Die Welt der Sicherheit steht in Flammen, und die Ursache für diesen Brand ist nicht nur die tödliche Omikron-Variante. Unternehmen bemühen sich mit Hochdruck darum, den als schlimmsten Cyberangriff der Geschichte bezeichneten Zero-Day-Exploit mit der Bezeichnung „Log4j“ zu beheben. Regierungsvertreter haben gewarnt, dass möglicherweise Hunderte Millionen Computer gefährdet sind, und dass hochqualifizierte, staatlich geförderte Angreifer darum wetteifern, diese neu entdeckten Sicherheitslücken auszunutzen.
Der Wettlauf um die Behebung von Sicherheitslücken in den Systemen und die Abwehr einer Angriffswelle könnte zu keinem ungünstigeren Zeitpunkt stattfinden. Der massive Umstieg auf Homeoffice während der COVID-19-Pandemie hat die Komplexität des Software-Patch-Managements erhöht. Und das in Rekordzeit.
„Da die Menschen zu Hause sind, ist es schwieriger geworden, Sicherheitspatches zu installieren“, sagt Nicole Ford, Chief Information Security Officer (CISO) bei Carrier, dem Klimaanlagenriesen mit Sitz in Palm Beach Gardens, Florida. „Es gibt mittlerweile eine Vielzahl von Geräten, die die Menschen nutzen, seit sie im Homeoffice arbeiten.“ „Wir benötigen mehr Einblick in diese Geräte.“
Im Rahmen der Arbeit im Homeoffice arbeiten Mitarbeiter über teilweise große Entfernungen hinweg zusammen und greifen über eine Vielzahl von Geräten – von denen viele nicht sicher sind – auf Unternehmensnetzwerke, Daten und Dienste zu. Eine im Oktober von Ivanti durchgeführte Umfrage ergab, dass 57 % der IT- und Sicherheitsexperten der Ansicht sind, dass die Arbeit im Homeoffice die Installation von Patches erschwert. Im Allgemeinen empfinden 71 % das Patchen als übermäßig komplex und zeitaufwendig.
Während die Regierung also von den Organisationen verlangt, ihre Sicherheitspatches mit Höchstgeschwindigkeit zu installieren, sieht die Realität so aus, dass – aufgrund von COVID und der Tatsache, dass so viele von uns von zu Hause aus arbeiten – viele Unternehmen und Behörden diesen Prozess als schwieriger denn je empfinden. Der Notfall „ Log4j “ verdeutlicht, wie wichtig es für Unternehmen ist, nicht nur Patches zu installieren, sondern auch über eine abgestimmte Patch-Strategie zu verfügen, die sowohl monatliche Schutzmaßnahmen als auch das Management von Notfallmaßnahmen umfasst.
Probleme mit Patches
Die Notwendigkeit einer neu belebten Vision für das Patching ist relativ neu.
„Das Patchen ist deutlich komplexer geworden, da die Angriffsfläche so stark zugenommen hat“, sagt Phil Reitinger, Präsident und CEO der Global Cyber Alliance, ehemaliger CISO bei Sony und hochrangiger Beauftragter für Cybersicherheit in der Obama-Regierung. Er sagt, das alte Paradigma habe darin bestanden, dass jeder zur Arbeit erschien, seinen Desktop-Computer einschaltete und sich die ganze Zeit innerhalb der Unternehmensgrenzen aufhielt. „Das ist einfach komplett verschwunden“, sagt er. „Die Pandemie hat die Abkehr von einem parametrisierten Netzwerk um eine beträchtliche Größenordnung beschleunigt.“
„“Das Patchen ist deutlich komplexer geworden, da die Angriffsfläche so stark zugenommen hat.“Phil Reitinger, Präsident und Vorstandsvorsitzender der Global Cyber Alliance
Serguei Sviatyi, Cloud-Administrator bei IPS-Integrated Project Services, einem Technologieberatungsunternehmen mit Sitz in Pennsylvania, stimmt dem zu.
