Auf 31. Dezember 2020 rückt eine Frist näher, auf die man sich seit drei Jahren vorbereitet hat. Zu diesem Zeitpunkt wird Adobe den Support für Flash einstellen. Was bedeutet das nun für die IT-Abteilung eines Unternehmens und für uns alle als Einzelpersonen?
Das bedeutet, dass Sie Vorsicht walten lassen sollten, da etwaige Sicherheitslücken, die Flash derzeit aufweist, mit der Veröffentlichung von „ 1. Januar“ nicht behoben werden. Und es gibt zahlreiche böswillige Akteure, die nur darauf warten, diese auszunutzen. Hier erfahren Sie, was Sie wissen müssen, um Ihr Unternehmen und sich selbst zu schützen.
War Flash jemals wirklich sicher?
Als Steve Jobs im Jahr 2010 seinen mittlerweile berühmten Artikel „ : Gedanken zu Flash“ (wird in einem neuen Tab geöffnet) verfasste, läutete dies den Untergang einer Anwendung ein, die auf dem Höhepunkt ihrer Popularität auf fast einer Milliarde Endgeräten lief. Es ist anzumerken, dass die Sicherheit bei Jobs’ Ablehnung von Flash nur eines von mehreren Problemen war, die er mit der Anwendung hatte.
Seitdem haben sich viele Websites für die Bereitstellung animierter und interaktiver Inhalte auf HTML5 umgestellt, sodass die Anzahl der Flash-Installationen allmählich zurückgegangen ist. Darüber hinaus haben sich die Browser-Anbieter auf offene Standards umgestellt, und die meisten haben die Ausführung von Flash aufgrund der zahlreichen Sicherheitslücken, die dadurch entstehen können, blockiert.
Dennoch gibt es nach wie vor viel Flash – oder zumindest Fragmente davon – in Betriebssystemen, auf Websites, als Teil von Unternehmensanwendungen hinter der Firmenfirewall sowie auf den Computern der Nutzer.
Was machte Flash so anfällig für Sicherheitsprobleme?
Nicht nur Flash blickt in puncto Sicherheit auf eine wechselvolle Geschichte zurück. Laut Boyd White, Leiter des Bereichs Technical Account Management bei Tanium, hat Adobe im Laufe der Jahre zahlreiche Produkte mit Sicherheitslücken auf den Markt gebracht.
Was Flash betrifft, so sagt er: „Ich glaube, es wurde in erster Linie als funktionales Werkzeug entwickelt, und Adobe schien der Sicherheit einfach keine Priorität einzuräumen.“ Sie wurden zurechtgewiesen, ähnlich wie Microsoft vor etwa 25 Jahren. „Adobe Flash hat jedoch nie die erforderlichen Sicherheitsmaßnahmen implementiert, um Produkte auf den Markt zu bringen, die keine Ausnutzung aus der Ferne zulassen.“
Auch mehrere Übernahmen durch Adobe trugen zu diesem chaotischen Vorgehen bei.
„Flash war ursprünglich ein völlig anderes Produkt“, fügt White hinzu. „Wenn man also eine Code-Basis übernimmt, versucht man eigentlich immer nur, sie zum Laufen zu bringen.“
White gibt in diesem Sicherheitshinweis zu „ “ (wird in einem neuen Tab geöffnet) in der Tanium-Community einen technischen Überblick darüber, wie mit dem Ende des Supports für Flash umzugehen ist.
Warum sind die Risiken im Zusammenhang mit Flash nach dem Ende des Supports größer?
Die Risiken sind umso größer, als nach Ablauf des Supports etwaige Sicherheitslücken niemals behoben werden. Und da es Flash schon seit langer Zeit gibt, findet man Beispiele dafür überall. Wenn Sie beispielsweise Windows 10 auf einem neuen Computer installieren, sind im Betriebssystem noch Reste davon vorhanden. Es reicht schon, wenn ein gewiefter Angreifer einen ahnungslosen Benutzer dazu verleitet, auf etwas zu klicken, das eine latent anfällige Dynamic Link Library (DLL) auf einem Rechner startet – und schon ist es soweit: die Ausführung von Code aus der Ferne.
