Nur wenige Wochen nach der Veröffentlichung der weltweit ersten Webseite versammelten sich im Herbst des Jahres 1991 50 Kryptografie-Experten in einem kleinen Tagungsraum eines kalifornischen Hotels zur ersten RSA-Konferenz (RSAC). Mehr als drei Jahrzehnte später hat das Internet die Gesellschaft grundlegend verändert, und die RSAC ist der zentrale Treffpunkt für all jene, die sich für die Sicherheit der stetig wachsenden digitalen Welt einsetzen.
Die mittlerweile deutlich größere RSAC ist der Schauplatz für einige der bedeutendsten Ankündigungen im Bereich Cybersicherheit seitens Regierungen und führender Sicherheitsverantwortlicher aus der Wirtschaft. Es ist zudem ein wichtiges Diskussionsforum für Experten, die bestrebt sind, Angreifern immer einen Schritt voraus zu sein.
Die „ 45 000-person “-Konferenz, die am 6-9. Mai stattfindet, ist so groß, dass sie eine eigene Anziehungskraft ausübt und zahlreiche Nebenveranstaltungen in der Nähe ihres Veranstaltungsortes, dem Moscone Center in San Francisco, anzieht. An einer dieser Veranstaltungen wird Melissa Bischoping, Leiterin der Endpoint-Sicherheitsforschung bei Tanium, teilnehmen. Sie wird über die Probleme sprechen, mit denen Unternehmen bei der Bewältigung einer zunehmenden Flut von Cybersicherheitslücken konfrontiert sind, und darüber, wie sie dieser Herausforderung begegnen können.
Die Anzahl der Sicherheitslücken ist enorm gestiegen. Laut der National Vulnerability Database des „ “ der US-Bundesregierung () wurden im Jahr 2023 weltweit etwa 29 000 „Common Vulnerabilities and Exposures“ (CVEs) dokumentiert, verglichen mit lediglich 15 im Jahr 1991. Dies führt zu einem komplexen – und schlichtweg verwirrenden – Cyberumfeld, mit dem sich Führungskräfte in Unternehmen auseinandersetzen müssen.
Der Schlüssel zu einem effektiven Schwachstellenmanagement im Bereich „ “ liegt laut Bischoping darin, sowohl die Herausforderungen als auch die unerwarteten Chancen zu erkennen, die diese Landschaft mit sich bringt. Neue technologische Fortschritte und die groß angelegte Automatisierung von „ “ helfen Ihnen dabei, „den Überblick zu behalten“, indem sie die Schwachstellen priorisieren, die die größte Bedrohung für Ihr Unternehmen darstellen, und Strategien zu entwickeln, die Sie sofort umsetzen können, um dieses Risiko zu verringern. (Ihr Vortrag mit dem Titel „Actionable Insight for Vulnerability and Risk Management with Tanium Guardian“ findet im Stinson Room im Four Seasons SF am 6. Mai um 12 Uhr (PT) und am 8. Mai um 16:15 (PT) statt.)
, Redakteurin bei „Focal Point“, sprach mit Frau Bischoping, um ihre Einschätzung zum Boom bei CVEs, zu den häufigsten Fehlern von Unternehmen und dazu zu erfahren, wie bewährte Verfahren aussehen sollten.
(Das folgende Interview wurde aus Gründen der Übersichtlichkeit und der Länge redaktionell bearbeitet.)
Die Zahl der Sicherheitslücken ist in den letzten zwei Jahrzehnten sprunghaft angestiegen. Warum?
Der erste Grund ist der verstärkte Einsatz von Technologie. Vor zwanzig Jahren hatte noch nicht jeder ein Mobiltelefon in der Hosentasche, einen Laptop in der Tasche und einen Server, mit dem er sich im Büro verbinden konnte. Heutzutage ist Technologie allgegenwärtig.
