Überraschung! Es handelt sich um eine weitere Zero-Day-Sicherheitslücke

Als die Sicherheitslücke „ “ Log4j (öffnet in einem neuen Tab) zutage trat – die es Cyberkriminellen ermöglichte, mit einer einzigen Codezeile in anfällige Computernetzwerke einzudringen –, schien es sich um eine äußerst seltene Cybersicherheitsbedrohung zu handeln, um eine schwerwiegende Zero-Day-Sicherheitslücke, die unverzüglich behoben werden musste.

But then, before you could say déjà vu, the Spring4Shell (opens in a new tab) zero-day came along, capturing more headlines, panicking senior executives, and sending security teams into 7.12. overdrive.

Die Zeiten haben sich zweifellos geändert. Früher war es so, dass kriminelle Hacker solche Zero-Day-Schwachstellen (Codefehler, von deren Existenz ein Softwareentwickler oder -anbieter erst dann Kenntnis erlangt, wenn sie entdeckt oder ausgenutzt werden) in Abständen von etwa einigen Jahren zuverlässig ausnutzten.

Da Unternehmen und Behörden beim Betrieb von Netzwerken und Unternehmensanwendungen zunehmend auf Software von Drittanbietern zurückgreifen, treten diese Zero-Day-Schwachstellen immer häufiger auf und werden immer schwerwiegender.

Bleiben Sie im Rennen!

Doch IT-Sicherheitsexperten – sowie die Führungskräfte und Vorstände, denen sie unterstehen – fragen sich: Nehmen Zero-Day-Angriffe tatsächlich zu und werden sie immer schwerwiegender? Oder werden die Sicherheitsforscher und die Bug-Bounty-Jäger, die diese Schwachstellen aufspüren, einfach immer besser in ihrer Arbeit?

„Nicht jeder Zero-Day-Angriff ist ein kritischer Fall, der den Einsatz aller Kräfte erfordert.“

Melissa Bischoping, Leiterin der Forschung im Bereich Endpunktsicherheit bei Tanium

Melissa Bischoping, Leiterin der Forschung im Bereich Endpunktsicherheit bei Tanium, ist der Ansicht, dass Letzteres zutrifft. „Es tauchen immer mehr Zero-Day-Schwachstellen auf, was zum Teil daran liegt, dass mittlerweile so viele Menschen danach suchen“, sagt Bischoping, der auch Workshops zum Thema Bedrohungssuche durchführt. „Nicht jeder Zero-Day-Angriff ist ein kritischer Fall, der den Einsatz aller Mitarbeiter erfordert.“ Die drohende Gefahr durch die „großen Angriffe“ lässt Sie nachts nicht schlafen, doch diese machen nur einen Bruchteil der Zero-Day-Angriffe aus, mit denen wir konfrontiert sind. „Ich rate den Betroffenen, die Situation anhand des Schweregrads zu bewerten und entsprechend zu reagieren – und nicht allein aufgrund der Tatsache, dass es sich um eine Zero-Day-Sicherheitslücke handelt.“

Dennoch warnt sie, dass es für Sicherheitsexperten von entscheidender Bedeutung ist, stets am Ball zu bleiben. Angesichts der Tatsache, dass kriminelle Hacker bereits eine einzige Sicherheitslücke ausnutzen können, um weitreichenden Schaden anzurichten (siehe den „ “-Hack bei SolarWinds und dessen Auswirkungen auf Unternehmen und Regierungen), ist es für die Netzwerksicherheit von entscheidender Bedeutung, stets über Zero-Day-Schwachstellen auf dem Laufenden zu bleiben.

Zero-Day-Exploits nehmen an Schwere zu

Steve Wilson, Chief Product Officer bei Contrast Security – einem Anbieter einer einheitlichen Plattform, die Entwicklern dabei hilft, sicherer zu programmieren –, beobachtet einen Anstieg sowohl der Anzahl als auch der Schwere von Zero-Day-Exploits auf der Anwendungsebene, auf die sich Contrast in seiner Arbeit konzentriert. Ein wesentlicher Grund dafür sei, so sagt er, dass ein Großteil des Softwarecodes, den Unternehmen heute nutzen, tatsächlich vor vielen Jahren oder sogar Jahrzehnten geschrieben wurde. „Apache Log4j“, eine Java-Bibliothek, blickt auf eine 20-jährige Geschichte zurück und wird größtenteils von Freiwilligen gepflegt (wird in einem neuen Tab geöffnet), wie Wilson anmerkt.

