Wenn etwas nicht funktioniert, lohnt es sich, einen Schritt zurückzugehen und Ihre Situation mit einer neuen Perspektive zu betrachten. Das ist der einfache und doch wirkungsvolle Punkt, den der Cybersicherheitsveteran Andy Ellis auf der RSA Conference 2022 machen wird.
Ellis hat in Informationssicherheit in Organisationen so unterschiedlich wie die U.S. Air Force gearbeitet, Akamai Technologies in einen Internetriesen aufgebaut und ist derzeit Betriebspartner bei YL Ventures, der Cybersicherheitsprojekte finanziert und unterstützt, und ein Einführender in die CSO Hall of Fame.
Als solcher ist er ein Meister des großen Ganzen. Er wird diese Expertise in einem Panel auf der RSA 2022, „Die vier Dimensionen des Aufbaus eines Sicherheitsprogramms“, nutzen, um CISOs und andere Sicherheitsleiter dazu aufzufordern, den Schwerpunkt von der Konzentration auf die neue Technologie zu verschieben, die ihren Moment hat, und stattdessen einen genauen Blick auf die Grundlagen einer guten Cyberhygiene zu werfen.
Ellis gab Endpoint einen Zwischengipfel bei dem 8. Juni, was er in seinem Panel abdecken wird (Mittwoch, um 8:30 PT 09:20 , im Moscone Center in San Francisco).
Lassen Sie uns also direkt in den Titel des Panels springen. Warum vier Dimensionen?
Welche vier?
Absolut. Aber gehen wir einen Schritt zurück. Allzu oft gehen wir mit Checklisten an die Sicherheit heran. Die ISO [International Organization for Standardization] gibt Sicherheitsexperten eine Liste mit 900 Dingen, die wir tun sollten. Am Ende nehmen wir einfach Dinge von der Liste und konzentrieren uns darauf, sie zu erledigen.
„Dies sind die einzigen beiden Metriken, die Ihnen wichtig sind: was Sie haben und wie schwierig es ist, das herauszufinden.“
Dieser Vortrag bittet uns, einen Schritt zurück davon zu gehen und ein paar Dinge zu überdenken. Der erste ist: Wissen Sie überhaupt, was in Ihrem IT-Universum gesichert werden muss? Jeder antwortet immer mit „Sicher, wir schützen unsere wichtigsten Vermögenswerte zuerst.“ Die Realität ist jedoch, dass Ihr riskantestes Asset selten Ihr wichtigstes Asset ist. Das riskanteste Asset ist das Asset neben und hat Zugriff auf Ihr wichtigstes Asset.
Aber niemand achtet auf dieses Asset. Niemand weiß, dass es da ist. Deshalb ist es wichtig, zunächst an Visibilität und Abdeckung zu denken, und das ist nicht nur, wie viele Assets und welche Arten von Assets Sie haben, sondern auch der Prozess, in dem Sie Ihren Asset-Bestand kennen. Und Sie müssen lernen, das zu akzeptieren, was Sie nicht über Ihre Assets wissen. Wissen Sie, wie viele Cloud-Assets Sie haben? Suchen Sie diese Nummer. Achten Sie darauf, wie schwierig es ist, diese Zahl zu erhalten. Dies sind die einzigen beiden Metriken, die Ihnen wichtig sind: was Sie haben und wie schwierig es ist, das herauszufinden.
Sie können jedoch in 15 Minuten eine weitere Bestandszählung durchführen und es wird eine andere Anzahl sein.
Aber das ist in Ordnung; die tatsächliche Zahl ist egal. Entscheidend ist, wie schwer es ist, zur Zahl zu gelangen. Denn wenn sich die Cloud-Nummer alle 15 Minuten ändert, Sie aber sechs Wochen brauchen, um die Nummer zu finden, dann kennen Sie sicherlich Ihre Systeme oder was sich auf ihnen befindet. Schließlich können Sie, wenn dies zutrifft, nicht einmal regelmäßig eine hohe Anzahl Ihrer Assets erhalten.
