Wie Heuschrecken tauchen Zero-Day-Schwachstellen immer wieder auf. Die neueste, als „ Spring4Shell“ bezeichnete Sicherheitslücke betrifft das Produkt „ Spring“ von VMware ,
, ein Open-Source-Java-Toolkit zur Entwicklung von Anwendungen. Bislang ist noch nicht bekannt, inwieweit diese Schwachstelle problematisch sein wird.
Ähnlich wie bei der gleichnamigen Sicherheitslücke „ Log4Shell“ ( ), die Forscher in „Dezember 2021“ öffentlich bekannt gegeben haben, sind rasche gemeinsame Maßnahmen seitens der Cybersicherheitsexperten und Softwareentwickler erforderlich. Diese Zusammenarbeit nimmt Gestalt an.
Der neue Hack, der unter 31. März aufgedeckt wurde, ist die zweite Spring-Sicherheitslücke, die innerhalb einer Woche gemeldet wurde, und tritt nur wenige Tage nach der Ankündigung von Google auf, dass sein Chrome-Browser , der von schätzungsweise 3,2 Milliarden Menschen genutzt wird, eine Zero-Day-Sicherheitslücke in seiner JavaScript-Engine enthielt. Der Edge-Browser von Microsoft war von demselben Fehler betroffen. Beide Unternehmen haben Patches veröffentlicht und die Nutzer dazu aufgefordert, diese Browser so bald wie möglich zu aktualisieren.
Softwarefehler lassen sich beheben. Aber nur, wenn Sie Ihre Systeme aktualisieren. Und während das Installieren von Patches zwar Aufgabe der IT-Betriebsteams sein mag, mischen sich Vorstandsmitglieder und Führungskräfte der obersten Ebene zunehmend in die Diskussion ein. Sie befragen ihre CISOs, CIOs und andere Verantwortliche, ob sie über geeignete Strategien für das Patch-Management verfügen. Und wenn nicht, warum nicht? Solche Gespräche sind längst überfällig.
Möchten Sie ein eigenes Gespräch beginnen? Hier erfahren Führungskräfte aus Wirtschaft und Technologie, welche Vorgehensweisen am besten geeignet sind.
Erlernen Sie die Grundlagen des Patch-Managements
Ein Zero-Day ist die gefährlichste Form einer Sicherheitslücke, die Hackern bereits bekannt ist, bevor Softwareanbieter oder Nutzer davon Kenntnis erlangen. Die von Google unter bekannt gegebene Zero-Day-Sicherheitslücke betrifft Chrome-Nutzer unter Windows, macOS und Linux sowie Nutzer des Edge-Browsers von Microsoft. Google weist darauf hin, dass die Bedrohungsstufe hoch ist, hat jedoch keine weiteren Informationen veröffentlicht.
„Google weist darauf hin, dass die Bedrohungsstufe hoch ist, hat jedoch keine weiteren Informationen veröffentlicht.“
In solchen Situationen müssen Führungskräfte wie Onkologen denken. Sie verstehen die Krebserkrankung vielleicht nicht vollständig, sollten sich jedoch bestens mit der Behandlung auskennen.
Das bedeutet, dass man die einzelnen Schritte eines effektiven Patch-Managements verstehen muss. Dazu gehören das Suchen nach verfügbaren Patches, die Priorisierung der für Ihr Unternehmen wichtigsten Patches sowie die anschließende Installation, das Testen und die Dokumentation Ihrer Konfigurationen.
Ein automatisiertes Patch-Management kann dazu beitragen, diesen Prozess zu vereinfachen, insbesondere für Unternehmen, die über Hunderte, wenn nicht gar Tausende von Endgeräten verfügen. Das Sicherheitsautomatisierungs sorgt dafür, dass keine Sicherheitslücken unberücksichtigt bleiben. Und das ist nur einer seiner zahlreichen Vorteile.
[Weiterlesen: Was ist Patch-Management?]