„Viele der grundlegenden Annahmen in diesen Bibliotheken wurden zu einer Zeit getroffen, als Entwickler noch weniger darüber wussten, wie man sicheren Code erstellt“, sagt Wilson. „Hacker haben nun eindeutig diese älteren, weit verbreiteten Ökosysteme im Visier, in denen Schwachstellen massive Auswirkungen haben können.“

Eine wachsende Angriffsfläche

Tony Lauro, Leiter für Sicherheitstechnologie und -strategie bei Akamai Technologies, teilt die Ansicht, dass Zero-Day-Bedrohungen auf absehbare Zeit bestehen bleiben werden, vor allem weil so viele Unternehmen ihre Prozesse digitalisieren, auf die Cloud umsteigen (öffnet in einem neuen Tab) und ihren Mitarbeitern ermöglichen, von verschiedenen Endgeräten aus im Homeoffice zu arbeiten (öffnet in einem neuen Tab) .

„Leider wird sich dieses Problem zunächst noch verschärfen, bevor es sich bessert, da Angreifern künftig mehr Angriffsflächen zur Verfügung stehen werden“, sagt Lauro. „Und angesichts all der neuen Generationen, die sich im Internet bewegen, wird es sicherlich auch immer mehr potenzielle Opfer geben.“

[Lesen Sie auch: Was Sie über die Revolution der Telearbeit nicht wissen, könnte Ihnen schaden] (wird in einem neuen Tab geöffnet)

Darüber hinaus könnte die Zahl der Zero-Day-Exploits zunehmen, da sie für die Cyberkriminalität zunehmend zu einer lukrativen Einnahmequelle werden. Rob Joyce, Leiter des Bereichs Cybersicherheit bei der NSA, erklärte auf einer Podiumsdiskussion im Rahmen der diesjährigen RSA-Konferenz, dass Ransomware-Banden ihre Gewinne dazu nutzen, Zero-Day-Exploits zu erwerben, und dass seine Behörde besorgt darüber ist, wie schnell Kriminelle neu bekannt gewordene Software-Sicherheitslücken ausnutzen können.

Der Himmel fällt nicht herunter – bis er es doch tut

Auch wenn manche Zero-Day-Exploits bedrohlicher erscheinen mögen, als sie tatsächlich sind, müssen IT-Sicherheitsabteilungen sie alle ernst nehmen und alles in ihrer Macht Stehende tun, um sich gegen sie zu schützen.

„Sie erhalten 150 000 verschiedene Warnungen zu unterschiedlichen Sicherheitslücken, und das kann einen fast schon betäuben.“

Frank Dickson, Group Vice President bei IDC

Einige Sicherheitsteams werden diesem Ansatz skeptisch gegenüberstehen. Seit Jahren hören sie immer wieder, wie Anbieter, Forscher und Softwareentwickler neue Zero-Day-Schwachstellen melden, die sich letztendlich als reine Luftblasen herausstellen. Zudem sind die meisten Sicherheitsteams überlastet, unterbesetzt und unterfinanziert. Daher neigen sie dazu, nicht dringende Alarme zu ignorieren.

„Es heißt ‚: Alarmmüdigkeit (wird in einem neuen Tab geöffnet)‘“, sagt Frank Dickson, Group Vice President bei IDC. „Sie erhalten 150 000 verschiedene Warnmeldungen zu unterschiedlichen Sicherheitslücken, und das kann einen fast schon betäuben.“

Dickson sagt, dass Unternehmen solche Frustrationen zunächst angehen müssen. Zudem müssen sie der Bedrohung durch Zero-Day-Angriffe begegnen, indem sie einige offensichtliche und weniger offensichtliche Änderungen an ihrer Cyberhygiene vornehmen: (öffnet in einem neuen Tab), beispielsweise:

• Effektive Patches bereitstellen – gleich beim ersten Mal. Hier liegt die Verantwortung bei den Softwareanbietern. Tatsächlich handelt es sich bei vielen Zero-Day-Schwachstellen von Google häufig um bereits zuvor behobene Sicherheitslücken: , (wird in einem neuen Tab geöffnet),, , , schrieb Maddie Stone, eine Sicherheitsforscherin bei Project Zero: (wird in einem neuen Tab geöffnet),, . Und was die Prävention betrifft? Stone stellte fest, dass mindestens die Hälfte der von ihr untersuchten Zero-Day-Schwachstellen „durch umfassendere Patches und Regressionstests hätte verhindert werden können“. Es ist ein wenig so, als würde eine Feuerwehrmannschaft einen Brand löschen, dabei jedoch Glutnester übersehen, die schließlich vom Wind angefacht werden und sich zu einem völlig neuen Feuersturm entwickeln könnten. „Um Patches korrekt und umfassend zu installieren, reicht es nicht aus, einfach nur einen Schalter umzulegen: Dies erfordert Investitionen, Priorisierung und Planung.“ „Zudem muss ein Verfahren zur Installation von Patches entwickelt werden, das sowohl den schnellen Schutz der Benutzer als auch die Gewährleistung einer umfassenden Absicherung in Einklang bringt.“
• Machen Sie sich ein Bild davon, was Sie besitzen. Was Sie nicht sehen können, können Sie auch nicht schützen oder patchen, und Umfragen haben gezeigt, dass vielen CIOs die Transparenz (wird in einem neuen Tab geöffnet) über alle ihre lokalen und cloudbasierten Ressourcen fehlt. Das Erste, was ein verunsicherter Führungskraft der obersten Ebene einen CISO oder CIO fragen wird, wenn ein Zero-Day-Angriff auftritt, lautet: „Inwieweit muss ich mir darüber Gedanken machen?“ und „Ist das nun das Ende der Welt für uns oder nicht?“ sagt Herr Bischoping von Tanium. Hier können leistungsfähige Plattformen für die Datenüberwachung und das Endpunktmanagement von „ “ – (wird in einem neuen Tab geöffnet),und – von entscheidender Bedeutung sein. Sie können CIOs und ihren Teams dabei helfen, Lücken zwischen Datensilos zu schließen, Einblicke in die Situation an den Endgeräten zu gewinnen und das Ausmaß der Zero-Day-Risiken schneller zu ermitteln.

[Lesen Sie auch: Warum Transparenz und der Abbau von Silos der Schlüssel zu jedem Aktionsplan für Cybersicherheit sind] (wird in einem neuen Tab geöffnet)

Übrigens gibt es zahlreiche empfehlenswerte Asset-Management-Tools der Enterprise-Klasse , die dabei helfen können; ebenso wichtig ist es jedoch, die Kultur anzugehen, in der Cybersicherheit und Sicherheitshygiene zugunsten der Geschwindigkeit vernachlässigt werden.

• Beenden Sie das gegenseitige Schuldzuweisen in Bezug auf die Programmierung. Sicherheitslücken kommen vor. Das wird immer so sein. Sie treten jedoch häufiger auf, wenn Produktmanager oder Marketingfachleute die Entwickler dazu drängen, Code so schnell zu schreiben, dass keine Zeit für Sicherheitsüberprüfungen oder Korrekturmaßnahmen bleibt. Produktzeitpläne sind darauf ausgerichtet, ein Produkt auf den Markt zu bringen. Cybersicherheit wird oft erst gegen Ende dieses Prozesses als ein weiterer Punkt auf der Checkliste abgehakt.

„Wir alle werden weiterhin gegen Zero-Day-Angriffe vorgehen müssen. „Der einzige einfache Tag war gestern.“

Tony Lauro, Leiter für Sicherheitstechnologie und -strategie bei Akamai Technologies

Dickson sagt, das müsse sich ändern. Unternehmen müssen Softwareentwickler Anreize bieten, strenge Sicherheitsziele zu erreichen. „Entwickler werden heutzutage dafür vergütet, dass sie Produkte termingerecht liefern und den Umsatz steigern, aber wir vergüten sie nicht unbedingt für sicheres Programmieren“, sagt er. „Das sollten wir. „Es ist äußerst wichtig, ein Sicherheitsparadigma in Organisationen von oben nach unten durchzusetzen.“

Bischoping fügt hinzu, dass es zudem von entscheidender Bedeutung ist, Entwickler nicht mit der Peitsche zu bestrafen, wenn gelegentlich Sicherheitslücken auftreten und zu Zero-Day-Schwachstellen werden. „Wir müssen dieser Kultur ein Ende setzen, bei der bei einem Sicherheitsverstoß immer nach Schuldigen gesucht wird“, sagt sie. „Ja, Sie möchten die Möglichkeit haben, zurückzugehen und festzustellen, ob der Code mangelhaft geschrieben wurde, und zu prüfen, ob die Prozesse eingehalten wurden. Ein strafender Ansatz ist jedoch kontraproduktiv und löst das Problem nicht wirklich. Sie sollten sich stattdessen darauf konzentrieren, die Lücken zu verstehen, die zu dieser Schwachstelle geführt haben, und zu ergründen, wie Sie sich mit jeder Ursachenanalyse kontinuierlich verbessern können.“

