Der „Patch Tuesday“ – der Tag, an dem Microsoft seine Software-Updates veröffentlicht – findet einmal im Monat wie am Schnürchen statt. Das weiß fast jeder (zumindest in der Welt der Cybersicherheit), daher sollte man meinen, dass IT-Teams ihre Systeme aktualisieren würden, sobald sie die Warnmeldung erhalten.
Nur tun sie das nicht. Eine kürzlich von Synopsys durchgeführte Studie mit dem Titel „ “ ( ) ergab, dass 28 % der IT-Fachkräfte mindestens drei Wochen benötigen, um kritische Sicherheitslücken zu beheben, während weitere 20 % zugeben, dass sie dafür bis zu einem Monat benötigen.
In einer Zeit, in der Angreifer neue Angriffe entwickeln, die auf Sicherheitslücken abzielen, setzt diese zögerliche Herangehensweise an das Patch-Management bei „ “ unzählige Netzwerke und Daten einem erhöhten Risiko aus. Es ist so, als würde man ein Auto fahren, bei dem die Wartungsanzeige leuchtet: Man weiß, dass ein Problem vorliegt, doch da das Auto noch fährt, neigt man leicht dazu, die Reparatur aufzuschieben.
Es kann Wochen oder Monate dauern, bis ein Fahrzeug ausfällt, nachdem die Wartungsanzeige aufgeleuchtet ist. Im Bereich der Sicherheit haben Sie, sobald die Patch-Meldung eintrifft, nur wenige Sekunden Zeit, um das Problem zu beheben – sofern es nicht bereits zu spät ist –, da die Angreifer kontinuierlich nach bekannten Schwachstellen suchen.
„Selbst wenn Sie sich hinter einem Unternehmensnetzwerk befinden und alles durch eine Firewall geschützt ist, ist es nur eine Frage der Zeit, bis jemand in den Perimeter eindringt und diese Schwachstelle entdeckt“, sagte David Brumley, Berater einer Behörde für Software-Sicherheitsinformationen, Professor für Cybersicherheit an der Carnegie Mellon University und Geschäftsführer von ForAllSecure. „Aus Sicherheitsgründen sollten Sie Patches so schnell wie möglich installieren.“
Gründe für die langsame Bereitstellung von Patches
Im vergangenen Jahr sahen sich IT- und Sicherheitsteams mit Sicherheitslücken wie MOVEit, einer Zero-Day-Schwachstelle bei der Dateiübertragungs- , die es Angreifern ermöglichen könnte, die Kontrolle über ein System zu erlangen; curl, einem Zero-Day-Angriff auf ein Open-Source-Tool, das zur Datenübertragung URL-Syntax verwendet; sowie dem Apache Superset -Exploit, einer Zero-Day-Schwachstelle, die Konfigurationen und Datenbanken offenlegt, konfrontiert. Zwar wurden jährlich weniger als 100 neue Zero-Day-Angriffe verzeichnet, doch richten diese in der Regel überproportional großen Schaden an, da sie nicht nur auf eine einzelne Organisation abzielen, sondern auf alle, die die betreffende Software nutzen. Die Möglichkeit, mit minimalem Aufwand so viele Ziele zu treffen, macht diese Methode zu einem beliebten Angriffsweg für Nationalstaaten und Cyberkriminelle.
“Selbst wenn Sie sich hinter einem Unternehmensnetzwerk befinden und dieses durch eine Firewall geschützt ist, ist es nur eine Frage der Zeit, bis jemand in den Sicherheitsperimeter eindringt und diese Schwachstelle entdeckt.“David Brumley, Berater für Softwaresicherheit und Professor an der Carnegie Mellon University
Warum brauchen IT- und Sicherheitsteams dann so lange, um Patches zu installieren, sobald diese veröffentlicht werden?
Die erste Herausforderung betrifft die Transparenz im Bereich „ “ (): Sicherheitsteams müssen die Anzahl und die Arten von Ressourcen sowie Endgeräten kennen, die tatsächlich in einem Netzwerk genutzt werden – sowohl die offiziell vom Unternehmen genehmigten Geräte als auch die vielen anderen Geräte und Anwendungen, die Mitarbeiter eigenmächtig einbringen. Die Sicherheitslücke könnte beispielsweise in der „ “ oder in „Shadow-IT“- n liegen, die von Mitarbeitern genutzt, dem IT-Personal jedoch nicht offengelegt werden. Oder das DevOps-Team nutzt möglicherweise Umgebungen, die auf nicht unterstützten Tools basieren.