Als Nächstes sollten Sie die Systeme nach Risiko priorisieren können, sobald Sie eine Möglichkeit haben, Ihre Anlagenanzahl zu erreichen. Wissen Sie, welche Systeme Ihre Kronjuwelen sind? Welche haben Zugriff auf Ihre Kronjuwelen? Wir kommen gleich zu diesem Aspekt zurück. Ich beschreibe dies in Dimensionen. Wir haben Dimension Eins besprochen, die Breite der Sicherheitsabdeckung.
Das macht viel Sinn: Bestimmen Sie zunächst, was Sie verwalten und sichern müssen, und quantifizieren Sie Ihre Angriffsfläche. Was ist die nächste Dimension?
Dimension zwei ist die Vollständigkeit Ihrer Kontrollen. Ich denke an Dimension zwei als Höhe und was die meisten Leute früher als Tiefe bezeichneten.
„Die Maginot Line funktioniert nicht, wenn sich der Gegner schnell bewegt. Und im Cyber bewegen sich die Gegner unendlich schnell.“
Ich glaube, dass die Art und Weise, wie die meisten Menschen den Begriff „Verteidigung in der Tiefe“ verwenden, schrecklich ist. Ich leite den Vortrag, indem ich über die Maginot Line spreche, die Verteidigungen, die die Franzosen im Jahr 1930s an der deutschen Grenze errichteten, als klassische Verteidigung in der Tiefe. Aber die Maginot Line funktioniert nicht, wenn sich der Gegner schnell bewegt. Und im Cyber bewegen sich die Gegner unendlich schnell.
Dimension Zwei untersucht, wie gut Ihre Steuerelemente gestapelt sind. Lassen Sie uns die Multifaktor-Authentifizierung [MFA] betrachten. Menschen sagen oft, dass sie zwei Faktoren haben und berücksichtigen zwei Faktoren doppelt so gut. Nun, wenn die beiden Faktoren die Eingabe eines Passworts erfordern und das System dann eine Textnachricht sendet und Sie die Nummer im Text in ein Feld eingeben, gibt es viele Möglichkeiten, dies zu gefährden. Erstens erhält der Angreifer das Passwort und dann entwickelt er eine Situation, um die Textnachricht anzugreifen. Das ist schon viele Male passiert.
Wir sind immer anfällig für Dinge wie Man-in-the-Middle-Angriffe und Social Engineering. Also diese Form von MFA ist vielleicht 25 % besser?
Es mag um 25 % besser sein, aber der Gegner hat die ganze Zeit auf der Welt. Während es für einen Gegner viel schwieriger ist, diese Kontrollen zu trennen und anzugreifen, wenn ich FIDO [fast identity online]-basiertes MFA und ein X.509 -Zertifikat habe, das es auslöst. Also diese stapeln, und vielleicht sind sie tatsächlich 100 % besser.
[Lesen Sie auch: 5 Diagramme, die die Visibilitätskrise der IT erklären]
Denken Sie vor diesem Hintergrund über alle Kontrollbereiche Ihres Systems nach. Wissen Sie, was sich im System befindet? Wissen Sie aus der Perspektive des Schwachstellenmanagements, wie gut das System gewartet wird? Wissen Sie , wie gut das System konfiguriert ist? Schützen Sie Ihre Identitäten im System? Schränken Sie ein, wie viele Personen Zugriff auf das System haben? Vieles davon sind nur Grundlagen. Aber wenn Sie nicht wissen, dass Sie diese Vollständigkeit angewendet haben, haben Sie ein Problem.
Ich spreche auch ein wenig über die Herausforderung der Messung. Sehen wir uns das Schwachstellenmanagement an. Letztendlich möchten Sie etwas wie ein SLA [Service Level Agreement] messen, das die Effektivität Ihres Prozesses misst, im Vergleich zu jeder Metrikmessung, die nur zeigt, wie beschäftigt Sie mit dem Prozess sind. Ich denke, dass wir Schwachstellenmanagement-Metriken haben, die alle falsch sind.