Seien Sie auf Herausforderungen bei der Software-Patch-Verwaltung vorbereitet
Am Montag warnte „ 28. März“, die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) , die zivilen Bundesbehörden, die Sicherheitslücke in Chrome zu beheben. Man räumte ihnen dafür drei Wochen Zeit ein. Das ASAP-Mandat ist nichts Neues. Die CISA erließ im Dezember eine Notfallanweisung, in der sie die Behörden dazu verpflichtete, die Behebung der Sicherheitslücke „ “ Log4j in ihren Netzwerken vorrangig voranzutreiben. Log4j, ein Open-Source-Protokollierungsprogramm, wird in Millionen von Java-Anwendungen eingesetzt, und der Missbrauch dieser Sicherheitslücke löste weitreichende Besorgnis aus, was zu einem erneuten Interesse an Patch-Management seitens Führungskräften aus Wirtschaft und Technologie führte.
Suzanne Spaulding, a senior adviser for homeland security and director of the Defending Democratic Institutions project at the Center for Strategic and International Studies, called CISA’s patching directives “risk management 101.”
Das bedeutet, dass die Installation von Software-Patches unerlässlich ist. Es kann jedoch auch kompliziert sein. In Dezember 2021, Endpoint laid out the need for speed in such endeavors, the bumps along the way, and the steps to overcome those bumps. Schritt 1: Richten Sie einen umfassenden Prozess zur Erfassung und Bestandsaufnahme von „ “-Ressourcen ein .
[Auch interessant: CISA – Bundesbehörden müssen Log4j-Sicherheitslücke dringend schließen]
Suchen Sie in Ihrer Lieferkette nach Software-Schwachstellen
Für Führungskräfte aus Wirtschaft und Technologie, die noch immer unter dem Schock des „ Log4j “-Fehlers standen, lösten die Nachrichten über die jüngste Spring-Sicherheitslücke ein Déjà-vu aus. Dies war jedoch auch eine Mahnung, dass Dritte in Ihrem Netzwerk-Ökosystem Hackern eine Hintertür öffnen können.
„Unternehmen haben wahrscheinlich mehr Drittanbieter in ihrem Ökosystem als je zuvor“, warnte Sandy Carielli, Principal Analyst bei Forrester, im Rahmen des „ “ des Unternehmens sowie des „Security & Risk Forum 2021“.
Zu viele Unternehmen haben ihre Vorgehensweise bei der Minderung von Risiken im Zusammenhang mit Geschäftstechnologie und Drittanbietern nicht geändert. Das muss sich ändern. In Dezember 2021„End, point“ wurde ein detaillierter Einblick in Hacks in der Lieferkette gegeben – wie sie funktionieren (es ist weniger kompliziert, als Sie vielleicht denken), wer davon betroffen ist (nämlich wir alle) und warum sie nach wie vor so erfolgreich sind. (Es gibt häufige Fehler, die Unternehmen und andere Gruppen begehen und die Angreifern dabei helfen, ihr Unwesen zu treiben.)
[Lesen Sie auch: Bewältigung von Risiken in der Lieferkette nach der „ Log4j “-Sicherheitslücke]
Die Nachrichten dieser Woche werden zweifellos viele Menschen dazu veranlassen, den Katalog „ : Known Exploited Vulnerabilities“ der CISA unter aufzurufen. Die CISA nimmt neue Sicherheitslücken in diese Datenbank auf, sofern Hinweise auf eine aktive Ausnutzung vorliegen. Die Datenbank, die ursprünglich für Bundesbehörden konzipiert und angepasst wurde, ist eine nützliche Anlaufstelle für jedermann, und die CISA ermutigt Unternehmen und andere Einrichtungen, die dort enthaltenen Informationen als Orientierungshilfe bei der Erkennung bedeutender cyberkrimineller Aktivitäten zu nutzen.
Wie aktuelle Schlagzeilen zeigen – „: Acht weitere Schwachstellen hinzugefügt“, „: Neun weitere“, „: 32“, „: 66“ – reißen die Meldungen einfach nicht ab.
Am besten speichern Sie diese CISA-Seite als Lesezeichen.
