In „ 2022 “ mangelte es nicht an Berichten, die den CISOs einen Schauer über den Rücken jagen und ihnen die Haare zu Berge stehen ließen, darunter der Aufstieg der globalen „“-Cyberkriegsführung sowie die Brutalität der -Ransomware-Banden .
Im Folgenden sind die Trends aufgeführt, die Unternehmensleiter am meisten beunruhigen sollten und die in den kommenden Jahren für Angst und Unruhe sorgen könnten:
Die Zahl der Firmware-Sicherheitslücken nimmt zu
Die Firmware bildet eine Schnittstelle zwischen der Hardware und anderen Geräten, auf denen Software ausgeführt wird. Dadurch verschafft es Angreifern den begehrten Zugriff auf Endgeräte und ermöglicht es ihnen, über lange Zeiträume hinweg unentdeckt zu bleiben.
„Jede Software hat eine Schwachstelle, und Firmware ist letztlich auch nur Software.“Roger Thompson, technischer Produktmanager bei ReversingLabs
Angreifer nehmen zunehmend die Firmware von Geräten ins Visier und schaffen es, sich erfolgreich darin einzuschleusen. Ein aktuelles Beispiel ist „ “ von CosmicStrand, das die Unified Extensible Firmware Interface (UEFI) ausnutzt und erstmals vom russischen Anti-Malware-Anbieter Kaspersky Lab bekannt gemacht wurde. Der Hack zielt auf den H81 -Chipsatz ab und deaktiviert, sofern er erfolgreich ist, die auf einem Gerät ausgeführte Sicherheitssoftware.
Im Jahr 2022 stieg die Zahl der schwerwiegenden Firmware-Sicherheitslücken weiter an. Im Februar entdeckte der Sicherheitsanbieter Binarly kritische Sicherheitslücken in „ InsydeH2O“, einer Art von UEFI-Firmware. Diese Sicherheitslücken betrafen alle Anbieter, die in ihrer Software Code von unabhängigen BIOS-Entwicklern (IBV) verwenden, um den Betrieb von Computerbetriebssystemen zu unterstützen. Binarly berichtete in einem Blogbeitrag auf „ “ ( ), dass Sicherheitslücken in Produkten verschiedener Anbieter festgestellt wurden, darunter Fujitsu, Siemens, Dell, HP, HPE, Lenovo, Microsoft und Intel.
[Lesen Sie auch: Firmware-Schwachstellen gefährden Laptops]
„Wir befinden uns in einem ständigen Wettlauf, bei dem sich die Grenze im [Tech]-Stack immer weiter nach unten verschiebt“, sagt Roger Thompson, Experte für Anti-Malware und Firmware-Sicherheit sowie technischer Produktmanager bei ReversingLabs, einem Anbieter einer Sicherheitsplattform für die Software-Lieferkette. „Jede Software hat eine Schwachstelle, und Firmware ist letztlich auch nur Software.“ Er sagt, dass Angriffe auf die Firmware nur noch zunehmen werden, da Unternehmen immer mehr Endgeräte einsetzen, wodurch sich die gesamte Angriffsfläche vergrößert.
In Netzwerken lauern fortgeschrittene, hartnäckige Bedrohungen
Eine grundlegende Annahme des „Zero-Trust-“-Sicherheitsansatzes ist, dass IT-Umgebungen bereits kompromittiert wurden und sich Angreifer bereits auf einer beliebigen Anzahl von Servern und Endgeräten befinden. Die Sicherheitsteams wissen noch nicht, um welche es sich dabei handelt. Da gestohlene Zugangsdaten nach einem ersten Einbruch dazu genutzt werden, sich lateral zu bewegen , ist es nach wie vor von entscheidender Bedeutung, Angreifer zu stoppen, sobald sie in eine Organisation eingedrungen sind.
„Es gibt klare Regeln für die konventionelle Kriegsführung, doch für die Cyberkriegsführung gibt es keine eindeutigen Genfer Konventionen. Da draußen herrscht der Wilde Westen.”Tom Kirkham, Geschäftsführer und CISO, Kirkham IT
„Zero Trust“ ist eine technische Architektur, die davon ausgeht, dass Personen, Systeme und Geräte kontinuierlich authentifiziert werden müssen. Analysten gehen davon aus, dass der Wert des globalen Zero-Trust-Marktes bis zum Jahr 2031 126 Milliarden US-Dollar erreichen wird, gegenüber 24 Milliarden US-Dollar im Jahr 2021..
