Als der Log4j -Sicherheitsfehler (eröffnet in einer neuen Registerkarte) seinen hässlichen Kopf auf den Kopf stellte und es Cyberkriminellen ermöglichte, gefährdete Computernetzwerke mit einer einzigen Codezeile zu durchdringen, schien es sich um eine einmalige Cybersicherheitsbedrohung zu handeln, eine nukleare Zero-Day-Schwachstelle, die sofort gepatcht werden musste.
Aber bevor Sie dann déjà vu sagen konnten, kam der Nulltag Spring4Shell (eröffnet in einer neuen Registerkarte), der mehr Schlagzeilen erfasste, leitende Führungskräfte in Panik versetzte und Sicherheitsteams in 7.12. Overdrive entsandte.
Die Zeiten haben sich sicherlich geändert. Früher waren es kriminelle Hacker, die solche Nulltage (Codefehler, von denen ein Softwareersteller oder -anbieter nicht weiß, dass sie existieren, bis sie gefunden oder ausgenutzt werden) alle ein paar Jahre zuverlässig ausnutzen würden.
Jetzt, da Unternehmen und Regierungen zunehmend auf Software von Drittanbietern angewiesen sind, um Netzwerke und organisatorische Apps auszuführen, werden diese Zero-Days immer häufiger und schwerwiegender.
Bleibt auf der Jagd!
Aber IT-Sicherheitsexperten – und die Führungskräfte und Vorstände, auf die sie antworten – fragen sich: Sind Zero-Days wirklich steigend und verschlechtern sich? Oder werden Sicherheitsforscher und die Bug-Bounty-Jäger, die diese Fehler ausräumen, einfach besser an ihrem Job?
„Jeder Nulltag ist kein kritisches All-Hands-Szenario.“Melissa Bischoping, Leiterin der Endpunktsicherheitsforschung, Tanium
Melissa Bischoping, eine Direktorin für Endpunktsicherheitsforschung bei Tanium, glaubt, dass dies die Letztere ist. „Mehr Zero-Days werden angezeigt, zum Teil, weil so viele Menschen jetzt nach ihnen suchen“, sagt Bischoping, der auch Workshops zur Bedrohungsjagd durchführt. „Jeder Zero-Day ist kein kritisches All-Hands-Szenario. Die drohende Bedrohung der „großen“ hält Sie nachts wach, aber das ist nur ein Bruchteil der Nulltage, die wir sehen. Ich empfehle den Mitarbeitern, entsprechend auf der Grundlage des Schweregrads zu bewerten und zu reagieren, nicht nur auf der Tatsache, dass es sich um einen Nulltag handelt.“
Dennoch warnt sie, dass es für Sicherheitsexperten entscheidend ist, auf der Jagd zu bleiben. Angesichts der Art und Weise, wie kriminelle Hacker eine einzige Schwachstelle gegen weitverbreitetes Chaos wappnen können (siehe SolarWinds -Hack und seine Auswirkungen auf Unternehmen und Regierungen), ist es der Schlüssel zur Netzwerksicherheit, den Überblick über Zero-Days zu behalten.
Zero-Day-Exploits werden immer schwerwiegender
Steve Wilson, Chief Product Officer bei Contrast Security, der eine einheitliche Plattform bietet, um Entwicklern dabei zu helfen, sicherer zu codieren, sieht einen Anstieg der Anzahl und Schwere von Zero-Day-Exploits auf der Anwendungsschicht, auf der Contrast seine Arbeit konzentriert. Ein wichtiger Grund, sagt er, ist, dass ein Großteil des Softwarecodes, den Unternehmen heute verwenden, tatsächlich vor vielen Jahren oder sogar Jahrzehnten geschrieben wurde. Apache Log4j, eine Java-Bibliothek, hat eine 20 Jahre alte Geschichte und wird weitgehend von Freiwilligen gepflegt (öffnet sich in einer neuen Registerkarte), merkt Wilson an.
„Viele der grundlegenden Annahmen in diesen Bibliotheken wurden in einer Zeit getroffen, in der Entwickler weniger darüber wussten, wie sie sicheren Code erstellen“, sagt Wilson. „Hacker sehen sich jetzt diese älteren, stark eingesetzten Ökosysteme an, in denen die Chinas in der Rüstung massive Auswirkungen haben können.“
Eine wachsende Angriffsfläche
Tony Lauro, Director of Security Technology and Strategy bei Akamai Technologies, stimmt zu, dass Zero-Day-Bedrohungen für die absehbare Zukunft bestehen bleiben werden, zum großen Teil, weil so viele Unternehmen digitalisieren, in die Cloud wechseln (in einer neuen Registerkarte öffnen) und Mitarbeiter von einer Vielzahl von Endpunktgeräten aus remote arbeiten lassen (in einer neuen Registerkarte öffnen).