Es ist schwierig, jede Stelle im Code, die Sie in einem System nicht mehr benötigen, aufzufinden und zu entfernen. Deinstallationsprogramme entfernen häufig nicht alle Rückstände. Sie können DLL-Dateien, ausführbare Dateien, Registrierungsschlüssel oder Berechtigungen hinterlassen. Selbst wenn Sie also ein Flash-Deinstallationsprogramm ausführen, können dennoch Probleme auftreten.
Gibt es noch sinnvolle Anwendungsmöglichkeiten für Flash?
Zweifellos gibt es nach wie vor einige legitime Anwendungsbereiche für Flash. Beispielsweise könnten einige Berichtsanwendungen im Bereich der Unternehmensressourcenplanung (ERP) Flash verwenden. Unternehmen können Flash dort deinstallieren, wo es nicht benötigt wird, und es dort beibehalten, wo es eine Funktion erfüllt, die nicht durch eine andere Anwendung ersetzt werden kann.
Dies erschwert jedoch den Prozess und erhöht die Risiken. Es ist nicht einfach, alle Nutzer einer Anwendung zu erfassen. Tanium-Kunden können das Modul „ “ unter „Deploy“ (wird in einem neuen Tab geöffnet) nutzen, um Adobe Flash zu entfernen, wobei den Benutzern die Möglichkeit geboten wird, die IT-Abteilung zu benachrichtigen, falls sie eine berechtigte Nutzung haben. Dadurch wird Ihr Risiko begrenzt.
Wenn es um Sicherheit geht, gibt es keine Perfektion. Je mehr Adobe Flash Sie jedoch aus Ihrer Umgebung entfernen, desto sicherer ist diese.
Vier Tipps zur Minimierung der Risiken von Flash in Ihrer Umgebung
Da wir uns bewusst sind, dass es keine einheitliche, perfekte Strategie oder Taktik für den Umgang mit Flash gibt, empfehlen wir Folgendes:
- Umfragen: Führen Sie in jeder Abteilung Ihres Unternehmens eine Umfrage zur Nutzung und zum Bedarf an Flash durch. Sie können auch Entwickler von Webanwendungen und Beauftragte für Informationssicherheit in Unternehmen (BISOs) befragen. Bei Umfragen ist es stets eine Herausforderung, die Teilnehmer zur Teilnahme zu bewegen; betonen Sie jedoch, dass eine durch Flash verursachte Sicherheitslücke dem Ruf und dem Geschäftsbetrieb des Unternehmens schaden wird.
- Tanium-Module „Deploy“ und „Patch“: Für Tanium-Kunden können unsere Module „Deploy“ und „ “ (wird in einem neuen Tab geöffnet) dabei helfen, Flash-Sicherheitslücken zu identifizieren und zu beheben.
- Tanium Comply: Kunden von Tanium sollten weiterhin mit Tanium Comply (wird in einem neuen Tab geöffnet) nach Schwachstellen suchen. Sollte nach Ablauf der Supportfrist eine neue Sicherheitslücke in Adobe Flash bekannt werden, wird Tanium Comply aktualisiert und unterstützt Sie dabei, betroffene Systeme zu identifizieren und zu überwachen.
- Deinstallationsprogramme von seriösen Anbietern: Vergewissern Sie sich, dass Ihre Organisation die gesamte Flash-bezogene Software entfernt hat, nicht nur die Flash-Basisanwendung. Dazu gehört auch das Deinstallationsprogramm für Adobe Flash.
Die Risiken von Flash werden nach und nach abnehmen
Laut White und anderen Experten wird die Identifizierung und Behebung von Flash-Sicherheitslücken Monate, wenn nicht sogar Jahre in Anspruch nehmen.
