Die Technical Account Manager von Tanium arbeiten eng mit unseren Kunden zusammen, um die Sicherheitslücken „Meltdown“ und „Spectre“ in Mikroprozessoren zu beheben. Im Folgenden möchten wir Ihnen einige der Maßnahmen vorstellen, mit denen wir begonnen haben, Sie in den Bereichen Transparenz, Patch-Management, Leistungsüberwachung sowie Erkennung und Reaktion zu unterstützen.
(Bild: Geralt / Pixabay)
Zwei schwerwiegende Sicherheitslücken in moderner Prozessorhardware – bekannt unter den Namen „Meltdown“ und „Spectre“ – haben dazu geführt, dass Fachleute aus den Bereichen Cybersicherheit und IT nun mit Hochdruck daran arbeiten, die Geräte besser zu schützen. Die betroffenen Mikroprozessoren kommen in nahezu jedem Computer weltweit zum Einsatz, von Desktop-Computern über Server bis hin zu in der Cloud gehosteten Infrastrukturen. Da „Meltdown“ und „Spectre“ eine komplexe Reihe von Hardware-Sicherheitslücken umfassen, lassen sie sich nicht ohne Weiteres durch eine einzige Korrektur beheben. Um diese Probleme zu beheben, ist eine mehrstufige Zusammenarbeit zwischen den IT- und Sicherheitsteams erforderlich, um die folgenden Maßnahmen durchzuführen:
- Erfassung und Bestandsaufnahme von Hardware und sonstigen Vermögenswerten;
- Kompatibilitätsprüfung;
- Installieren Sie Patches auf der betroffenen Hardware, den betroffenen Betriebssystemen und Anwendungen; und
- Überwachen Sie die Systemleistung.
Die Technical Account Manager (TAMs) von Tanium arbeiten mit unseren Kunden zusammen, um die Tanium-Plattform zur Bewältigung dieser Herausforderungen einzusetzen. Hier finden Sie einen Überblick über einige der Maßnahmen, mit denen wir begonnen haben, Sie in den Bereichen Transparenz , Patch-Management, Leistungsüberwachung sowie Erkennung und Reaktion auf Bedrohungen zu unterstützen.
Visibilität
Unternehmen müssen eine vollständige Liste aller Systeme erstellen, deren Hardware von diesen Sicherheitslücken betroffen ist. Spectre betrifft Intel-, AMD- und ARM-Prozessoren, während Meltdown ausschließlich Intel-Prozessoren betrifft. Die Kernfunktionen von Tanium ermöglichen es, umfassende Hardware-Informationen – darunter Angaben zum CPU-Hersteller und zum Prozessor – durch einfache Abfragen wie „CPU-Details abrufen“ zu erfassen. Dies kann dabei helfen, Systeme zu identifizieren, auf denen Intel-Hardware läuft, die besonders anfällig für Meltdown ist.
Tanium Asset baut auf diesen Informationen auf, indem es Dutzende von Endpunktattributen – darunter Hardware, Betriebssystem, Software, Patches und Benutzerdaten – zusammenführt und konsolidiert, um präzise und vollständige Bestandsberichte zu erstellen.
Der Bedarf an diesen Daten geht weit über einfache CPU-Angaben hinaus; viele Anwendungen von Drittanbietern, wie beispielsweise Webbrowser, sind von Spectre betroffen und erfordern künftige Updates. Angesichts des Ausmaßes des Problems müssen Unternehmen über Monate hinweg zuverlässig den Überblick und die Kontrolle über die in ihren Umgebungen installierten Versionen anfälliger Software aufrechterhalten.
Patching
Um das „Meltdown“-Problem zu beheben, müssen Unternehmen eine Kombination aus Betriebssystem- und Hardware-Patches, die von den OEM-Anbietern bereitgestellt werden, koordinieren. Auf der Meltdown- und Spectre-Website finden Sie eine Liste mit Links zu den neuesten Mitteilungen und Updates der Hersteller. Wie bei jedem Patch-Vorgang kann es jedoch eine Herausforderung darstellen, die Updates schnell und in großem Umfang bereitzustellen, die Installation zu überprüfen und Korrekturmaßnahmen zu ergreifen, sollten unerwartete Ergebnisse auftreten.
Die Tanium-Architektur wurde so konzipiert, dass ein einzelner Tanium-Server Patches und zugehörige Dateien effizient verteilen und installieren kann, selbst auf Hunderttausenden von Systemen. Tanium Patch baut darauf auf und bietet leistungsstarke Funktionen für das Patch-Management und die Bereitstellung unter Windows , darunter Zeitplanung, Sperrlisten und benutzerdefinierte Arbeitsabläufe. Zusätzliche Tanium-Funktionen ermöglichen die Bereitstellung von Patches und anderen anpassbaren Paketen auf Linux-, OS X-, Solaris- und AIX-Plattformen. Im vergangenen Jahr haben die Technical Account Manager von Tanium gemeinsam mit Kunden auf der Grundlage früherer Vorfälle (wie beispielsweise WannaCry) daran gearbeitet, die Geschwindigkeit und Effektivität ihrer Patch-Programme zu verbessern.
Diese Herausforderungen werden noch dadurch erschwert, dass Microsoft darauf hingewiesen hat, dass bei einigen Antivirenprogrammen Kompatibilitätsprobleme mit den Windows-Patches auftreten können, was zu Bluescreens und anderen Fehlern führen kann. Um das Risiko zu verringern, dass ein automatisches Update Systeme unbrauchbar macht, hat Microsoft vorgeschrieben, dass die Antivirensoftware (d. h. im Rahmen eines Kompatibilitätsupdates bzw. eines Hotfixes) einen bestimmten Registrierungswert festlegen muss, um zu bestätigen, dass sie mit dem Patch kompatibel ist.