„Dieses Modell unterscheidet sich grundlegend vom Ansatz ‚Vertrauen ist gut, Kontrolle ist besser‘, der Netzwerke traditionell den böswilligen Aktivitäten interner Akteure ausgesetzt hat“, sagt Robin Berthier, Geschäftsführer von Network Perception, einem Anbieter von Lösungen zur Überprüfung und Visualisierung der Netzwerksegmentierung. Er erklärt, das große Interesse an dieser Sicherheitsarchitektur sei zum Teil auf die Exekutivverordnung „ “ ( ) zurückzuführen, die Präsident Biden am Mai 2021 erlassen hat und die die Bundesregierung zur Einführung des Zero-Trust-Ansatzes verpflichtet. Zwar gibt es viele unterschiedliche Auslegungen, doch es zeichnen sich zunehmend Zero-Trust-Standards ab, wie beispielsweise NIST 800-207, ZTX von Forrester und CARTA von Gartner.
Ransomware ist nach wie vor eine Plage
en durch Ransomware verursachen weiterhin erhebliche Kosten. Laut Cybersecurity Ventures werden die Kosten für Ransomware-Angriffe bis zum Jahr 2031 voraussichtlich 265 Milliarden US-Dollar erreichen, gegenüber 20 Milliarden US-Dollar im Jahr 2021. Zu den Kosten zählen Produktivitäts- und Umsatzverluste, die Behebung von Datenschutzverletzungen sowie Bußgelder von Aufsichtsbehörden.
Anti-malware software provider Webroot ranked LockBit as 2022’s most prolific and successful ransomware group. Obwohl die Gruppe bereits seit Jahren „Ransomware-as-a-Service“ anbietet, entwickelt sie ihre Taktiken kontinuierlich weiter. Neben der Erpressung von Lösegeld für Daten – wobei den Opfern mit der Veröffentlichung der Daten gedroht wird, falls keine Zahlung erfolgt – führt die Hackergruppe zudem Distributed-Denial-of-Service-Angriffe (DDoS) durch.
„Da die Automatisierung von ‚ ‘ immer leichter zugänglich wird, gibt es insgesamt mehr Angriffe“, sagt Tom Kirkham, Geschäftsführer und CISO des Beratungsunternehmens Kirkham IT. „[Die Gruppen] gehen bei ihrem Vorgehen immer raffinierter vor.“ Wir haben sogar ganze Ransomware-Agenturen gesehen, die man beauftragen kann. „Sie nehmen eine bestimmte Person ins Visier und setzen eine maßgeschneiderte Strategie ein, um direkt Aufmerksamkeit zu erregen und in deren engsten Kreis vorzudringen.“
Die Lieferketten sind nach wie vor anfällig
Die Gewährleistung von Transparenz in Software-Lieferketten ist ein ständiges Anliegen. Angesichts der Vielzahl an Software und Diensten aller Art – darunter Open-Source-, kommerzielle, Cloud- und Drittanbieterlösungen – ist es eine Herausforderung, sicherzustellen, dass der Code frei von ausnutzbaren Schwachstellen ist.
„Risiken durch Dritte aus der Lieferkette oder Sicherheitslücken in Softwarekomponenten von Drittanbietern sind nach wie vor ein wesentlicher Faktor bei extern verursachten Sicherheitsverletzungen“, erklärte Sandy Carielli, Principal Analyst bei Forrester, auf dem „ Security & Risk Forum“ des Marktforschungsunternehmens. „Unternehmen haben wahrscheinlich mehr Drittanbieter in ihrem Ökosystem als je zuvor.“
[Lesen Sie auch: Was ist das Risikomanagement bei Drittanbietern?]
Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) setzt sich aktiv für die Verwendung von Software-Stücklisten (SBOMs) – also Bestandslisten der in Produkten enthaltenen Softwarekomponenten – ein, um die Sicherheit der Software-Lieferkette zu verbessern. SBOMs sorgen für mehr Transparenz hinsichtlich der Softwarekomponenten, die in der kommerziellen und Open-Source-Software eines Unternehmens zum Einsatz kommen.
Geopolitische Risiken nehmen immer weiter zu
Wenn eines in diesem Jahr deutlich geworden ist, dann ist es, dass geopolitische Risiken eng mit Cyberrisiken verbunden sind. Jeder neue Konflikt erhöht das Risiko von Cyberangriffen. Cyberangriffe auf den öffentlichen Sektor, den Energiesektor, die Medien, den Finanzsektor, die Wirtschaft sowie gemeinnützige Organisationen in der Ukraine nahmen bereits vor der groß angelegten Invasion Russlands im Jahr Februar 2022 zu. Seitdem haben russische Cyberangriffe die Verteilung von Medikamenten, Lebensmitteln und Hilfsgütern beeinträchtigt, wie aus einem Informationspapier des Europäischen Parlaments mit dem Titel „ “ ( ) hervorgeht.