„Homeoffice und Remote-Arbeit haben zu einer echten und erheblichen Veränderung in der Art und Weise geführt, wie mittelständische und große Unternehmen das Thema Patching betrachten und umsetzen müssen“, sagt er. „Nahezu alle unsere Endgeräte und Arbeitsplätze befinden sich mittlerweile außerhalb des Schutzbereichs, den Unternehmensnetzwerke bieten. „Dadurch wird es schwieriger, die Computer zu erreichen und zu überprüfen, ob die Patches installiert wurden.“
Das Installieren von Patches wird oft als eine der einfachsten und wirksamsten Maßnahmen im Kampf gegen Cyberkriminelle angesehen. In der Praxis kann dies jedoch schwierig sein. Hacker nutzen die Schwächen langsamer Patch-Management-Systeme voll aus. Zwar mag die vollständige Automatisierung von Patching-Systemen unter dem Gesichtspunkt der Geschwindigkeit als gute Idee erscheinen, doch kann sie auch Nachteile mit sich bringen.
Manchmal sind die von Softwareunternehmen veröffentlichten Patches selbst problematisch, und es kann schwierig sein, ihre negativen Nebenwirkungen mit vollautomatisierten Prozessen wirksam zu mindern. Der bevorzugte Mittelweg besteht darin, die meisten Aspekte der monatlichen Patch-Installation zu automatisieren und dennoch vor der Einführung der Patches ausreichend Tests durchzuführen.
Wie lässt sich die Patching-Krise beheben?
Um diesen Herausforderungen zu begegnen, können Unternehmen laut Sviatyi bei der Durchführung von Patches auf drei verschiedene Arten vorgehen. Jede davon hat ihre Vor- und Nachteile.
Der erste Ansatz: „Richten Sie Ihre eigene Infrastruktur ein und kümmern Sie sich selbst um die Installation der Patches“, sagt Sviatyi. Der Vorteil besteht darin, dass Sie nicht auf externe Parteien angewiesen sind und die volle Kontrolle über die Installation von Patches haben. „Der Nachteil ist, dass hierfür erhebliche Investitionen in die Infrastruktur sowie qualifiziertes Ingenieurpersonal erforderlich sind, um dies erfolgreich umzusetzen“, sagt er. „Dies wird noch dadurch erschwert, dass Patches monatlich oder sogar wöchentlich installiert werden müssen.“
Ein zweiter Ansatz: Die Durchführung von Patches an externe Dienstleister auslagern. Diese Strategie ist hilfreich, wenn das Unternehmen nicht über interne Ressourcen verfügt, um die Infrastruktur ordnungsgemäß einzurichten und zu warten.
Das bedeutet jedoch auch, dass die Organisation einem Dritten weitreichende Zugriffsrechte gewähren muss. Dies kann zu Sicherheitsverletzungen führen. „Wie die Vorfälle bei SolarWinds und Kaseya zeigen, könnten diese Abhängigkeit und dieses Vertrauen von Angreifern mit verheerenden Folgen ausgenutzt werden“, sagt Sviatyi.
Der dritte und effektivste Ansatz: automatisiertes Patch-Management. Das Patchen einer einzelnen Software ist ein relativ einfacher Vorgang. Wenn Ihre Umgebung jedoch aus Hunderten oder Tausenden von Geräten besteht, deren Software und Systeme physisch, virtuell und cloudbasiert sind, benötigen Sie eine effektivere Lösung.
[Lesen Sie auch: Ein Brief an die Vorstandsvorsitzenden zur Sicherheitslücke „ Log4j “]
Das automatisierte Patch-Management ermöglicht es Unternehmen, ihre Netzwerkumgebungen nach Geräten und Anwendungen mit fehlenden Patches zu durchsuchen, von Anwendungsanbietern veröffentlichte Patches automatisch herunterzuladen und andere Patches auf der Grundlage verschiedener Bereitstellungsrichtlinien zu installieren. Dank dieser Funktionen können Unternehmen gesamte Umgebungen zügig mit Patches versorgen, das Patch-Fenster verkürzen und Risiken minimieren.
Zwar können diese Vorgänge manuell durchgeführt werden, dies wird jedoch nicht empfohlen. Manuelle Prozesse belasten nicht nur ein ohnehin schon überlastetes IT-Team, sondern führen zudem häufig zu Fehlern und stellen eine ineffiziente Zeitnutzung dar. Tatsächlich geben 60 % der Unternehmen an, dass die IT-Sicherheitsabteilung mehr Zeit mit manuellen Prozessen verbringt als mit der Behebung von Sicherheitslücken, was zu einem unüberwindbaren Rückstau bei den Reaktionsmaßnahmen führt.
