Der „Alte Seemann“ von Samuel Taylor Coleridge beklagte sich: „Wasser, Wasser überall, doch kein Tropfen zu trinken.“ Moderne CISOs stehen bei Sicherheitstools vor demselben Problem. Je mehr sie davon haben, desto weniger nützlich scheinen sie zu sein.
„Mehr Tools sorgen oft eher für Verwirrung, anstatt Klarheit zu schaffen“, warnt Candy Alexander, Vorstandsmitglied der Information Systems Security Association (ISSA). „Als Cybersicherheitsexperten betonen wir schon seit Jahren, dass wir eine zentrale Übersicht benötigen, um zu erkennen, was gerade vor sich geht“, sagt Alexander. „Jedes Mal, wenn ein neues Werkzeug auf den Markt kommt, bedeutet das, dass wir durch eine weitere Glasscheibe blicken müssen.“
Vor zwei Jahren ergab die Studie „ “ des Ponemon Institute , dass Unternehmen im Durchschnitt jeweils 45 Cybersicherheitstools einsetzten. Diejenigen, die mehr als 50 Tools einsetzten, stuften ihre Fähigkeit, einen Angriff zu erkennen, um 8 % niedriger ein.
Angesichts der enormen Herausforderungen, denen westliche Unternehmen gegenüberstehen – darunter verdeckte wirtschaftliche Auseinandersetzungen mit China und ein umfassender Cyberkrieg mit Russland –, sind viele Unternehmen der Ansicht, dass es an der Zeit ist, dass die Anbieter von Tools zusammenarbeiten, anstatt isoliert zu agieren. Die Vielzahl an Tools deutet laut Experten auf die Notwendigkeit einer Konvergenz der Lösungen hin. Die Zeiten erfordern Handeln.
Der Drang zur Fusion
Sicherheitsexperten haben das Problem der zunehmenden Tool-Flut zunehmend satt. Zwei Drittel der 280 befragten Cybersicherheitsexperten in den Studien „ “ (), „Technology Perspectives from Cybersecurity Professionals“ () und „“ – einem in diesem Jahr von der ISSA und der Enterprise Strategy Group (ESG) veröffentlichten Forschungsbericht – waren der Ansicht, dass die Produkte zu komplex und zu schwer zu bedienen seien, um ihr volles Potenzial auszuschöpfen. Fast drei Viertel waren der Ansicht, dass Anbieter mehr Wert auf Werberhetorik als auf Substanz legten, was bei ihnen Verwirrung stiftete und den Cyberangreifern einen Vorteil verschaffte.
Sicherheitsexperten geben an, dass sie ihre Tools mithilfe eines Kernsatzes globaler offener Standards konsolidieren und integrieren möchten:
- 77 % der Befragten wünschen sich mehr Unterstützung seitens der Industrie und der Technologiebranche für offene Standards.
- , d. h. 84 % der Befragten, sind der Ansicht, dass die Integrationsmöglichkeiten eines Produkts wichtig sind.
- 83 % der Befragten sind der Ansicht, dass die künftige Interoperabilität von etablierten Standards abhängt.
James Lewis, Senior Vice President und Leiter des Programms für strategische Technologien am „ “ des Center for Strategic and International Studies (CSIS) , macht kulturelle Mängel dafür verantwortlich. Der Kauf weiterer Werkzeuge wirke wie ein Fortschritt, weil er Tatkraft zeige, sagt er, auch wenn es sich dabei um die falsche Art von Fortschritt handele.
Sollten Sie Opfer eines Hackerangriffs werden, bei dem die Active-Directory-Sicherheit unter kompromittiert wurde, werden Sie häufig ein Tool erwerben, um die Sicherheitslücke zu schließen.
„Wenn Sie erneut gehackt werden, kaufen Sie ein weiteres Tool“, sagt er. „Dann können Sie sich an Ihren Vorstand wenden und mitteilen, dass Sie Maßnahmen zur Behebung des Problems ergriffen haben, sodass ein Anreiz besteht, weiterhin einzukaufen.“
Es wäre nicht ganz so schlimm, wenn Unternehmen die Tools effektiv integrieren könnten. Bei den Befragten der ESG/ISSA belegte die Produktintegration unter den Beschaffungskriterien den zweiten Platz, direkt hinter den Kosten. Doch nicht alle Integrationen sind gleich, sagt Mark Mastrangeli, Co-Vorsitzender der „ “ Open Cybersecurity Alliance (OCA). Die im Jahr 2020 gegründete OCA – eine Open-Source-Gruppe, die im Rahmen des OASIS Open-Governance-Projekts tätig ist – setzt sich dafür ein, gemeinsame Standards für den Austausch von Sicherheitsinformationen zwischen Tools zu schaffen und die Integration zu vereinfachen.
[Lesen Sie auch: Was ist konvergentes Endpunktmanagement?]
