Wenn etwas nicht funktioniert, lohnt es sich, einen Schritt zurückzutreten und Ihre Situation aus einer neuen Perspektive zu betrachten. Das ist der einfache, aber aussagekräftige Punkt, den der Cybersicherheits-Experte Andy Ellis auf der RSA Conference 2022 darlegen wird.
Ellis war im Bereich Informationssicherheit bei so unterschiedlichen Organisationen wie der US-Luftwaffe tätig, hat Akamai Technologies zu einem Internetgiganten ausgebaut und ist derzeit operativer Partner bei YL Ventures, einem Unternehmen, das Start-ups im Bereich Cybersicherheit finanziert und unterstützt, sowie Mitglied der CSO Hall of Fame.
Insofern ist er ein Meister der Gesamtbetrachtung. Er wird dieses Fachwissen in einer Podiumsdiskussion auf der RSA 2022 mit dem Titel „: Die vier Dimensionen des Aufbaus eines Sicherheitsprogramms“ einbringen, um CISOs und andere Führungskräfte im Sicherheitsbereich dazu anzuregen, den Fokus nicht mehr auf die jeweils gerade im Trend liegenden neuen Technologien zu legen, sondern sich stattdessen intensiv mit den Grundlagen einer guten Cyberhygiene auseinanderzusetzen.
Ellis gewährte „ “ Endpoint einen kleinen Einblick in die Themen, die er in seiner Podiumsdiskussion behandeln wird (Mittwoch, von „ 8. Juni“ Uhr bis „ 8:30 “ Uhr, 09:20 PT, im Moscone Center in San Francisco).
Lassen Sie uns also gleich mit dem Titel dieses Panels beginnen. Warum vier Dimensionen?
Welche vier?
Auf jeden Fall. Doch lassen Sie uns einen Schritt zurücktreten. Allzu oft gehen wir das Thema Sicherheit anhand von Checklisten an. Die ISO [Internationale Organisation für Normung] stellt Sicherheitsexperten eine Liste mit 900 Maßnahmen zur Verfügung, die wir umsetzen sollten. Letztendlich wählen wir einfach Punkte von der Liste aus und konzentrieren uns dann darauf, diese zu erledigen.
„. Das sind die einzigen beiden Kennzahlen, die für Sie von Bedeutung sind: Was Sie besitzen und wie schwer es ist, dies herauszufinden.“
Dieser Vortrag fordert uns auf, einen Schritt zurückzutreten und über einige Dinge nachzudenken. Die erste Frage lautet: Wissen Sie überhaupt, was in Ihrer IT-Umgebung gesichert werden muss? Jeder antwortet stets: „Selbstverständlich schützen wir zuerst unsere wichtigsten Vermögenswerte.“ Die Realität sieht jedoch so aus, dass Ihr risikoreichster Vermögenswert selten Ihr wichtigster Vermögenswert ist. Der risikoreichste Vermögenswert ist derjenige, der sich direkt neben Ihrem wichtigsten Vermögenswert befindet – und Zugang zu diesem hat.
Doch niemand schenkt diesem Vermögenswert Beachtung. Niemand weiß überhaupt, dass es das gibt. Aus diesem Grund ist es unerlässlich, sich zunächst Gedanken über die Sichtbarkeit und die Erfassung Ihrer Assets zu machen – und dabei geht es nicht nur darum, wie viele und welche Arten von Assets Sie besitzen, sondern auch um den Prozess, mit dem Sie Ihren Asset-Bestand erfassen. Und Sie werden lernen müssen, das zu akzeptieren, was Sie über Ihr Vermögen nicht wissen. Wissen Sie, wie viele „ “-Cloud-Ressourcen Sie besitzen? Bitte suchen Sie diese Nummer heraus. Beachten Sie bitte, wie schwierig es ist, diese Zahl zu ermitteln. Das sind die einzigen beiden Kennzahlen, die für Sie von Bedeutung sind: Was Sie besitzen und wie schwierig es ist, dies herauszufinden.
Dennoch können Sie in 15 Minuten eine weitere Bestandsaufnahme durchführen, und das Ergebnis wird ein anderer Wert sein.
Aber das ist in Ordnung; die tatsächliche Zahl spielt keine Rolle. Entscheidend ist, wie schwierig es ist, diese Zahl zu erreichen. Denn wenn sich die Anzahl der Cloud-Instanzen alle 15 Minuten ändert, Sie aber sechs Wochen benötigen, um diese Zahl zu ermitteln, dann kennen Sie Ihre Systeme oder deren Inhalt ganz sicher nicht. Denn wenn das zutrifft, können Sie nicht einmal regelmäßig einen groben Überblick über Ihr Vermögen gewinnen.