„Leider werden wir sehen, dass dieses Problem schlimmer wird, bevor es besser wird, da es mehr verfügbare Angriffsflächen für Angreifer gibt“, sagt Lauro. „Und mit allen neuen Generationen, die online kommen, gibt es bestimmt auch mehr Pools von Opfern.“
Darüber hinaus könnten Zero-Day-Exploits zunehmen, da sie zu Geldgebern für die Cyber-Unterwelt werden. NSA-Direktor für Cybersicherheit Rob Joyce sagte einem Gremium auf der diesjährigen RSA-Konferenz, dass Ransomware-Gangs ihre Gewinne nutzen, um Zero-Day-Exploits zu kaufen , und dass seine Agentur besorgt ist, wie schnell Kriminelle neu offengelegte Softwareschwachstellen nutzen können.
Der Himmel fällt nicht – bis er
Obwohl einige Zero-Day-Exploits bedrohlicher erscheinen als sie wirklich sind, müssen IT-Sicherheitsabteilungen sie alle ernst nehmen und ihr Möglichstes tun, um sie zu verteidigen.
„Sie erhalten 150 000 verschiedene Warnungen über verschiedene Schwachstellen, und das kann fast betäubend sein.“Frank Dickson, Group Vice President, IDC
Einige Sicherheitsteams werden bei diesem Ansatz balken. Sie haben Jahre damit verbracht, Anbieter, Forscher und Softwareentwickler zu hören, die neue Nulltage markieren, die als große Nichts-Burger enden. Außerdem sind die meisten Sicherheitsteams überbesetzt, unterbesetzt und unterfinanziert. Daher neigen sie dazu, nicht dringende Alarme zu ignorieren.
„Es ist „Alarmermüdung (wird in einer neuen Registerkarte geöffnet)“, sagt Frank Dickson, Group Vice President bei IDC. „Sie erhalten 150 000 verschiedene Warnungen über verschiedene Schwachstellen, und das kann fast betäubend sein.“
Dickson sagt, Unternehmen müssen solche Frustrationen zuerst angehen. Sie müssen auch die Bedrohung beheben, die Zero-Days darstellt, indem sie einige offensichtliche und weniger offensichtliche Änderungen in ihrer Cyberhygiene vornehmen (öffnet sich in einer neuen Registerkarte), wie z. B.:
- Effektive Patches bereitstellen – beim ersten Mal. Dieser ist bei den Softwareanbietern. Tatsächlich werden viele Zero-Days-Google oft zuvor gepatcht (öffnet sich in einer neuen Registerkarte), schrieb Maddie Stone, eine Sicherheitsforscherin von Project Zero (öffnet in einer neuen Registerkarte). Was die Prävention betrifft? Stone beobachtete, dass mindestens die Hälfte der Nulltage, die sie untersuchte, „mit umfassenderen Patching- und Regressionstests hätte verhindert werden können“. Es ist ein bisschen wie eine Feuerwehr, die einen Brand löscht, aber Gluten fehlt, die schließlich Wind fangen und sich in einen ganz neuen Brandsturm verwandeln könnten. „Die Möglichkeit, korrekt und umfassend zu patchen, ist nicht nur ein Wechsel: Es erfordert Investitionen, Priorisierung und Planung. Es erfordert auch die Entwicklung eines Patching-Prozesses, der sowohl den schnellen Schutz von Benutzern als auch die Sicherstellung einer umfassenden Lösung ausbalanciert.“
- Wissen Sie, was Sie haben. Sie können nicht schützen oder patchen, was Sie nicht sehen können, und Umfragen haben gezeigt, dass viele CIOs keine Visibilität (öffnet sich in einer neuen Registerkarte) in all ihre lokalen und cloudbasierten Assets haben. Als Erstes fragt eine gerüschte C-Suite-Führungskraft einen CISO oder CIO, wenn ein Zero-Day-Ausfall ausbricht: „Wie sehr muss ich mich um diesen kümmern?“ und „Ist dies für uns das Ende der Welt oder nicht?“ sagt Bischoping von Tanium. Hier kann eine starke Datenbeobachtbarkeit und Endpunktmanagementplattformen (öffnet sich in einer neuen Registerkarte) entscheidend sein. Sie können CIOs und ihren Teams dabei helfen, Lücken über Datensilos hinweg zu schließen, zu sehen, was mit Endpunkten vor sich geht, und das Niveau der Zero-Day-Exposition schneller zu bestimmen.
Übrigens gibt es viele wertvolle Asset-Management-Tools der Enterprise-Klasse, die dabei helfen können, aber ebenso wichtig ist es, die Kultur der Depriorisierung von Cybersicherheit und Hygiene der Geschwindigkeit halber anzugehen.
- Stoppen Sie das Codierungs-Schuldspiel. Schwachstellen passieren. Sie werden es immer tun. Aber sie treten häufiger auf, wenn Produktmanager oder Vermarkter Entwickler dazu zwingen, Code so schnell zu schreiben, dass keine Zeit für eine Sicherheitsüberprüfung oder -behebung bleibt. Produktzeitpläne basieren auf der Markteinführung eines Produkts. Cybersicherheit ist oft ein Kontrollkästchen gegen Ende dieses Prozesses.