Ein zweiter Faktor, der die Installation von Patches verzögert, hängt mit der Transparenz der Software zusammen – insbesondere mit den Komponenten innerhalb der Software, in denen die Sicherheitslücke liegt. Allzu oft stellen Sicherheitsteams bei der Bekanntgabe einer Zero-Day-Sicherheitslücke fest, dass sie nicht genug über ihre Software-Lieferkette wissen, und müssen dann in aller Eile prüfen, ob eine infizierte Komponente in einer der in ihrem Netzwerk verwendeten Anwendungen integriert ist.
[Lesen Sie auch: 7 Möglichkeiten, Ihre Software-Lieferkette zu schützen]
Genau das ist in Dezember 2021 geschehen, als eine Zero-Day-Sicherheitslücke in Apache Log4j entdeckt wurde, der beliebten Open-Source-Java-Logging-Bibliothek, die in Zehntausenden von Anwendungen zum Einsatz kommt. Kurz darauf wurden Patches veröffentlicht, und dennoch hat auch mehr als zwei Jahre später eine erschreckend hohe Zahl von Unternehmen die Sicherheitslücke noch immer nicht behoben. (Eine aktuelle Umfrage von „ “ ( ) ergab, dass 38 % der Apps, die Log4j verwenden, auf einer unsicheren Version basieren.)
Um diese problematischen Komponenten zu identifizieren, greifen Unternehmen zunehmend auf eine Software-Stückliste (Software Bill of Materials, SBOM) von zurück, in der die Komponenten oder Bestandteile aller von einem Unternehmen genutzten Softwareanwendungen und -programme aufgeführt sind. „Denken Sie an die verschiedenen Dinge in Ihrer Speisekammer“, erklärte Melissa Bischoping, Leiterin der Endpoint-Sicherheitsforschung bei Tanium (dem Eigentümer dieses Magazins). Jede Zutat in jedem Produkt wird von den Lebensmittelherstellern genau nachverfolgt, was es ihnen ermöglicht, – beispielsweise im Falle eines Ausbruchs von Listerien oder E. coli – genau festzustellen, wann und wo eine kontaminierte Zutat in ihr Produkt eingearbeitet wurde. Ebenso erleichtert eine SBOM die Nachverfolgung der Komponenten einer Software-Builds und sorgt dafür, dass diese Informationen bei der Entdeckung einer Sicherheitslücke schneller verfügbar sind.
Ein dritter möglicher Grund für die langsame Bereitstellung von Patches ist geschäftlicher Natur.
„Der Geschäftsbetrieb muss weiterlaufen, und viele Systeme erfordern Ausfälle, Betriebsunterbrechungen oder Neustarts“, sagte Bischoping. „Dies kann zu Widerstand seitens der Geschäftsinhaber oder der Betriebsteams führen, die argumentieren, dass die Installation des Patches noch warten müsse.“
Dann gibt es Fälle, in denen eine Sicherheitslücke bekannt ist und die Führungskräfte des Unternehmens darüber informiert sind und sich zur Installation des Patches verpflichtet haben, jedoch nichts unternommen werden kann, bis der Anbieter diesen Patch veröffentlicht. Dies stellt insbesondere bei Open-Source-Software oder Systemen, die Open-Source-Komponenten verwenden, ein Problem dar.
„Man muss abwarten, bis die Anbieter ihre Software aktualisieren“, fügt Bischoping hinzu. „Das bedeutet, dass wir abwarten müssen, bis ein ganzes Ökosystem diese Updates zur Verfügung stellt, und anschließend die entsprechenden Prozesse, Technologien und Richtlinien einrichten müssen, um die Updates in unserer Umgebung zu ermöglichen.“
Warum eine Phase der Verlangsamung manchmal so verlockend ist
Manche, die das Installieren von Patches hinauszögern, behaupten, sie hätten eine Entschuldigung: Sie befürchten, dass die sofortige Installation des Patches letztendlich mehr Schaden anrichten könnte.
“Ausfälle, Betriebsunterbrechungen oder Neustarts … können zu Widerstand seitens der Geschäftsinhaber oder der Betriebsteams führen, die argumentieren, dass die Installation des Patches warten müsse.“Melissa Bischoping, Leiterin der Forschung im Bereich Endpunktsicherheit bei Tanium
„Durch das Patchen entstehen Unwägbarkeiten“, sagte Brumley. Als Benutzer wissen Sie nicht, wie lange das Upgrade dauern wird, ob durch die Installation des Patches Systemstörungen auftreten werden oder welches Problem Sie damit beheben oder verhindern.