Sobald Sie über eine Methode verfügen, um die Anzahl Ihrer Anlagen zu ermitteln, sollten Sie in der Lage sein, die Systeme nach ihrem Risiko zu priorisieren. Wissen Sie, welche Systeme Ihre Kronjuwelen sind? Welche davon haben Zugang zu Ihren Kronjuwelen? Auf diesen Aspekt werden wir gleich noch einmal zurückkommen. Ich beschreibe dies anhand von Dimensionen. Wir haben uns bisher mit der ersten Dimension befasst, nämlich dem Umfang der Sicherheitsabdeckung.
Das ist durchaus sinnvoll: Legen Sie zunächst fest, was Sie verwalten und schützen müssen, und beziffern Sie Ihre Angriffsfläche. Was ist die nächste Dimension?
Die zweite Dimension ist die Vollständigkeit Ihrer Kontrollmaßnahmen. Ich verstehe unter der zweiten Dimension die Höhe und das, was die meisten Menschen früher als Tiefe bezeichnet haben.
„Die Maginot-Linie funktioniert nicht, wenn sich der Gegner schnell bewegt. Und in der Cyberwelt agieren die Angreifer unendlich schnell.”
Ich bin der Ansicht, dass die Art und Weise, wie die meisten Menschen den Begriff „mehrstufige Verteidigung“ verwenden, äußerst bedenklich ist. Ich habe den Vortrag tatsächlich damit eingeleitet, dass ich über die Maginot-Linie sprach, jene Verteidigungsanlagen, die die Franzosen im Jahr 1930s entlang der deutschen Grenze errichteten, als klassisches Beispiel für eine mehrstufige Verteidigung. Doch die Maginot-Linie versagt, wenn der Gegner schnell vorrückt. Und in der Cyberwelt agieren die Angreifer unendlich schnell.
Dimension zwei untersucht, wie gut sich Ihre Steuerelemente aneinanderreihen lassen. Betrachten wir einmal die Multifaktor-Authentifizierung [MFA]. Oft wird gesagt, man habe zwei Faktoren, und man hält zwei Faktoren für doppelt so gut. Nun, wenn diese beiden Schritte die Eingabe eines Passworts unter erfordern und das System anschließend eine SMS versendet, deren Nummer Sie in ein Feld eingeben müssen – gibt es zahlreiche Möglichkeiten, wie dies ausgenutzt werden kann. Zunächst verschafft sich der Angreifer das Passwort und schafft anschließend durch Social Engineering die Voraussetzungen für einen Angriff auf die SMS. Das ist schon oft vorgekommen.
Wir sind stets anfällig für Angriffe wie Man-in-the-Middle-Angriffe und Social Engineering. Ist diese Form des MFA also vielleicht 25 % besser?
Es mag zwar 25 % besser sein, doch der Gegner hat alle Zeit der Welt. Wenn ich hingegen über eine auf FIDO [Fast Identity Online] basierende MFA mit und ein X.509 -Zertifikat verfüge, das diese auslöst, ist es für einen Angreifer wesentlich schwieriger, diese Sicherheitsmaßnahmen voneinander zu trennen und anzugreifen. Diese Effekte addieren sich also, und vielleicht sind sie tatsächlich um 100 % besser.
[Lesen Sie auch: 5 Diagramme, die die Transparenzkrise in der IT-Branche verdeutlichen]
Vor diesem Hintergrund sollten Sie damit beginnen, alle Steuerungsbereiche Ihres Systems gründlich zu durchdenken. Wissen Sie, was auf dem System gespeichert ist? Wissen Sie aus Sicht des Schwachstellenmanagements, wie gut das System gewartet wird? Wissen Sie, wie gut das System konfiguriert ist? Schützen Sie Ihre Identitäten im System? Schränken Sie die Anzahl der Personen ein, die Zugriff auf das System haben? Vieles davon sind einfach nur Grundlagen. Wenn Sie jedoch nicht wissen, dass diese Vollständigkeit bei Ihnen gegeben ist, haben Sie ein Problem.
Außerdem gehe ich kurz auf die Herausforderungen bei der Messung ein. Nehmen wir als Beispiel das Schwachstellenmanagement von „ “. Letztendlich möchten Sie etwas wie ein SLA ( ) [Service Level Agreement] messen, das die Effektivität Ihres Prozesses bewertet, und nicht etwa eine Kennzahl, die lediglich aufzeigt, wie ausgelastet Sie im Rahmen dieses Prozesses sind. Ich glaube, wir gehen bei den Kennzahlen zum Schwachstellenmanagement völlig falsch vor.