„Wir werden alle weiterhin gegen Zero-Days kämpfen müssen. Der einzige einfache Tag war gestern.“Tony Lauro, Direktor für Sicherheitstechnologie und Strategie, Akamai Technologies
Dickson sagt, das muss sich ändern. Organisationen müssen Anreize für Softwareentwickler schaffen, um harte Sicherheitsziele zu erreichen. „Entwickler werden heute für ihre Fähigkeit entschädigt, Produkte innerhalb einer Frist zu liefern und den Umsatz zu steigern, aber wir entschädigen sie nicht unbedingt für sichere Codierung“, sagt er. „Wir sollten. Das Vorantreiben eines Sicherheitsparadigmas von oben nach unten in Organisationen ist äußerst wichtig.“
Bischoping fügt hinzu, dass es auch entscheidend ist, zu vermeiden, Entwickler mit einem Stick zu treffen, wenn gelegentlich Schwachstellen auftreten und null Tage werden. „Wir müssen diese Kultur der Schuldzuweisung stoppen, wenn ein Verstoß vorliegt“, sagt sie. „Ja, Sie möchten in der Lage sein, zurückzugehen und zu bestimmen, ob der Code schlecht geschrieben wurde, und zu sehen, ob die Prozesse befolgt wurden. Aber ein punitive Ansatz ist kontraproduktiv und löst nicht wirklich etwas. Sie müssen sich stattdessen darauf konzentrieren, die Lücken zu verstehen, die die Schwachstelle eingeführt haben, und wie Sie sich mit jeder Grundursachenanalyse kontinuierlich verbessern können.“
- Ziehen Sie das Angriffsflächenmanagement in Betracht. CIOs vergrößern die Angriffsfläche (öffnen in einer neuen Registerkarte) jedes Mal, wenn sie einen neuen Cloud-Dienst einführen oder mehr Endpunkte bereitstellen, um das Geschäftswachstum und die digitale Transformation zu unterstützen. Dickson von IDC sagt, einer der neueren Ansätze, die für die Bekämpfung von Zero-Days in Betracht gezogen werden sollten, ist das Angriffsflächenmanagement (ASM). Dies ist definiert als die kontinuierliche Erkennung, Bestandsaufnahme, Klassifizierung und Überwachung der IT-Infrastruktur eines Unternehmens. Sie versucht, sich diese Sicherheitsaufgaben aus der Perspektive eines Angreifers vorzustellen. Diese Tools pingen Netzwerke ständig und automatisch, wie es ein Hacker tun könnte, und suchen nach potenziellen Angriffsvektoren.
- Erstellen Sie ein lebendiges Zero-Day-Playbook. Viele Unternehmen haben heute Playbooks für das, was sie tun werden, wenn sie von einem Ransomware- Angriff getroffen werden (der in einer neuen Registerkarte geöffnet wird). Sie sind oft eine kollaborative Anstrengung von Geschäfts-, Finanz-, Rechts-, Personal- und technischen Mitarbeitern. Sie benötigen auch einen spezifischen Vorfallreaktionsplan (eröffnet in einer neuen Registerkarte) für Nulltage.
Dies ist hauptsächlich auf die unvorhergesehene Natur von Nulltagen zurückzuführen, die oft innerhalb weniger Tage von Schwachstellen in Exploits und Angriffe übergehen kann. Darüber hinaus haben Anbieter, da sie in der Regel lange nach ihrer Erstellung über Schwachstellen erfahren, nicht immer einen effektiven Patch bereit. Oftmals ist das Beste, was sie tun können, temporäre Vorschläge zur Konfigurationsoptimierung anzubieten, bis
eine Aktualisierung aussteht.
Bischoping empfiehlt, ein Playbook zu erstellen und ständig zu aktualisieren, um Themen wie:
- Wie verschiedene Zero-Day-Warnungen für Aktionen priorisiert werden
- Wer wird benachrichtigt und wann – sowohl innerhalb als auch außerhalb des Unternehmens
- Welche technischen Schritte werden unternommen, um mehr zu erfahren und jede Bedrohungsstufe zu lösen?
- Welche IT-Systeme werden zuerst auf der Grundlage ihrer Kritikalität für das Unternehmen angesprochen?
- Welche Prüfungsmaßnahmen werden ergriffen, um Führungskräften, Investoren und Aufsichtsbehörden des Unternehmens zu zeigen, dass angemessene Schritte zur Bewältigung des Problems ergriffen wurden
„Wenn Sie jetzt die ganze Arbeit erledigen, wenn die fünf Alarmglocken losgehen, können Sie sicher sein, dass das meiste von dem, was Sie tun müssen, genau dort in Ihrem Playbook ist“, sagt Bischoping.
Zero-Day-Angriffe sind keine weglassende Schlussfolgerung. Sie betreffen vielleicht die meisten Organisationen nicht, aber sie gehen nicht weg.
„Der Kampf ist nicht abgeschlossen. Wir alle müssen weiterhin gegen Zero-Days kämpfen“, sagt Lauro von Akamai. „Der einzige einfache Tag war gestern im Wesentlichen.“