Aus Sicht eines Entwicklers kann es eine Herausforderung sein, die Stabilität des bestehenden Codes aufrechtzuerhalten. „Als Sie den Code geschrieben haben, hat er einwandfrei funktioniert. „Wenn Sie nun jedoch ein Update durchführen müssen, weiß der Entwickler nicht, an welcher Stelle die Abhängigkeit eine neue Instabilität aufweist“, merkte er an.
Entwickler erhalten widersprüchliche Anweisungen, wenn sie aufgefordert werden, einen Patch zu installieren. Zum einen geht es darum, alle anfälligen Komponenten so schnell wie möglich zu aktualisieren, und zum anderen darum, sicherzustellen, dass nichts ausfällt. „Letzteres“, fügte Brumley hinzu, „ist der Maßstab, an dem Entwickler ihre Arbeit messen – sie möchten soliden Code erstellen, anstatt ihn später korrigieren zu müssen.“
Um die Entwickler etwas zu entlasten und die Versuchung zu verringern, abzuwarten, bis die Auswirkungen von Patches überprüft sind, könnten (und sollten) IT- und Sicherheitsteams einen Ansatz verfolgen, der auf „ “ und „Security-by-Design“ basiert . Dieser Ansatz zielt darauf ab, Schwachstellen durch kontinuierliche Tests und die Integration von Authentifizierungsmaßnahmen in den Entwicklungsprozess so weit wie möglich zu beseitigen. Die nationale Cybersicherheitsstrategie „ “ (), die im Jahr 2023 vom Weißen Haus veröffentlicht wurde, empfiehlt Organisationen nachdrücklich, „Security-by-Design“-Protokolle einzuführen. Nach Angaben der Cybersecurity and Infrastructure Security Agency (CISA) lassen sich die Lücken in der Cybersicherheit – einschließlich der Zeitspanne zwischen der Veröffentlichung eines Patches und dessen Installation – durch das Prinzip „Secure by Design“ besser schließen.
Solange wir noch nicht den Punkt erreicht haben, an dem „Security-by-Design“ in allen Organisationen zur Norm geworden ist, benötigen wir einen Prozess, der für IT-, Sicherheits- und Entwicklungsteams geeignet ist, um sicherzustellen, dass die Bereitstellung von Patches zügiger voranschreitet.
Die Patch-Verwaltung beginnt mit Richtlinien
Im Gegensatz zu einer Privatperson, die an ihrem Heimcomputer sitzt und Updates für Chrome und Windows installiert, beginnt die Umsetzung von Patches in einem Unternehmensumfeld laut Kyle Miller, Partner in der globalen Datenschutz- und Cybersicherheitsgruppe von Dentons, mit der Erstellung von Richtlinien.
„“Wenn ein Tool 80 % Ihrer Anwendungen überwacht, stellen 20 % Ihrer Anwendungen ein überproportionales Sicherheitsrisiko dar, da sie nicht in Ihrem Patch-Management-Tool erfasst sind.“Kyle Miller, Partner bei Dentons
„Der erste Schritt besteht darin, die Richtlinien und Verfahren für das Patch-Management zu dokumentieren“, sagte Miller. Dies gewährleistet eine organisatorische Kontrolle, um sicherzustellen, dass jeder, der den Patch implementiert, über die Erwartungen des Unternehmens informiert ist.
„Die meisten Unternehmen, mit denen ich zusammenarbeite, sehen außerhalb der Geschäftszeiten ein Zeitfenster für die Installation routinemäßiger Patches vor“, sagte Miller. „Sie benötigen jedoch auch ein Verfahren zur Genehmigung der Behebung kritischer Sicherheitslücken, sobald dies erforderlich ist – und manchmal muss dies so schnell wie möglich geschehen.“ Dazu ist es erforderlich, eine Bestandsaufnahme der Systeme durchzuführen, damit Sie potenzielle Risiken und die Quelle des Patches ermitteln können.
Ein Grund dafür, dass Patches außerhalb der Geschäftszeiten installiert werden, ist, dass dadurch die damit verbundenen Ausfallzeiten verringert werden. Und wenn Patches manuell installiert werden – ein zeitaufwändiger Prozess –, ist dies oft der einzige Zeitpunkt, zu dem sich die Sicherheitsteams darum kümmern können.