Direkte Integrationen zwischen Tools führen zu einem komplexen Geflecht von Verbindungen, das sich nur schwer verwalten lässt. Er warnt zudem davor, die am stärksten integrierte Software auszutauschen. „Das zentrale Werkzeug, an das nun fünf weitere Komponenten gekoppelt sind, wird dadurch zu einem unverzichtbaren Bestandteil und lässt sich nur schwer ersetzen“, sagt er. „Es wird zu einem Schneeball, der den Hang hinunterrollt und sich nur schwer wieder aufhalten lässt.“
Standardisierung von Werkzeugen
Eine Alternative ist die architektonische Standardisierung, bei der eine Anwendung zwischen allen Tools angesiedelt ist und als Kommunikationskanal dient. Die Initiative „ : Posture Attribute Collection and Evaluation“ (PACE) konzentriert sich auf standardisierte Verfahren zum Austausch von Cybersicherheitsinformationen, die von Software-Schwachstellen über Patch-Stände bis hin zu Software-Bill-of-Materials-Daten (SBOM) reichen.
„Wenn Sie erneut gehackt werden, kaufen Sie ein weiteres Tool. Dann können Sie sich an Ihren Vorstand wenden und mitteilen, dass Sie Maßnahmen zur Behebung des Problems ergriffen haben, sodass ein Anreiz besteht, weiterhin bei Ihnen einzukaufen.”James Lewis, Senior Vice President und Leiter des Programms für strategische Technologien beim CSIS
Zu den OCA-Arbeitsgruppen gehört eine Reihe von Programmierbibliotheken, die es Systemen ermöglichen, eine Verbindung zu Cybersicherheits-Data-Warehouses herzustellen und Informationen im STIX-Format (Structured Threat Information Expression) abzurufen, einem Standard für den Austausch von Daten zur Cyberbedrohungsanalyse. Darüber hinaus gibt es eine OCA-Arbeitsgruppe, die sich darauf konzentriert, Informationen über das Verhalten von Cyberangreifern auszutauschen, um Unternehmen dabei zu helfen, Angriffsmuster zu erkennen.
Anfang August hat eine Gruppe von 18 Unternehmen das „ “ Open Cybersecurity Schema Framework (OCSF) ins Leben gerufen: . Das Projekt, das unter anderem von IBM, Amazon, Cloudflare und Tanium unterstützt wird, ist ein Open-Source-System, das für den Austausch von Cybersicherheitsinformationen zwischen verschiedenen Tools konzipiert ist. Es gibt noch weitere Akteure. Das ATT@CK-Framework von Mitre beschreibt Bedrohungen für die Cybersicherheit. OpenC2, ein weiteres OASIS-Projekt, zielt darauf ab, eine Standardsprache für die Steuerung und Kontrolle von Cyberabwehrtechnologien zu entwickeln.
Was CISOs jetzt tun können
Als Erstes sollten Sie sich einen Überblick über das Portfolio Ihres Unternehmens verschaffen. Unternehmen müssen die Überschneidungen zwischen ihren bestehenden Tools ermitteln und diese zusammenführen, um ihr Portfolio zu verkleinern und gleichzeitig den Verwaltungsaufwand sowie die Lizenzgebühren zu vereinfachen.
„Sie können sich in jeder Kategorie auf ein einziges Produkt standardisieren“, sagt Jon Oltsik, Senior Principal Analyst bei ESG und Verfasser des ESG/ISSA-Berichts. „Also: eine Art von Firewall, eine Art von Endpunkt-Sicherheitssuite vom Typ ‚ ‘ und so weiter.“ Sie würden sich wundern, wie viele große Unternehmen jeweils drei oder vier davon haben.“
Eine Alternative besteht darin, sich an einer einzigen integrierten Plattform zu beteiligen. Einige Anbieter bieten Extended Detection and Response (XDR)-Lösungen an, die sich in verschiedene Tools integrieren lassen und als zentrale Drehscheibe im Portfolio der Cybersicherheits-Tools fungieren. Einige Anbieter unterstützen die Integration mit ihren eigenen Partnern, während sich andere als reine Middleware zwischen Cybersicherheitstools von Drittanbietern positionieren.
Zwar unterscheiden sich die Ansätze der Anbieter, doch das Interesse der Kunden ist groß. In dem ESG/ISSA-Bericht wurde festgestellt, dass 46 % der Sicherheitsexperten eine XDR-Plattform entweder bereits eingeführt hatten oder deren Einführung planten.
Unabhängig davon, welchen Ansatz sie verfolgen, ist die Tendenz unter Sicherheitsexperten eindeutig: Es ist an der Zeit, die Last zu verringern. In der überfüllten Welt der Cybersicherheits-Tools wird den Menschen zunehmend bewusst, dass weniger mehr ist.
