Die jüngste Anweisung „ “ ( ) der Cybersecurity and Infrastructure Security Agency (CISA), wonach alle Bundesbehörden Hunderte von Cybersicherheitslücken beheben müssen, hat niemanden überrascht. Seit Jahren kritisieren Technologieaufsichtsbehörden und Kongressabgeordnete die Behörden wegen ihrer nachlässigen Cybersicherheit.
Doch während die verbindliche Betriebsrichtlinie 22-01 der CISA den Behörden zwei Wochen bis sechs Monate Zeit einräumt, um seit Jahren bestehende Software-Sicherheitslücken zu beheben, reicht das zugrunde liegende Problem in vielen Fällen Jahrzehnte zurück.
Im August stellte der Ausschuss für innere Sicherheit und Regierungsangelegenheiten des Senats „systemische Mängel“ im Bereich der Cybersicherheit bei sieben von acht Bundesbehörden fest und wies dabei auf deren Abhängigkeit von nicht mehr unterstützten Altsystemen sowie auf deren Unfähigkeit hin, „Amerikas sensible Vermögenswerte“ zu überwachen, nachzuverfolgen und zu schützen. Hinsichtlich der Reife im Bereich Cybersicherheit vergab der Ausschuss den Behörden die schlechte Note C–.
In seiner eingehenden Überprüfung der acht Behörden stellte der HSGAC mehrere erhebliche Schwachstellen fest:
- Sieben Behörden nutzten Altsysteme oder Anwendungen, für die der Anbieter keine Sicherheitsupdates mehr bereitstellte.
- Sechs Behörden haben es versäumt, Sicherheitspatches für „ “ sowie weitere Maßnahmen zur Behebung von Sicherheitslücken zügig zu installieren.
- Sieben Behörden haben es versäumt, genaue und umfassende Bestandsverzeichnisse ihrer IT- -Ressourcen zu führen.
Der Bericht des Senatsausschusses stützt sich auf eine Bewertung des Cybersicherheitsstatus jeder Bundesbehörde durch deren eigene Generalinspektoren (IG) im Jahr 2020.
Es handelt sich um eine Folgestudie zu einem ähnlichen Bericht, der im Jahr 2019 von einem Unterausschuss desselben Gremiums verfasst wurde und in dem die Überprüfungen der Innenrevisoren der Behörden im vergangenen Jahrzehnt bewertet wurden. Die in beiden Berichten hervorgehobenen Ergebnisse sind vernichtend. Viele der Sicherheitsherausforderungen sind das Ergebnis einer Anhäufung veralteter Netzwerke, die sich nur schwer aktualisieren, überwachen und schützen lassen. Laut ihren eigenen internen Prüfstellen investieren die Behörden zu viele ihrer Ressourcen in diese veralteten Systeme und setzen sich dadurch Angriffen durch Cyberkriminelle aus.
„Hacker werden immer raffinierter“, sagt Edward Debish, Leiter des Bereichs Kundenbetreuung im öffentlichen Sektor bei Tanium und ehemaliger Kommandant der Cyberspace Operations Group des Marine Corps. „Jede Software weist zwangsläufig eine Sicherheitslücke auf.“ „Es ist nur eine Frage der Zeit, bis diese Sicherheitslücke entdeckt und anschließend ausgenutzt wird.“
Behebung von Sicherheitslücken
Das kontinuierliche Patch-Management ist ein zentraler Prozess der Cybersicherheit, der von Behörden häufig übersehen wird. Der Bericht des Senatsausschusses hebt dieses Versagen in mehreren Behörden hervor, darunter auch im Ministerium für Innere Sicherheit, das mit der Überwachung der Cybersicherheitsstandards in der gesamten Bundesregierung betraut ist. Aus dem Bericht ging hervor, dass das DHS über einen Zeitraum von 12 Jahren Sicherheitspatches nicht ordnungsgemäß installiert hat. Nach Angaben der Ermittler der Behörde waren 26 „schwerwiegende Sicherheitslücken“ auf diesen Fehler zurückzuführen.
„“Die eigentliche Frage ist, ob die Regierung bereits festgelegt hat, wie die Einhaltung der Vorschriften effektiver als bisher überwacht werden kann.“Daniel Castro, Vizepräsident der Stiftung für Informationstechnologie und Innovation
Die größere Herausforderung besteht darin, dass die Bundesbehörden mit einer uneinheitlichen IT-Umgebung arbeiten, die sich auf lokale Systeme und mehrere cloudbasierte Plattformen verteilt. Nicht nur das, auch das explosive Wachstum unverwalteter – und oft nicht katalogisierter und unsichtbarer – Endgeräte, die von Zehntausenden von im Fernzugriff tätigen Bundesbediensteten genutzt werden, hat die Datensicherheit an den Endgeräten weiter erschwert.