„Solange die Betriebssysteme nicht vollständig neu entwickelt werden, werden in den Systemen vieler Organisationen noch Überbleibsel vorhanden sein“, sagt White. „Die Risiken werden jedoch im Laufe der Zeit deutlich geringer sein.“
In der Zwischenzeit müssen Organisationen und Einzelpersonen wachsam bleiben. Achten Sie beispielsweise auf bestimmte Dateiendungen wie .swf (Shockwave-Datei), die auf Flash hinweisen. Jeder Link, der den Nutzer dazu auffordert, in einem Flash-Programm auf „Hier klicken“ zu klicken, ist potenziell ein Phishing-Versuch vom Typ „ “ ( ), durch den Malware auf Ihr Gerät oder in Ihr Unternehmensnetzwerk gelangen kann.
Nicht unterstützte Anwendungen sind nicht nur ein Problem von Adobe Flash
White weist darauf hin, dass das Ende der Lebensdauer (EOL) einer Anwendung und das Ende des Supports nicht nur bei Flash ein Problem darstellen. Sobald ein Produkt nicht mehr weiterentwickelt wird, besteht stets die Möglichkeit, dass es unbekannte Sicherheitslücken aufweist. Wenn der Support also endet, können diese Sicherheitslücken auf Dauer ausgenutzt werden, da es dafür keinen Patch gibt – und es auch niemals einen geben wird.
„Die öffentliche Aufmerksamkeit rund um das Ende des Supports für Flash bietet eine gute Gelegenheit, darüber nachzudenken, wie Sie generell mit dem Ende der Lebensdauer von Anwendungen und Betriebssystemen umgehen“, sagt White. „Es muss keine besonders bekannte Anwendung sein, um böswilligen Akteuren Möglichkeiten zu bieten.“
Große Unternehmen nutzen Hunderte, wenn nicht gar Tausende von Anwendungen, deren Lebensdauer voraussichtlich irgendwann enden wird. Und wenn ein Unternehmen mit einem anderen fusioniert oder dieses übernimmt, verstärkt dies das Ausmaß und die Komplexität dieses Problems. Die damit verbundene Gefahr kann enorm sein.
„Ich denke, die Lehre aus dieser Geschichte lässt sich auf grundlegende IT-Sicherheitsmaßnahmen zurückführen“, sagt White. „Machen Sie sich ein Bild davon, was sich in Ihrem Netzwerk befindet und warum.“ „Wenn Ihnen diese Transparenz fehlt, sind Sie definitiv einem Risiko ausgesetzt.“
Und dies ist im Zusammenhang mit Fusionen und Übernahmen umso dringlicher. Es wäre unerlässlich zu wissen, wie der Software-Stack des übernommenen Unternehmens aussieht und welche Sicherheits- oder Leistungsrisiken Ihr Unternehmen möglicherweise übernimmt.
„Wenn Sie beschließen, eine Anwendung nicht mehr zu nutzen, oder wenn diese das Ende ihrer Lebensdauer (EOL) erreicht, reichen die damit verbundenen Sicherheitsfolgen weit über die ursprünglichen Funktionen der Software hinaus“, fügt White hinzu.
Unabhängig von der geschäftlichen Situation Ihres Unternehmens ermöglicht die Tanium-Plattform das Auffinden und Entfernen veralteter oder risikobehafteter Software wie Adobe Flash wesentlich schneller und einfacher als herkömmliche Methoden.
„Tanium bietet die Transparenz und Kontrolle, die für die Verwaltung der Anwendungen auf Ihren Geräten so unerlässlich sind, um sicherzustellen, dass diese sicher sind und so effizient wie möglich funktionieren“, sagt White. „Flash ist nur das jüngste Beispiel, doch die genaue Beobachtung der Gerätesoftware ist für jedes digitale Unternehmen eine ständige und unverzichtbare Aufgabe.“
Eine Schritt-für-Schritt-Anleitung zum Auffinden und Entfernen des Adobe Flash Players mit Tanium finden Sie unter . Lesen Sie dazu den Artikel von White mit dem Titel „ “ (wird in einem neuen Tab geöffnet) unter in der Tanium-Community.
