang nutzen möchten, setzen zunehmend auf ein breiteres Spektrum an Tools, die als SOAR-Plattformen (Security Orchestration, Automation, and Response) bezeichnet werden. Diese ermöglichen es SOCs, Ressourcen zu integrieren, die andernfalls möglicherweise nicht zusammenarbeiten würden, wie beispielsweise Firewalls oder „ “-Tools zur Endpunktüberwachung und -reaktion (EDR) von konkurrierenden Anbietern, so Dennis von Cyware.
Mithilfe von SOAR können Analysten in der Einsatzzentrale auf der Grundlage einer Sicherheitswarnung ein Ticket erstellen, dieses mit Informationen aus anderen Informationsquellen ergänzen, es durch eine Risikoanalyse-Engine leiten, um eine Bedrohungsbewertung zu generieren, und die Bedrohung anschließend entweder als Fehlalarm kennzeichnen oder zur weiteren Untersuchung an einen menschlichen Analysten weiterleiten.
„Was ein Tier-1-SOC-Analyst in 10 oder 15 Minuten erledigen müsste, könnte eine Orchestrierungsplattform in wenigen Sekunden bewältigen“, fügt Dennis hinzu. „Dadurch haben die Analysten mehr Zeit, sich mit der eingehenden Untersuchung schwerwiegenderer Vorfälle zu befassen.“
[Lesen Sie auch: Wie Tanium Sicherheitsorchestrierung, -automatisierung und -reaktion ermöglicht]
Die Kapitalrendite kann beträchtlich sein. Bundesbehörden wie das Ministerium für Innere Sicherheit und das US-Militär nutzen SOAR-Plattformen als Mittel zur Steigerung der Einsatzfähigkeit, wodurch unterbesetzte SOCs die für die Bedrohungsanalyse benötigte Zeit erheblich verkürzen können. Laut einer Fallstudie mit dem Titel „ “ ( ) von Swimlane, einem Anbieter von SOAR-Lösungen, konnte eine Behörde, die täglich mehr als 10 000 Sicherheitswarnungen manuell bearbeitete, den Zeitaufwand für die Analyse und Behebung von Bedrohungen um mehr als 75 % reduzieren, während gleichzeitig der Personalbestand beibehalten und die Arbeitsmoral der Mitarbeiter gesteigert wurde.
Natürlich gibt es jedoch Grenzen hinsichtlich der Art von Sicherheitsaufgaben, die ein Unternehmen automatisieren kann. Da Bedrohungen immer raffinierter und umfangreicher werden, werden sich Sicherheitsteams bei schwierigen Entscheidungen stets auf das menschliche Urteilsvermögen stützen.
„Man möchte den Computer des Geschäftsführers nicht vom Netzwerk isolieren, nur weil ein Fehlalarm vorliegt“, sagt Partlow von ReliaQuest. „Bevor Sie so etwas tun, sollten Sie mehrere zuverlässige Quellen überprüfen. „Sobald Sie anfangen, Maschinen außer Betrieb zu nehmen, wird das Ihr Automatisierungsprojekt schnell zum Scheitern bringen.“
Zero-Day übermorgen
Für IT-Führungskräfte, denen es nach wie vor nicht gelingt, ihre Teams vollständig mit externen Fachkräften oder umgeschulten Mitarbeitern zu besetzen, können automatisierte Arbeitsabläufe als entscheidende Absicherung gegen die Gewissheit dienen, dass die Risiken weiter zunehmen werden.
Da in den nächsten Jahren zig Millionen neuer Geräte ins Netz gehen und damit die Angriffsfläche jedes Unternehmens erheblich vergrößern, wird der Bedarf an automatisierten Reaktionen dramatisch steigen, stellt Kenneth Mendelson fest, Senior Managing Director für „ “ bei Guidepost Solutions, einem weltweit tätigen Sicherheitsberatungsunternehmen.
„Angesichts der zunehmenden Verbreitung von IoT-Geräten in Netzwerken wird es unerlässlich sein, die Identifizierung aller Geräte im Netzwerk sowie die Bewertung ihrer Schwachstellen und die Behebung etwaiger Sicherheitslücken zu automatisieren“, sagt er.
Sicherheitsorganisationen, die noch keine Automatisierung einsetzen, setzen sich neuen Risiken aus, unter anderem weil Hacker selbst Automatisierungstools nutzen. „Wir haben bereits Exploits gesehen, die sich automatisch verbreiten, wie beispielsweise den NotPetya-Wurm“, sagt Stiennon, „sowie vorprogrammierte Angriffe wie Stuxnet , die eigenständig agieren können.“
Es wird bald noch viel schlimmer werden. Zukünftige Ransomware-Angriffe, fügt er hinzu, werden wahrscheinlich in irgendeiner Form künstliche Intelligenz nutzen, um das Netzwerk zu analysieren, Anmeldedaten von Endgeräten zu extrahieren und Daten zu entwenden. „Angriffe werden innerhalb von Minuten und eines Tages sogar innerhalb von Sekunden ausgeführt werden“, fügt er hinzu. „Dem kann man nur durch Automatisierung entgegenwirken.“