Dies spricht sowohl für die Automatisierung von „ “ als auch für „“ im Bereich der künstlichen Intelligenz. Die Automatisierung des Patch-Prozesses wird nicht nur den Bedarf an manuellen Eingriffen bei einer ansonsten sich wiederholenden Aufgabe verringern, sondern auch eine schnellere Reaktion auf Updates ermöglichen, was wiederum das Zeitfenster für Sicherheitslücken verkürzt. Die Automatisierung des Patch-Prozesses kann zudem dazu beitragen, die Position des Unternehmens hinsichtlich der Compliance-Ziele zu stärken, indem das Risiko verringert wird, dass ein Exploit zu einer Datenpanne führt. Unternehmen können sich zudem an KI-gestützte wenden, die Schwachstellen anhand kritischer Risiken priorisieren und die Patches entsprechend dieser Priorität bereitstellen können.
Es steht eine Vielzahl von Tools für das Patch-Management zur Verfügung, doch Miller weist darauf hin, dass ein Tool nur dann effektiv sein kann, wenn es auf Ihre spezifischen Anforderungen zugeschnitten ist.
„Wenn ein Tool 80 % Ihrer Anwendungen überwacht, dann stellen 20 % Ihrer Anwendungen ein überproportionales Sicherheitsrisiko dar, da sie nicht in Ihrem Patch-Management-Tool erfasst sind“, sagte Miller. Ebenso sind Patch-Management-Tools, mit denen sich ältere Versionen Ihrer internen Systeme identifizieren lassen, nur dann von Nutzen, wenn ein Mitarbeiter der Sicherheitsabteilung diese Benachrichtigungen prüft und die betreffenden Systeme auf den neuesten Stand bringt.
Allerdings sollten Sie sich auch vor einer übermäßigen Verbreitung von „ “-Tools hüten:. Zu viele Tools können die effektive Patch-Verwaltung und die Cybersicherheit insgesamt sogar beeinträchtigen. Um einen möglichst effektiven Patch-Prozess zu gewährleisten, sollten IT- und Sicherheitsteams die ihnen bereits zur Verfügung stehenden Tools bewerten, Redundanzen und etwaige Lücken identifizieren, die Wirksamkeit jedes einzelnen Tools ermitteln (beheben die Tools überhaupt die Sicherheitsprobleme, mit denen Sie derzeit konfrontiert sind, oder sind sie mit den derzeit eingesetzten Systemen kompatibel?) und festlegen, wie die Tools manuelle Aufgaben mithilfe von automatisierten Patch-Prozessen am besten reduzieren können.
„Es muss eine Kombination aus der Anschaffung des Tools und der Sicherstellung geben, dass es auf Ihr System zugeschnitten und ordnungsgemäß implementiert wird und anschließend von Ihrem internen IT-Team überwacht wird“, sagte Miller.
Verbesserung Ihrer Patching-Kultur
Ganz gleich, welche Tools zum Einsatz kommen, welche Richtlinien eingeführt werden oder wie solide der Code in der Entwicklungsphase ist – Sicherheitslücken werden immer auftreten. Angesichts dieser Tatsache müssen Unternehmen ihre Kultur im Hinblick auf die Installation von Patches ändern. Eine Möglichkeit hierfür ist die Einrichtung eines Programms zur Schwachstellenverwaltung unter .
„Der Aufbau eines echten Schwachstellenmanagement-Programms ist Teil der Entwicklung eines effektiven Patch-Management-Programms“, erklärte Herr Bischoping von Tanium.
Es mag so klingen, als handele es sich um dasselbe, doch das ist nicht der Fall. Im Rahmen des Schwachstellenmanagements werden Bedrohungen bewertet und die möglichen Auswirkungen jeder einzelnen auf Ihre Umgebung ermittelt. Einige davon können für die Sicherheit Ihres Unternehmens äußerst gefährlich sein, während andere Schwachstellen mit hohem Schweregrad in Ihrem System möglicherweise nicht ausnutzbar sind.
Neben der Einrichtung von Programmen zum Schwachstellenmanagement müssen Unternehmen ihre allgemeine Sicherheits -Sensibilisierungsschulungen verbessern. Indem den Anwendern die Auswirkungen unsicherer Systeme aufgezeigt, die Gefahren unbehobener Sicherheitslücken hervorgehoben und Richtlinien sowie Verfahren zur Optimierung des Systems entwickelt werden, können IT- und Sicherheitsteams die Herausforderungen, die eine zeitnahe Installation von Patches verhindern, besser bewältigen.