Empfehlen Sie, von Kennzahlen wie der „Mean Time“ – also der durchschnittlichen Zeit, die zur Behebung kritischer Schwachstellen benötigt wird – und anderen gängigen Leistungskennzahlen [KPIs] Abstand zu nehmen?
Nun, ich verwende gerne einen SLA. „Meantime“ ist ein taktisches Spiel. Und der Median gibt im Grunde genommen an: Wie hoch wäre mein Median, wenn ich diesen Wert in 50 % der Fälle erreichen würde? Das könnte zwar nützlich sein, doch Sie sollten sich vielmehr für ein SLA entscheiden und messen, zu wie viel Prozent Sie die darin festgelegten Werte unterschreiten.
Wenn Sie die Durchschnittszeit verwenden und ein Problem haben, das Sie nie patch beheben, verlängert sich die Durchschnittszeit dadurch weiter. Oder es könnte sich, je nachdem, wie man es berechnet, möglicherweise gar nicht auf die mittlere Zeit auswirken. Es handelt sich um die am häufigsten verwendete metrische Einheit. Und es ist eine schreckliche Sache, weil sie seltsame externe Effekte hervorruft. Wenn Sie sowohl behobene als auch nicht behobene Sicherheitslücken haben, messen Sie diese unterschiedlich? Nun haben Sie zwei verschiedene Kennzahlen für diese Elemente, und irgendwann können Sie das System ausnutzen, indem Sie sich weigern, sie von einer Spalte in die andere zu verschieben.
Das ist faszinierend. Was ist also die dritte Dimension beim Aufbau eines Sicherheitsprogramms?
Bei der dritten Dimension geht es um Tiefe – darum, die Angriffsstrategie des Gegners zu verstehen. Und das können Sie tun, indem Sie Geschichten darüber erzählen, wie Ihre Abwehrmechanismen diese verhindern.
Um erfolgreich zu sein, müssen Sie einige Dinge tun. Der erste Schritt besteht darin, Szenarien zu erstellen, die Angriffspfade detailliert beschreiben. Ein taktisches Szenario könnte etwa wie folgt aussehen: Einer Ihrer mit dem Internet verbundenen Rechner verfügt über anfällige Software und unsichere Schlüssel, die den Zugriff auf einen Rechner mit sensibleren Daten ermöglichen. Zack, hier ist eine Angriffsmöglichkeit – Sie sollten das Problem vielleicht schneller beheben oder sich um den unsicheren Schlüssel kümmern.
Betrachten Sie die Berichterstattung rund um die Ransomware „ “ unter. Alle geraten wegen Ransomware in Panik. Niemand unter spricht über – eine äußerst prägnante Erklärung dessen, was Ransomware ist. Ransomware ist eine Art von Schadsoftware, die zunächst einen Rechner infiziert und sich anschließend seitlich ausbreitet, wobei meist Administratorrechte oder weit verbreitete und bekannte Remote-Sicherheitslücken in gängigen Betriebssystemen ausgenutzt werden.
[Lesen Sie auch: So verhindern Sie laterale Bewegungen bei Cyberangriffen]
Das war’s; das ist die Geschichte hinter der Ransomware. Sie haben nun die gesamte Geschichte ausführlich geschildert, sodass Sie nun über Abwehrstrategien sprechen können, die diese Kette durchbrechen. Auf diese Weise können Sie den Stand Ihrer Sicherheitsvorkehrungen erneut überprüfen und sich fragen, ob Sie über Möglichkeiten verfügen, die laterale Bewegung von Administratoren zu unterbinden. Haben Sie eine dreistufige Active-Directory-Verwaltung eingeführt? Falls nicht, sollten Sie vielleicht einfach [Microsofts] „ “ Active Directory abschaffen. Das liegt daran, dass Sie nicht so brillant sind, wie Sie glauben.
Ich habe Umfragen gesehen, in denen etwa 80 % der Befragten, die Opfer einer Ransomware-Attacke geworden sind, angaben, dass die Angreifer das Active Directory ins Visier genommen hätten, mit dessen Hilfe die IT-Abteilung Benutzer, Anwendungen, Daten und Ähnliches verwaltet. Aus denselben Umfragen ging hervor, dass etwa 90 % der Unternehmen nicht in der Lage waren, Active Directory effektiv zu verwalten.