Empfehlen Sie, sich von Metriken wie der mittleren Zeit, der durchschnittlichen Zeit, die zur Behebung kritischer Schwachstellen benötigt wird, und anderen gängigen Key Performance Indicators [KPIs] zu entfernen?
Nun, ich verwende gerne ein SLA. Die Zwischenzeit ist eine taktische. Und die Zwischenzeit sagt im Grunde genommen, was wäre mein Median, wenn ich ihn 50 % der Zeit erreichen würde? Und das könnte nützlich sein, aber was Sie tun möchten, ist eine SLA auszuwählen und zu messen, wie viel Prozent der Zeit Sie darunter verbringen.
Wenn Sie die mittlere Zeit verwenden und eine Sache haben, die Sie nie patchen, addiert sich dies immer wieder zur mittleren Zeit. Oder es kann nie zur mittleren Zeit addieren, je nachdem, wie Sie sie berechnen. Dies ist die am häufigsten verwendete Standardmetrik. Und es ist schrecklich, weil es komische Externalitäten erzeugt. Wenn Sie behobene und nicht behobene Schwachstellen haben, messen Sie diese dann anders? Jetzt haben Sie zwei verschiedene Metriken für sie, und irgendwann können Sie das System spielen, indem Sie es ablehnen, sie von einer Spalte in die andere zu verschieben.
Das ist faszinierend. Was ist also die dritte Dimension des Aufbaus eines Sicherheitsprogramms?
Die dritte Dimension bezieht sich auf die Tiefe – das Verständnis des Angriffspfads des Gegners. Und Sie können dies tun, indem Sie Geschichten darüber erzählen, wie Ihre Verteidigung sie stoppt.
Um erfolgreich zu sein, müssen Sie ein paar Dinge tun. Die erste besteht darin, Berichte zu erstellen, die Angriffspfade detailliert beschreiben. Eine taktische Erzählung kann etwas wie dieses beschreiben: Eines Ihrer internetfähigen Geräte verfügt über eine anfällige Software und unsichere Schlüssel, die den Zugriff auf eine sensiblere Maschine ermöglichen. Boom, hier ist ein Angriffspfad, und Sie sollten ihn vielleicht schneller patchen oder mit dem unsicheren Schlüssel umgehen.
Betrachten Sie die Geschichte rund um Ransomware. Alle ärgern sich über Ransomware. Niemand spricht über die sehr knackige Erzählung darüber, was Ransomware ist. Ransomware ist Malware, die einen Computer kompromittiert und sich dann lateral verschiebt, meistens mit administrativen Zugangsdaten oder weit verbreiteten und bekannten Remote-Schwachstellen in gängigen Betriebssystemen.
[Lesen Sie auch: Wie Sie seitliche Bewegungen bei Cyberangriffen blockieren]
Das war's; das ist die Ransomware-Erzählung. Sie haben jetzt gerade die ganze Tiefengeschichte erzählt, damit Sie über Verteidigungen sprechen können, die diese Kette brechen. So können Sie die Höhe Ihrer Verteidigungen überprüfen und fragen, ob Sie eine Möglichkeit haben, die laterale Admin-Bewegung zu stoppen. Haben Sie eine dreistufige Active Directory-Administration implementiert? Wenn nicht, sollten Sie das Active Directory von [Microsoft] einfach loswerden. Das liegt daran, dass Sie nicht so brillant sind, wie Sie denken.
Ich habe Umfragen gesehen, in denen etwa 80 % der Befragten Ransomware angriffen, sagen, dass die Angreifer auf Active Directory abzielten, mit dem die IT Benutzer, Anwendungen, Daten und dergleichen verwalten kann. Dieselben Umfragen zeigten, dass etwa 90 % der Organisationen Active Directory nicht effektiv verwalten konnten.
Richtig. Zehn Prozent der Unternehmen, die Active Directory einsetzen, verfügen über ausreichende Fähigkeiten, um es sicher zu verwalten. Und ich ziehe diese Nummer einfach aus dünner Luft. Ich denke, es ist tatsächlich niedriger als das.