“„Wir sind an einem Punkt angelangt, an dem die Menschen nicht mehr jede einzelne Codezeile verstehen und nicht mehr beurteilen können, ob sie sicher ist oder nicht.“
Der zweite Grund ist, dass immer mehr Menschen nach Sicherheitslücken suchen. Bug-Bounty- en und Prämienprogramme haben die „Guten“ dazu motiviert, die Fehler zu finden, bevor es die „Bösen“ tun.
Schließlich wird Software immer komplexer und weist immer mehr Ebenen von Abhängigkeiten auf. Wir sind an einem Punkt angelangt, an dem die Menschen nicht mehr jede einzelne Codezeile verstehen können und nicht mehr beurteilen können, ob diese sicher ist oder nicht.
Welche Probleme hat dies für Unternehmen mit sich gebracht, die all dies nachverfolgen müssen?
Jeder versucht, mit weniger mehr zu erreichen. Sie haben keinen Platz für weitere Mitarbeiter und können ihr Budget nicht aufstocken. Unterdessen überschütten Warnsysteme und Feeds mit Bedrohungsinformationen Cybersicherheitsanalysten mit immer mehr Daten zu Sicherheitslücken. Sie erhalten Berichte, in denen Tausende von Sicherheitslücken in ihrer Umgebung aufgeführt sind, jeweils mit einer Schweregradbewertung.
Wie legen kleine Teams Prioritäten fest, welche Maßnahmen sie ergreifen sollen, wenn sich die Sicherheitslücken häufen? Zu Beginn meiner beruflichen Laufbahn ging ich davon aus, dass man die schwerwiegendsten Fehler einfach nacheinander beheben könne. So funktioniert das nicht. Es ist nicht möglich, menschliche Teams so zu vergrößern, dass sie die steigende Flut an Schwachstellendaten bewältigen können.
Welche gängigen Ansätze zum Umgang mit Sicherheitslücken beobachten Sie in Unternehmen, und inwiefern sind diese unzureichend?
Der häufigste Fehler besteht darin, sich blind auf den CVSS-Wert (Common Vulnerability Scoring System) zu konzentrieren, der den Schweregrad des Fehlers angibt. In den Schlagzeilen stehen hohe Werte im Mittelpunkt, da diese am beängstigendsten wirken. In der Realität bereitet mir ein CVSS-Wert von 10 auf dem Laptop eines Benutzers, der in dessen Homeoffice steht, wahrscheinlich weniger Sorge als ein Wert von 7 auf meinem öffentlich zugänglichen E-Mail-Server, doch der Wert allein lässt dies nicht erkennen. Es gibt niedrigere CVSS-Werte, bei denen es täglich zu Sicherheitsverletzungen kommt.
“Jeder versucht, mit weniger mehr zu erreichen…. Unterdessen überschütten Warnsysteme und Feeds mit Bedrohungsinformationen Cybersicherheitsanalysten mit immer mehr Daten zu Sicherheitslücken.”
Ein weiterer Fehler besteht darin, die Behebung von Sicherheitslücken in der Netzwerkinfrastruktur aufzuschieben. Da Endpunkt-Agenten üblicherweise nicht auf Routern und Firewalls installiert werden, ist die Transparenz geringer. Das Netzwerk ist zudem geschäftskritisch, und diese geringe Toleranz gegenüber Ausfallzeiten macht Aktualisierungen riskanter. Die Software von Netzwerkgeräten ist oft schon seit Jahren veraltet und weist äußerst gefährliche Sicherheitslücken auf, die von staatlich gestützten Akteuren und Ransomware-Betreibern ausgenutzt werden.
Welche bewährten Verfahren sollten beim Schwachstellenmanagement angewendet werden?
Der erste Schritt besteht darin, zu ermitteln, welche Sicherheitslücken für Ihre Infrastruktur relevant sind. Dies bedeutet, der Transparenz durch den Einsatz einer umfassenden Bestandsaufnahme der Hardware- und Software-Ressourcen sowie durch die Erfassung aussagekräftiger Telemetriedaten Vorrang einzuräumen.
