Sicherheitsverletzungen sind unvermeidlich, wenn Ihr Unternehmen Endgeräte besitzt, die mit dem öffentlichen Internet verbunden sind. Leiter der Informationssicherheit (CISOs) setzen zunehmend auf Lösungen und Strategien, die die durchschnittliche Zeit bis zur Erkennung (Mean Time to Detect, MTTD) und die durchschnittliche Zeit bis zur Behebung (Mean Time to Repair, MTTR) verkürzen. Teams für die Reaktion auf Sicherheitsvorfälle und für die IT-Forensik erkennen heute die Notwendigkeit einer effektiveren Zusammenarbeit, um sicherzustellen, dass Endgeräte vor Ort und an entfernten Standorten ordnungsgemäß konfiguriert, kontrolliert und gesichert sind.
Eine neue Studie der Analystin Alissa Knight mit dem Titel „Isolated Castles: Incident Response in the New Work-From-Home Economy“ empfiehlt nachdrücklich, dass CISOs sich darauf konzentrieren müssen, die am besten integrierten Endpunktmanagement-Lösungen und Sicherheitsplattformen zu finden, mit denen Asset- und Patch-Management, die Suche nach Artefakten, die Isolierung von Assets sowie die forensische Datenerfassung zügig und in großem Maßstab umgesetzt werden können.
Auswirkungen der Pandemie
Im vergangenen Jahr, als die Welt aufgrund der Pandemie gezwungen war, zu Hause zu bleiben, entdeckten Cyberkriminelle rasch neue Sicherheitslücken, die sie ausnutzen konnten. Vielen Mitarbeitern im Homeoffice fehlten von Anfang an sowohl die erforderlichen Lizenzen als auch die Bandbreite für den Betrieb von VPNs, sodass ihnen nichts anderes übrig blieb, als auf RDP-Server (Remote Desktop Protocol) zurückzugreifen. Zu den weiteren Sicherheitsproblemen im Zusammenhang mit der Arbeit im Homeoffice (WFH) gehören:
- Standard-Administratorpasswörter bei Heimroutern und WLAN-Zugangspunkten
- Fehlende Netzwerk-Einbruchserkennung (IDS)
- Fehlen einer Webfilterung zur Überprüfung auf Drive-by-Downloads
- Fehlen von „ “-EDR- -Agenten (Endpoint Detection and Response)
- Weit verbreitete Nutzung unsicherer privater Laptops
Reaktion auf Sicherheitsvorfälle in einer Welt, in der von zu Hause aus gearbeitet wird
Für forensische Teams sind hochwertige Daten in Echtzeit von entscheidender Bedeutung. Wie übertragen Sie nach einem Vorfall Daten von einer 1TB -Festplatte im Homeoffice eines Remote-Benutzers auf ein Cloud-Speicherlaufwerk? Das Hochladen des Bildes aus der Ferne über eine DSL- oder Kabelverbindung würde zu lange dauern.
Eine Möglichkeit besteht darin, den Laptop auszuschalten und ihn an einen Forensiker zu schicken. Dies kann jedoch zu weiteren Problemen führen, darunter:
- Verlust potenziell wichtiger forensischer Daten, die sich nach dem Ausschalten im flüchtigen Speicher befinden
- Es fehlte an Erkenntnissen darüber, ob auch das Heimnetzwerk kompromittiert worden war
- Der Heimarbeiter wäre gezwungen, auf ein möglicherweise unsicheres privates Gerät zurückzugreifen oder auf einen Ersatz zu warten, was sich negativ auf die Produktivität auswirkt
Vorfälle im Zusammenhang mit Cloud-Workloads und Laufwerken können laut Knight Ink zu zusätzlichen Komplikationen führen. Aufgrund der Richtlinien einiger kleinerer Cloud-Dienstleister (CSPs) und ihrer mandantenfähigen Umgebungen ist es möglich, dass Forensik-Teams gar keinen Zugriff auf Protokolle, Warnmeldungen und andere wichtige Daten erhalten. Je nach Art des verwendeten Cloud-Servers kann ein CSP dem forensischen Team zudem untersagen, die zu analysierenden Laufwerke zu beschlagnahmen.
Zwei Tipps für eine bessere Reaktion auf Vorfälle
Um die Reaktion auf Vorfälle in der heutigen Arbeitswelt mit Homeoffice und Cloud-First-Ansatz zu verbessern , sollten CISOs laut Knight Ink zwei wesentliche Maßnahmen ergreifen:
- Vergewissern Sie sich, dass Sie wissen, wie viele Daten Ihr CSP Ihnen im Falle eines schwerwiegenden Sicherheitsvorfalls zur Verfügung stellt. Achten Sie außerdem darauf, alle Einzelheiten des entsprechenden Verfahrens genau zu verstehen. (Diese Vorgehensweisen sollten auch bei der Bewertung und Auswahl eines CSP berücksichtigt werden.)
- Bei der Auswahl einer Plattform für Endpunktmanagement und -sicherheit sollten Sie einer Lösung den Vorzug geben, die die folgenden Funktionen bietet:
- im Bereich Vermögensverwaltung: Was man nicht sieht, kann man nicht schützen. Asset-Funktionen lassen sich zudem mit dem Patch-Management kombinieren, um Ihre Endpunkt-Risiken weiter zu reduzieren.
- zur Suche nach Artefakten: Sie benötigen die Möglichkeit, Ressourcen – sei es vor Ort, bei Mitarbeitern zu Hause oder in der Cloud – nach bösartigen Artefakten zu durchsuchen. Dies ist entscheidend, um festzustellen, wie weit sich die laterale Ausbreitung eines Angriffs bereits erstreckt hat.
- zur forensischen Datenerfassung: Dazu sollten Protokolle aus Syslog auf *nix-basierten Systemen, dem Windows-Ereignisprotokoll sowie von Netzwerkgeräten wie Routern und Switches gehören.
- zur Isolierung von IT-Ressourcen: Sobald eine IT-Ressource kompromittiert wurde, muss sie entweder isoliert oder mikrosegmentiert werden, um eine weitere laterale Ausbreitung zu verhindern. Zusammenfassend lässt sich sagen: Wenn Sie Unternehmensressourcen haben, die mit dem Internet verbunden sind, werden Sie Opfer eines Hackerangriffs. Jedes Unternehmen muss in der heutigen Zeit, in der von überall aus gearbeitet wird, über einen festgelegten Plan zur Reaktion auf Vorfälle sowie eine Reihe von Leitfäden verfügen, um auf alle möglichen zukünftigen Ereignisse vorbereitet zu sein. Letztendlich kommt es auf den Schutz der Endgeräte an, und es ist an der Zeit, besser auf Unvorhergesehenes vorbereitet zu sein, denn Unvorhergesehenes kann jederzeit eintreten.
Tanium bietet die Module „ “, „Asset Discovery“ und „Inventory“ (wird in einem neuen Tab geöffnet), sowie „Patch Management“ (wird in einem neuen Tab geöffnet) und „ “ sowie „Incident Response“ (wird in einem neuen Tab geöffnet) an, die all diese Anforderungen erfüllen. Die einheitliche Plattform von Tanium ermöglicht es Ihnen, sowohl schnell auf Vorfälle zu reagieren als auch umfassende forensische Untersuchungen zügig und in großem Umfang durchzuführen – ganz gleich, wo sich Ihre Ressourcen befinden.
