Im vergangenen Jahr wurden über 20 000 „Common Vulnerabilities and Exposures“ (CVEs) in der National Vulnerability Database (NVD) veröffentlicht. Das entspricht einem Anstieg um 10 % gegenüber 2020 und stellt das fünfte Jahr in Folge einen neuen Allzeit-Höchststand dar. Der Umgang mit den mit diesen Fehlern verbundenen Cyberrisiken wäre selbst unter optimalen Bedingungen eine Herausforderung. Doch es wird noch schwieriger, da Unternehmen ihre Investitionen in den digitalen Bereich ausbauen und selbst entwickelte Softwareprojekte vorantreiben.
Wie Tim Morris, Technologiestratege bei Tanium, in einem neuen Video erläutert, liegt der Schlüssel zur Bewältigung dieser immer komplexer werdenden Lieferkette – und zur Abwehr von Angriffen auf die Software-Lieferkette – darin, einen vollständigen Überblick darüber zu gewinnen, welche Komponenten ausgeführt werden, und anschließend die Kontrolle zu erlangen, um etwaige Probleme zu beheben.
Was versteht man unter Software-Lieferkettenmanagement?
Lieferketten sind ein unverzichtbarer Kanal für die Herstellung der Produkte, die wir täglich konsumieren. Ob es sich nun um eine neue Jeans oder eine Packung Aspirin handelt – es gibt stets eine Liste der Inhaltsstoffe oder Materialien, die von den Lieferanten bereitgestellt wird. Auf den ersten Blick unterscheidet sich Software nicht davon. Software setzt sich aus Basiskomponenten zusammen, und diese Komponenten werden von den zahlreichen Entwicklern, Teams und Unternehmen erstellt, aus denen sich die Software-Lieferkette zusammensetzt. Im Gegensatz zu den meisten Industriegütern ist es jedoch unwahrscheinlich, dass die Organisationen, die Software einsetzen, über eine griffbereite Liste der Bestandteile verfügen, die ihnen von ihren Anbietern zur Verfügung gestellt wird.
Tatsächlich werden Software-Lieferketten immer komplexer, da immer mehr DevOps-Teams bestrebt sind, Produkte unter Verwendung von Open-Source-Code von Drittanbietern intern zu entwickeln. Dies beschleunigt zwar die Zeit bis zur Wertschöpfung, führt jedoch zu einer erhöhten Undurchsichtigkeit und könnte das Unternehmen zusätzlichen Risiken aussetzen. Sehen Sie sich doch einfach das Dienstprogramm „ Log4j “ an. Wenn Fehler in „Matroschka-Puppen“ aus komprimierten Dateien verborgen sind, wird es schwieriger, CVEs in der gesamten Umgebung aufzuspüren und zu beheben, sobald sie ans Licht kommen.
All dies wirkt wie ein Magnet auf Angreifer. Open-Source-Code hat die Angriffsfläche von Unternehmen erheblich vergrößert und damit mehr Möglichkeiten geschaffen, sowohl bekannte Fehler im Code auszunutzen als auch sogar neue Fehler in die Code-Bibliotheken einzuschleusen. Das ist noch nicht alles. Angreifer verstärken zudem ihre Bemühungen, vertrauenswürdige proprietäre Software zu kompromittieren. So wurde beispielsweise im Fall von SolarWinds vorgegangen.
Die Sicherheit der Lieferkette beginnt damit, die Komponenten innerhalb der Komponenten zu erkennen
All dies geschieht auf dem Endgerät, wodurch dieses zur neuen Frontlinie im Kampf gegen Cyberrisiken wird. Die Herausforderung besteht darin, dass die heutigen Sicherheitsteams nicht nur jederzeit wissen müssen, welche Anwendungen auf diesen Endgeräten ausgeführt werden, sondern auch, welche Komponenten in diesen Anwendungen zum Einsatz kommen. Was wäre, wenn sich beispielsweise in einer dieser Komponenten ein versteckter Fehler befände? Oder falls die Komponente selbst falsch konfiguriert wurde und nun der Gefahr einer Kompromittierung ausgesetzt ist?
Dies geschieht zudem vor dem Hintergrund einer Endgeräteumgebung, die seit der Zeit vor der Pandemie erheblich gewachsen ist. Aufgrund der rasanten Zunahme von Geräten für die Telearbeit und von Investitionen in die Cloud ist die Angriffsfläche so groß wie nie zuvor. Und die Bösewichte müssen nur einmal Glück haben.
Zeit zum Handeln
Wie sieht also ein vorbildliches Risikomanagement für die Software-Lieferkette aus? Es läuft letztlich auf die grundlegenden Prinzipien der Cyber-Hygiene hinaus: kennen, verwalten, sichern. Unternehmen können nicht schützen, was sie nicht verwalten, und sie können nicht verwalten, was sie nicht kennen. Der erste Schritt besteht darin, einen Überblick darüber zu gewinnen, welche Systeme im Einsatz sind – mithilfe von „ “, einer umfassenden Bestandsaufnahme der Ressourcen unter (wird in einem neuen Tab geöffnet),, sowie dem Konfigurationsmanagement.
Tanium unterstützt Sie dabei, indem es diese Einblicke kontinuierlich, schnell und in großem Umfang bereitstellt, sodass Teams Fragen zu ihrer Umgebung stellen, die Inhalte von Anwendungen detailliert untersuchen und sofort Maßnahmen ergreifen können, falls etwas nicht in Ordnung ist. Diese umfassende Transparenz ermöglicht zudem eine Reaktion auf Vorfälle in Echtzeit, wie sie mit Tools wie Extended Detection and Response (XDR) schlichtweg nicht möglich ist. Wenn die Angreifer in Sekundenschnelle und innerhalb von Minuten handeln, können wir es uns nicht leisten, erst Tage später auf Vorfälle zu reagieren.
Verschaffen Sie sich mit unserer kostenlosen Risikobewertung einen umfassenden Überblick über Ihre Risikosituation. Fordern Sie noch heute Ihren Risikobericht an. (wird in einem neuen Tab geöffnet)