Tatsächlich stellte der Bericht des Senatsausschusses für Informationssicherheit und Technologie ( August 2021 ) einen besorgniserregenden Mangel an Transparenz in den Netzwerken der Behörden fest, was bedeutete, dass diese ihre eigenen Plattformen nicht umfassend auf Cyberbedrohungen überwachen konnten.
So konnte das Außenministerium beispielsweise für 60 % der Mitarbeiter, die Zugang zu seinem geheimen Netzwerk hatten, keine entsprechenden Unterlagen vorlegen. Bei Tests der Systeme wurden 450 Schwachstellen mit kritischem Risiko und 736 Schwachstellen mit hohem Risiko festgestellt. Prüfer des Verkehrsministeriums, das für die Cybersicherheit der landgestützten Verkehrsinfrastruktur des Landes zuständig ist, stellten fest, dass fast 15 000 IT-Ressourcen – darunter mobile Geräte und Server – in den Unterlagen der Behörde nicht erfasst waren. Und im Ministerium für Wohnungswesen und Stadtentwicklung entdeckten Inspektoren ein „Schatten“-IT-Netzwerk – eine Situation, die die persönlichen und finanziellen Daten von Millionen von Amerikanern gefährdet.
Prioritäten beim Patch-Management
Die Lösung für all diese Probleme besteht laut CISA darin, dass jede Behörde eine robuste und vorzugsweise automatisierte Lösung für das Patch-Management einführt. Die Behörde hat zuvor einen Leitfaden zur Kapazitätserweiterung im Rahmen des „“ () veröffentlicht, um Bundesministerien bei der Umsetzung von Strategien zum Patch-Management zu unterstützen.
Der Erfolg des Ansatzes der CISA hängt von zwei Faktoren ab. Der erste Punkt betrifft die Einhaltung der Vorschriften – also das Ausmaß, in dem die Behörden die Anordnung der CISA ernst nehmen und unverzüglich befolgen werden. Daniel Castro, Vizepräsident des Thinktanks „Information Technology and Innovation Foundation“, ist nicht davon überzeugt, dass dies geschehen wird. „Behörden sind bereits gemäß dem FISMA [Federal Information Security Management Act] verpflichtet, Sicherheitspatches auf ihren Systemen zu installieren“, sagt Castro. „Die eigentliche Frage ist, ob die Regierung bereits festgelegt hat, wie die Einhaltung der Vorschriften effektiver als bisher überwacht werden kann.“
Der zweite Faktor ist die ausschließliche Konzentration der CISA auf die Installation von Patches. Die Richtlinie zeichnet sich durch das Fehlen weiterer branchenüblicher Cybersicherheitsstrategien aus, wie beispielsweise der Erkennung von Systemen ( ), der Bestandsaufnahme (Asset discovery and inventory ) sowie der kontinuierlichen Echtzeitüberwachung () aller Endgeräte ( ), die mit dem Netzwerk einer Behörde verbunden sind.
Das Installieren von Patches ist ein guter Anfang, reicht aber nicht aus, sagt Malcolm Harkins, Fellow am Institute for Critical Infrastructure Technology (ICIT), einem Thinktank für Sicherheitsfragen. Er sagt, dies müsse in andere grundlegende Strategien wie die Erkennung von Bedrohungen und die Netzwerküberwachung eingebettet werden.
Tatsächlich müssen Unternehmen zunächst alle ihre Netzwerkendpunkte (Server, Arbeitsstationen, Netzwerkgeräte und -systeme) identifizieren und anschließend ein vollständiges Inventar der Endpunktdaten erstellen. Erst dann können sie Software installieren, aktualisieren, mit Patches versehen oder entfernen – sowohl auf einer Gruppe von Computern als auch auf einzelnen Rechnern.
„Das Patchen allein ist kein Allheilmittel“, sagt Harkins. „Zu wissen, welche Möglichkeiten man hat, welche Systeme man zuerst mit Patches versorgt und welche Geräte am wichtigsten sind“ – das sei der Schlüssel zu einer erfolgreichen Cybersicherheit, sagt er.