„. Der derzeit gefährlichste potenzielle Trend für CISOs ist das Zögern, überhaupt Maßnahmen zu ergreifen, aus Angst vor rechtlichen Drohungen nach dem Vorbild von Uber.“David Maynor, Senior Director für Bedrohungsanalyse bei Cybrary
„Die Auswirkungen [von Cyberangriffen] reichten von der Verhinderung des Zugangs zu grundlegenden Diensten bis hin zu Datendiebstahl und Desinformation, einschließlich Deepfake-Technologie“, so das Ergebnis des Berichts. „Zu den weiteren böswilligen Cyberaktivitäten zählen das Versenden von Phishing-E-Mails vom Typ „ “ (), Distributed-Denial-of-Service-Angriffe sowie der Einsatz von Malware zum Löschen von Daten, Hintertüren, Überwachungssoftware und Programmen zum Diebstahl von Informationen.“ Auch im Westen werden kritische Infrastrukturen zunehmend ins Visier genommen .
Angesichts der zunehmenden militärischen Drohgebärden Chinas gegenüber Taiwan baut die taiwanesische Regierung ihre Cyber-Resilienz aus, während sie gleichzeitig ihre konventionellen militärischen Fähigkeiten verstärkt. Mit dem Besuch der Sprecherin des US-Repräsentantenhauses, Nancy Pelosi, nahmen die Cyberangriffe auf Taiwan zu. Elektronische Werbetafeln wurden dazu zweckentfremdet, um Botschaften anzuzeigen, die sich gegen Pelosis Besuch richteten.
„Es gibt einfach so viel Unruhe in der Welt, sowohl in autoritären als auch in demokratischen Staaten“, sagt Kirkham. „Für die konventionelle Kriegsführung gibt es klare Regeln, für die Cyberkriegsführung hingegen gibt es keine eindeutigen Genfer Konventionen.“ „Was den Schutz und die Sicherheit angeht, herrscht da draußen das pure Chaos.“ Kirkham ist überrascht, dass es im Westen bisher nicht zu mehr groß angelegten Angriffen seitens Russlands oder des Irans gekommen ist.
Rechtliche Unsicherheit wirft einen langen Schatten
Anfang Oktober 2022 verurteilte ein Bundesgericht in San Francisco Joe Sullivan, den ehemaligen Sicherheitschef von Uber, wegen der Verschleierung von Fakten über einen Datenverstoß gegenüber der Federal Trade Commission. Die Regierung machte erfolgreich geltend, dass Sullivan eine laufende Untersuchung der FTC behindert habe, indem er Hacker dafür bezahlte, zu schweigen, und es versäumte, den Datenverstoß zu melden. Das Strafmaß gegen Sullivan steht noch nicht fest, doch das Urteil hat die Aufmerksamkeit der CISOs auf sich gezogen.
„Der derzeit gefährlichste potenzielle Trend für CISOs ist das Zögern, überhaupt Maßnahmen zu ergreifen, aus Angst vor rechtlichen Drohungen nach dem Vorbild von Uber“, sagt David Maynor, Senior Director of Threat Intelligence bei Cybrary, einer Plattform für Cybersicherheit und die Personalentwicklung im IT-Bereich. Nach der Urteilsverkündung, so berichtet er, seien private Social-Media- und Netzwerkgruppen zum Thema Cybersicherheit „aus dem Häuschen“ gewesen und hätten lebhaft darüber diskutiert, was das Urteil für sie bedeute. Obwohl die Urteilsverkündung noch nicht stattgefunden hat, droht eine tatsächliche Freiheitsstrafe.
„Dies ist eine enorme Veränderung gegenüber der früheren Situation, in der sich CISOs vor Geldstrafen fürchteten“, sagt Maynor. „Nun befürchten sie, dass eine Jury Jahre später möglicherweise entscheiden muss, ob Maßnahmen, die sie in einer Notsituation ergreifen, als rechtswidrig angesehen werden könnten.“ „Diese Angst führt zu Handlungsunfähigkeit durch Lähmung oder sogar zu noch mehr bürokratischem Aufwand für Organisationen bei der Reaktion auf einen Datenschutzverstoß.“
Es ist unwahrscheinlich, dass das Jahr 2023 weniger erschütternd sein wird als das Jahr 2022, und die Unternehmen sowie ihre CISOs sind sich dessen bewusst. Laut einer Umfrage von „ “ unter mehr als 1 400 IT-Fachkräften von Spiceworks Ziff Davis werden die Sicherheitsbudgets andere Kategorien bei den Technologieinvestitionen von Unternehmen, wie beispielsweise Produktivitätsanwendungen, übertreffen, wobei die Sicherheitsausgaben 11 % der Software-, 7 % der Hardware- und 6 % der Cloud-Dienste Budgets ausmachen werden.
CISOs können nur hoffen, dass all dieses Geld sinnvoll eingesetzt wird.