„“Wenn Sie die Schwachstelle nicht in den Griff bekommen, müssen Sie das Risiko in Kauf nehmen.“
Sobald Sie wissen, welche Ressourcen anfällig sind, benötigen Sie eine Strategie für das Schwachstellenmanagement, die über einfache Kritikalitätsbewertungen hinausgeht und Faktoren wie die Ausnutzungswahrscheinlichkeit berücksichtigt.
Es gibt Hilfsmittel, die Ihnen dabei helfen. Ich bin ein großer Fan des „ Exploit Prediction Scoring System“ (), das die Wahrscheinlichkeit abschätzt, mit der eine Sicherheitslücke in der Praxis ausgenutzt wird. Der „ Known Exploited Vulnerabilities Catalog“ () der CISA, in dem aktiv ausgenutzte Sicherheitslücken aufgeführt sind, ist ein weiteres nützliches Hilfsmittel, auch wenn es häufig zu einer zeitlichen Verzögerung zwischen dem ersten Exploit und der Veröffentlichung einer Sicherheitslücke in dieser Liste kommt.
Sie müssen auch die tatsächlichen Auswirkungen einer Sicherheitslücke berücksichtigen. Fragen Sie sich, ob Sie die Schwachstellen ins Visier nehmen, die potenziell den größten Schaden in Ihrer Umgebung anrichten könnten, indem sie Angreifern Zugriff auf Ihre „ “ – Ihre wertvollsten Ressourcen – gewähren:.
[Lesen Sie auch: RaaS-Kurs – Ein Leitfaden zur Abwehr von Ransomware-as-a-Service-Angriffen]
Sprechen Sie mit den Verantwortlichen der Geschäftsbereiche, um Faktoren zu ermitteln, wie beispielsweise die Kosten, die durch die Ausnutzung einer Sicherheitslücke in einem bestimmten System entstehen würden, und die Zeit, die der Betrieb benötigen würde, um sich davon zu erholen. So leiten Sie den Risikomanagementprozess ein. Wenn Sie die Sicherheitslücke nicht in den Griff bekommen, müssen Sie das Risiko in Kauf nehmen.
Wie kann Technologie dabei helfen?
Sie benötigen Tools, die Ihnen dabei helfen, die Tausenden von Schwachstellen, die jede Woche bekannt gegeben werden, zu sichten und zu erkennen, worauf Sie Ihre Energie konzentrieren sollten. Ihre Tools sollten die Schwachstellen für Sie vorab erfassen und Ihnen automatisch mitteilen, wo die Auswirkungen liegen. Das bedeutet, dass eine Kombination aus Exploit-Prognosen, CVSS-Werten und Schweregrad algorithmisch gewichtet wird, um Schwachstellen zu ermitteln, die die größten Auswirkungen auf Ihre Umgebung haben. Ihr Toolset sollte in der Lage sein, diese Informationen mit Bedrohungsdaten zu verknüpfen, um diese Exploits in einen breiteren Kontext zu stellen.
Die Technologie sollte zudem Empfehlungen zur Umsetzung der Änderungen geben und vorab Playbooks erstellen, um einige manuelle Schritte zu vermeiden. Dadurch hat Ihr Team Zeit, mit dem Geschäftsinhaber zu besprechen, was als Nächstes geschehen wird.
Technologie ist nicht alles. Es ist zudem von Vorteil, wenn Sie die Tools durch Partnerschaften mit menschlicher Intelligenz ergänzen, die Ihnen verlässliche menschliche Einblicke in das Risiko- und Schwachstellenmanagement bieten. Dies kann Ihnen dabei helfen, sich in einer äußerst komplexen Flut von Daten und Informationen zurechtzufinden, die nur noch weiter ansteigen wird.
Sehen Sie sich weitere exklusive Interviews mit Teilnehmern an, die auf der RSA Conference 2024 und im Rahmen der Veranstaltung Vorträge halten: Anwendung früherer Erkenntnisse zur intelligenten Erkennung von Identitätsbedrohungen