„Machen Sie beides – MFA und Anti-Phishing-Dienste. Sie haben gerade das Leben der fortschrittlichsten Akteure für persistente Bedrohungen viel schwieriger gemacht.“
In diesem Tag und Alter erhalten Sie aufgrund der Art und Weise, wie Active Directory sofort die Domain-Administration durchführt, auf Edge-Computern vorübergehend administrative Zugangsdaten. Dennoch weiß die Malware, wie man sie liest. Das macht [Hacker-Tool] Mimikatz . Sie überprüft und identifiziert Admin-Anmeldeinformationen. Wenn er eines findet, ist er jetzt Eigentümer Ihres gesamten Netzwerks.
Wenn Sie Ransomware loswerden möchten, lösen Sie das Admin-Problem und setzen Sie MFA auf alle Ihre Administrationssysteme. Ähnlich wie bei der Lösung von Phishing sollten Sie nicht mehr Anti-Phishing-Dienste kaufen. Es ist, dass Sie eine gute MFA implementieren sollten.
Und übrigens machen Sie beides – MFAs und Anti-Phishing-Dienste. Sie haben gerade das Leben der fortschrittlichsten Akteuren persistenter Bedrohungen viel schwieriger gemacht. Und Sie haben sogar das Leben Ihrer Benutzer in einigen Sinnen erleichtert. Das ist Ihre dritte Dimension.
Und dann ist die vierte Dimension die Zeit. Sicherheitskontrollen sind wie Unternehmen. Wenn ein Unternehmen nicht wächst, stirbt es. Wenn eine Sicherheitskontrolle nicht ausreift, wird sie verfallen. Was ist Ihre Erzählung darüber, wie Sie sich verbessern? Wenn Sie die SLA-Compliance für das Schwachstellenmanagement messen, geht das im Laufe der Zeit nach oben oder nach unten? Erfordert dies die Aufrechterhaltung der Beteiligung der Führungskräfte oder nicht? Verbessern
oder sterben Sie?
Wo machen Unternehmen Ihrer Meinung nach die größten Fehler beim Aufbau eines Sicherheitsprogramms? Und warum ist der Vortrag, den Sie jetzt halten, wichtig?
Wir kommen alle zu RSA und was kaufen wir? Wir kaufen bei RSA alles, was im Angebot ist. Das ist tendenziell das, was passiert.
Aber wir müssen zurücktreten und fragen: Was brauchen wir, um unsere Unternehmen zu sichern? Was ist das Richtige als Nächstes? Und bauen Sie das dann auf den ersten Prinzipien auf. Ich schlage nicht vor, dass Menschen einfrieren und nichts tun, bis sie einen perfekten Plan haben.
Berücksichtigen Sie die Asset-Identifikation. Die einfachste Möglichkeit, Asset-Identifikationsmanagement zu verwalten, ist mit einer Tabelle. Öffnen Sie einfach einen und geben Sie Ihre Public-Cloud-Server ein, mit einem Feld für wie viele Sie haben. Nehmen Sie an, Sie wissen es derzeit nicht. Das ist in Ordnung, toll. Was haben Sie sonst noch? Haben Sie Enterprise-Desktops? Setzen Sie das dort ein. Enterprise Services? Beginnen Sie einfach, alle aufzulisten, und wenn Sie Antworten erhalten, setzen Sie sie dort ein. Machen Sie sich Sorgen darüber, wie Sie dies systematisieren.
Ich denke, dass eine große Herausforderung darin besteht, dass wir immer noch als Beruf reifen, aber der erste Weg, auf dem wir reifen, ist eine Frachtkult-Mentalität. Und das meine ich nicht ganz negativ. Wir haben viele großartige talentierte Sicherheitsexperten. Aber als Branche müssen wir uns von den Trendtrends lösen und uns darauf konzentrieren, was das Risiko reduzieren wird.