Richtig. Zehn Prozent der Unternehmen, die Active Directory einsetzen, verfügen über ausreichende Fachkenntnisse, um es sicher zu verwalten. Und diese Zahl habe ich mir einfach aus den Fingern gesogen. Ich glaube, der Wert liegt sogar noch darunter.
„Nutzen Sie beides – MFA und Anti-Phishing-Dienste. Sie haben den Akteuren hinter den meisten „Advanced Persistent Threats“ das Leben gerade erheblich erschwert.”
Heutzutage führt die Art und Weise, wie Active Directory die Domänenverwaltung standardmäßig handhabt, dazu, dass auf Edge-Computern vorübergehend Administratorzugangsdaten gespeichert werden. Dennoch ist die Malware in der Lage, diese zu lesen. Genau das leistet das [Hacker-Tool] Mimikatz . Es überprüft und ermittelt Administrator-Anmeldedaten. Wenn es eines findet, großartig – dann hat es nun Ihr gesamtes Netzwerk unter Kontrolle.
Wenn Sie Ransomware loswerden möchten, lösen Sie das Administratorproblem und richten Sie MFA auf allen Ihren Verwaltungssystemen ein. Das ist vergleichbar mit der Situation, wenn Sie das Problem des Phishing-Angriffs „ “ () lösen wollen: Es geht nicht darum, dass Sie mehr Anti-Phishing-Dienste erwerben sollten. Sie sollten nämlich eine gute MFA einführen.
Und übrigens: Nutzen Sie beides – MFA und Anti-Phishing-Dienste. Sie haben den Akteuren hinter den „Advanced Persistent Threats“ das Leben gerade erheblich erschwert. Und Sie haben Ihren Nutzern in gewisser Weise sogar das Leben erleichtert. Das ist Ihre dritte Dimension.
Und schließlich ist die vierte Dimension die Zeit. Sicherheitsmaßnahmen sind wie Unternehmen. Wenn ein Unternehmen nicht wächst, geht es zugrunde. Wenn eine Sicherheitsmaßnahme nicht ausgereift ist, verliert sie an Wirksamkeit. Wie beschreiben Sie Ihre Fortschritte? Wenn Sie die Einhaltung der SLA im Bereich Schwachstellenmanagement messen, steigt diese im Laufe der Zeit an oder nimmt sie ab? Ist hierfür die Einbindung der Geschäftsleitung erforderlich, um dies aufrechtzuerhalten, oder nicht? Verbessern Sie „
“ oder geht es dem Projekt den Garaus?
Wo liegen Ihrer Meinung nach die größten Fehler, die Unternehmen beim Aufbau eines Sicherheitsprogramms begehen? Und warum ist der Vortrag, den Sie halten, gerade jetzt von Bedeutung?
Wir kommen alle zur RSA – und was kaufen wir dort? Wir kaufen alles, was bei RSA im Angebot ist. So läuft es in der Regel ab.
Doch wir müssen einen Schritt zurücktreten und uns fragen: Was benötigen wir, um unsere Unternehmen zu schützen? Was ist der richtige nächste Schritt? Und bauen Sie dies dann ausgehend von den Grundprinzipien auf. Ich möchte damit nicht sagen, dass man erst einmal erstarren und nichts unternehmen sollte, bis man einen perfekten Plan hat.
Betrachten Sie die Identifizierung von Vermögenswerten. Am einfachsten lässt sich die Bestandserfassung mithilfe einer Tabellenkalkulation durchführen. Öffnen Sie einfach eines davon und geben Sie Ihre Server in der öffentlichen Cloud ein; es gibt ein Feld, in das Sie die Anzahl Ihrer Server eingeben können. Nehmen wir einmal an, Sie wissen es im Moment noch nicht. Das ist in Ordnung, sehr gut. Was haben Sie denn sonst noch? Verfügen Sie über Unternehmens-Desktop-Computer? Bitte fügen Sie das dort ein. Unternehmensdienstleistungen? Fangen Sie einfach an, sie alle aufzulisten, und tragen Sie die Antworten ein, sobald Sie sie erhalten. Machen Sie sich Gedanken darüber, wie Sie dies systematisch angehen können.
Ich glaube, eine große Herausforderung besteht darin, dass wir uns als Berufsstand noch in der Entwicklung befinden, wobei dieser Reifeprozess vor allem durch eine „Cargo-Kult“-Mentalität vorangetrieben wird. Und das meine ich nicht ausschließlich im negativen Sinne. Wir verfügen über zahlreiche hervorragende und talentierte Sicherheitsexperten. Doch wir als Branche müssen uns von dem lösen, was gerade im Trend liegt, und uns darauf konzentrieren, was Risiken mindert.