Tanium-Kunden können mithilfe eines Sensors wie „Registry Key Value Exists“ innerhalb von Sekunden feststellen, auf welchen Systemen dieser Wert gesetzt ist und auf welchen nicht. In Verbindung mit Abfragen und Sensoren, die Informationen zu den installierten Anwendungen liefern, kann ein Unternehmen den Status von Antiviren-Updates verfolgen und überprüfen, ob die erforderlichen Änderungen an der Registrierungsdatenbank vorgenommen wurden.
Leistungsüberwachung
Die durch diese Patches umgesetzten Abhilfemaßnahmen können sich bei bestimmten Arbeitslasten negativ auf die Prozessorleistung auswirken. Der genaue Umfang des Overheads scheint je nach Art der verwendeten Software und Hardware erheblich zu variieren. Diese Unsicherheit wird Organisationen vor Herausforderungen stellen, die leistungskritische Systeme betreiben, virtuelle Maschinen auf überbelegter Hardware einsetzen oder Cloud-basierte Umgebungen präzise budgetieren müssen.
Tanium bietet die Möglichkeit, detaillierte Leistungskennzahlen zu ermitteln, darunter die CPU-Auslastung pro Prozess und die Anwendungsnutzung, und zwar auf Windows-, Linux-, OS X- und Unix-Systemen. Anhand von Trends in diesen Daten können Unternehmen die Leistung (sowie alle anderen Endpunkt-Datensätze oder Kennzahlen) im Zeitverlauf auf einfache Weise visualisieren und verfolgen. Wenn Sie dies vor der Installation der Patches tun, können Sie die aktuelle Ressourcenauslastung in jeder Gruppe betroffener Systeme als Ausgangsbasis ermitteln. Nach der Installation der Patches kann dies dazu beitragen, das Ausmaß der Veränderungen im Prozessorverhalten zu überprüfen und Systeme schnell zu identifizieren, die ein nachteiliges Leistungsverhalten aufweisen oder Anpassungen erfordern.
Erkennung und Reaktion
Nach Angaben von Forschern lassen sich die Techniken, die sich die Spectre- und Meltdown-Sicherheitslücken zunutze machen, nur schwer vom normalen Anwendungsverhalten unterscheiden. Unternehmen sollten nicht davon ausgehen, dass ihre EDR- oder Anti-Malware-Tools diese Art von Angriffen erkennen. Um diese Schwachstellen jedoch ausnutzen zu können, muss sich ein Angreifer zunächst die Möglichkeit verschaffen, schädlichen Code auf einem betroffenen Endgerät auszuführen. Aufgrund dieser Voraussetzung haben Teams die Möglichkeit, Angriffe abzuwehren, bevor diese unter Ausnutzung von Spectre oder Meltdown Payloads nach einer Kompromittierung auslösen. Unternehmen sollten sich weiterhin darauf konzentrieren, die Taktiken des „kleinsten gemeinsamen Nenners“ zu beseitigen, die es Angreifern ermöglichen, sich einen ersten Zugang zu verschaffen, Brückenköpfe zu etablieren und sich innerhalb der angegriffenen Umgebung zu bewegen.
Tanium Threat Response bietet eine umfassende Lösung zur Erkennung und Untersuchung böswilliger Aktivitäten – einschließlich der Phasen der Angreifertechniken, die gemäß dem MITRE ATT&CK-Framework kategorisiert sind. Das Endpoint Detection and Response (EDR)-Team von Tanium stellt den Kunden einen regelmäßig aktualisierten Feed mit Signalen für Echtzeit-Warnmeldungen sowie „Enterprise Hunting“-Workflows zur Verfügung, um bei der Erkennung von Anomalien zu helfen. Threat Response bietet zudem umfassende Unterstützung für IOC-Feeds und Reputationsanbieter von Drittanbietern.
Die bemerkenswerte Forschungsarbeit, die der Entdeckung von „Meltdown“ und „Spectre“ zugrunde liegt, sowie die schiere Anzahl der betroffenen Geräte rechtfertigen ihren Status als „wegweisende“ Sicherheitslücken mehr als ausreichend. Dennoch sind die Grundlagen der Sicherheitsmaßnahmen, die zur Reaktion auf Risiken und zu deren Eindämmung erforderlich sind – von der Identifizierung betroffener Ressourcen über die Einleitung von Korrekturmaßnahmen bis hin zur Überwachung der Ergebnisse –, nach wie vor bekannt. Oben haben wir verschiedene Methoden und Komponenten der Tanium-Plattform beschrieben, die unseren Kunden bereits dabei helfen, auf die plötzliche Bekanntgabe zu reagieren. Im weiteren Verlauf dieser Geschichte werden wir unsere Arbeit fortsetzen und Sie entsprechend auf dem Laufenden halten.
Nehmen Sie an der Diskussion in der Tanium-Community teil, um mehr darüber zu erfahren, wie wir Ihnen beim Schutz vor Meltdown und Spectre helfen können.
Möchten Sie Tanium in Aktion erleben? Vereinbaren Sie unter eine individuelle Vorführung oder nehmen Sie an unserem wöchentlichen Webinar teil. Sprechen Sie mit unseren Tanium-Experten bei unseren bevorstehenden Veranstaltungen im Rahmen der „ “ unter.