Das Patch-Management ist von entscheidender Bedeutung, um sicherzustellen, dass Sicherheitslücken nicht unbeachtet bleiben. Zwar ist eine sicherere Umgebung der Hauptgrund, warum viele Unternehmen eine Patch-Management-Lösung einsetzen, doch bietet diese auch weitere Vorteile. Dazu gehören:
- Gesteigerte Produktivität. Durch die Installation von Patches wird sichergestellt, dass Ihre Software ordnungsgemäß und effizient funktioniert.
- Einhaltung gesetzlicher Vorschriften. Die Einführung eines Patch-Managements wird häufig von einer Reihe von Sicherheitsrahmenwerken oder -standards vorgeschrieben. Wenn ein Unternehmen keine Sicherheitspatches installiert, könnte es mit Geldbußen seitens der Aufsichtsbehörden belegt werden.
- Beschleunigte Innovation. Durch das Installieren von Patches haben Unternehmen die Möglichkeit, Updates bereitzustellen, um die Funktionen und die Funktionalität ihrer eigenen Software zu verbessern. In einem wettbewerbsintensiven Geschäftsumfeld stellt jeder Innovationsvorteil einen Mehrwert dar.
Dazu braucht es ein Team
J. Michael Daniel, der unter Präsident Obama als „Cybersicherheitsbeauftragter“ fungierte und heute Geschäftsführer der Cyber Threat Alliance ist, erklärt, dass Unternehmen ein Schulungsprogramm auflegen sollten, um allen Mitarbeitern die Bedeutung des Patch-Managements zu verdeutlichen. „Mitglieder und Mitarbeiter sollten dazu angehalten werden, ihre Geräte auf den neuesten Stand zu bringen“, sagt er. „Geräte müssen aktualisiert werden, wenn sie an das System angeschlossen werden sollen.“
“Viele große Unternehmen sehen sich zwangsläufig dazu gezwungen, „Glue-Code“ zu schreiben, um Daten von verschiedenen Softwareanbietern zu übertragen.“Serguei Sviatyi, Cloud-Administrator, IPS – Integrated Project Services
Gleichzeitig müssen die IT-Fachkräfte in den Unternehmen den optimalen Zeitpunkt für die Installation von Patches ermitteln. „Ein Update darf nicht mitten am Tag während wichtiger Kundengespräche erfolgen“, sagt Daniel. „Sie dürfen sich nicht in den Geschäftsbetrieb einmischen.“
Für kleinere Organisationen werde die Umstellung auf einen kontinuierlichen Aktualisierungs- und Patching-Zyklus insgesamt zu besser geschützten Systemen führen, so Sviatyi. „Diese Unternehmen verfügen in der Regel nicht über das Personal und die Ressourcen, um die Einführung von Updates voranzutreiben.“
Neue Strategien zur Installation von Patches können zudem den Arbeitsaufwand für Dienstleister verringern, die kleine Unternehmen betreuen. Dadurch können sie lediglich den Status der Patches überprüfen, anstatt Patches und Korrekturen zu installieren. Bei großen Organisationen kann die Situation anders aussehen.
„Viele große Unternehmen müssen zwangsläufig ‚Glue-Code‘ schreiben, um Daten von verschiedenen Softwareanbietern zu übertragen“, sagt Sviatyi. Ein solcher Code kann auf eine API und geplante Aufgaben zurückgreifen, um Datenduplikate zu vermeiden oder sogar wichtige Funktionen auszuführen. Das bedeutet, dass große Unternehmen möglicherweise zögern, ein Upgrade durchzuführen.
[Lesen Sie auch: 6 Grafiken, die zeigen, was bei der Endgerätesicherheit funktioniert und was nicht]
Wenn Unternehmen Software einsetzen, bei der jeden Monat eine Sicherheitslücke entdeckt wird, eine Korrektur jedoch erst in einer neuen Version bereitgestellt wird, müssen sie möglicherweise ihren Programmcode neu schreiben, um den neuesten Schutz zu gewährleisten.
„Unternehmen bleiben letztendlich an unsichere Software gebunden, da ihnen die Ressourcen fehlen, um interne Prozesse und Verfahren anzupassen“, sagt Sviatyi. „Durch die Arbeit im Homeoffice ist der Schutz von [Software] noch schwieriger geworden.“