• Betrachten Sie das Management der Angriffsfläche. en von CIOs vergrößern die Angriffsfläche (wird in einem neuen Tab geöffnet) jedes Mal, wenn sie einen neuen Cloud-Dienst einführen oder weitere Endgeräte bereitstellen, um das Unternehmenswachstum und die digitale Transformation zu unterstützen. Laut Dickson von IDC ist das Angriffsflächenmanagement (ASM) einer der neueren Ansätze, die zur Bekämpfung von Zero-Day-Angriffen in Betracht gezogen werden sollten. Dies wird definiert als die fortlaufende Erfassung, Bestandsaufnahme, Klassifizierung und Überwachung der IT-Infrastruktur einer Organisation. Das Ziel besteht darin, diese Sicherheitsaufgaben aus der Perspektive eines Angreifers zu betrachten. Diese Tools führen ständig und automatisch Ping-Anfragen an Netzwerke durch, ähnlich wie es ein Hacker tun würde, um nach potenziellen Angriffsvektoren zu suchen.
• Erstellen Sie ein dynamisches Zero-Day-Handbuch. Viele Organisationen verfügen heutzutage über Leitfäden, in denen festgelegt ist, wie sie im Falle eines Angriffs durch die Ransomware „ “ vorgehen werden: (öffnet in einem neuen Tab) . Sie sind häufig das Ergebnis einer Zusammenarbeit zwischen Mitarbeitern aus den Bereichen Wirtschaft, Finanzen, Recht, Personalwesen und Technik. Sie benötigen zudem einen spezifischen Plan zur Reaktion auf Vorfälle (wird in einem neuen Tab geöffnet) für Zero-Day-Angriffe.

[Lesen Sie auch: Sind Sie sich nicht sicher, wie Ihre Leitfäden für die Reaktion auf Vorfälle aussehen sollten? Kopieren Sie den Link der CISA: „ “ (wird in einem neuen Tab geöffnet)

Dies liegt in erster Linie an der Unvorhersehbarkeit von Zero-Day-Schwachstellen, die sich oft innerhalb weniger Tage von Sicherheitslücken zu Exploits und Angriffen entwickeln können. Da Anbieter zudem in der Regel erst lange nach dem Entstehen von Sicherheitslücken davon erfahren, verfügen sie nicht immer über einen wirksamen Patch. Oftmals können sie lediglich vorübergehende Vorschläge zur Anpassung der Konfiguration unterbreiten, bis
ein Update bereitstellt.

Bischoping empfiehlt, ein Leitfaden zu erstellen und diesen regelmäßig zu aktualisieren, der unter anderem folgende Themen abdeckt:

• Wie verschiedene Zero-Day-Warnmeldungen unter priorisiert werden , um entsprechende Maßnahmen zu ergreifen
• Wer wird über benachrichtigt – – und wann – sowohl innerhalb als auch außerhalb der Organisation?
• Welche technischen Maßnahmen werden ergriffen, um mehr zu erfahren und jede Bedrohungsstufe zu beheben?
• Welche IT-Systeme von werden aufgrund ihrer geschäftskritischen Bedeutung zuerst behandelt?
• Welche Prüfungsmaßnahmen werden ergriffen, um Führungskräften, Investoren und Aufsichtsbehörden nachzuweisen, dass angemessene Schritte zur Bewältigung des Problems unternommen wurden?

„Wenn Sie jetzt alle Anstrengungen unternehmen, werden Sie, sobald die Alarmglocken der Stufe 5 läuten, die Gewissheit haben, dass das meiste, was Sie tun müssen, bereits in Ihrem Leitfaden steht“, sagt Bischoping.

Zero-Day-Angriffe sind keine ausgemachte Sache. Sie haben zwar möglicherweise keine Auswirkungen auf die meisten Organisationen, werden aber dennoch nicht verschwinden.

„Der Kampf ist noch nicht vorbei. „Wir alle werden weiterhin gegen Zero-Day-Angriffe vorgehen müssen“, sagt Lauro von Akamai. „Im Grunde genommen war der einzige einfache Tag der gestrige.“