Im ersten Teil unserer dreiteiligen Serie „ “ () erläutert David Damato, CSO bei Tanium, warum eine gute Sicherheitshygiene so wichtig ist, und beschreibt detailliert den ersten Schritt, um Ihre IT-Organisation auf Vordermann zu bringen. ‘
Machen Sie sich einer mangelhaften Sicherheitshygiene schuldig? Sollte dies der Fall sein, lassen Sie sich nicht entmutigen. Sie sind nicht allein. IT- und Sicherheitsteams haben grundlegende Sicherheitsmaßnahmen seit langem vernachlässigt, darunter auch jene, die im „ “ , im „NIST Cybersecurity Framework“ (wird in einem neuen Tab geöffnet), , oder sowie in den „CIS Critical Security Controls“ (wird in einem neuen Tab geöffnet), , (auch bekannt als „SANS Top 20“) vor über einem Jahrzehnt definiert wurden.
Meine Erfahrungen bei der Bewältigung von mehr als 100 Sicherheitsvorfällen in Unternehmen haben mich gelehrt, dass die überwiegende Mehrheit der Sicherheitsvorfälle auf Mängel in den Praktiken zurückzuführen ist, die wir allgemein als „ “ , „Security Hygiene“ (öffnet in einem neuen Tab)und „“ bezeichnen.
Nehmen wir zum Beispiel die Bestandsverwaltung – also die grundlegende Aufgabe, alle Ihre Geräte zu erfassen und deren aktuellen Status zu erfassen. Genauso wie ein Unternehmen seine finanziellen Vermögenswerte erfasst, müssen auch IT- und Sicherheitsteams ihre Ressourcen erfassen – darunter Geräte, Server, Betriebssysteme und Anwendungen. Was Sie nicht kennen, können Sie nicht schützen. Dennoch waren die Technologie- oder Sicherheitsverantwortlichen innerhalb der betroffenen Organisation bei fast allen größeren Maßnahmen zur Behebung von Sicherheitsverletzungen, die ich geleitet habe, nicht in der Lage, eine genaue Bestandsaufnahme der Geräte vorzulegen. Tatsächlich hatten die meisten Schwierigkeiten, eine Genauigkeit von 10 % bis 20 % des tatsächlichen Zählstands zu erreichen.
Ein weiteres Beispiel ist das Schwachstellenmanagement. Im vergangenen Jahr waren eine Reihe von Organisationen von folgenden Angriffen betroffen: Samsam-Ransomware (wird in einem neuen Tab geöffnet). Samsam nutzte eine bereits über ein Jahr alte Sicherheitslücke in JBoss aus. Zum Zeitpunkt der Veröffentlichung der Ransomware schätzten Forscher, dass im Internet mehr als 2,1 Millionen anfällige JBoss-Instanzen existierten. Die meisten Unternehmen weisen Tausende unbehobener Sicherheitslücken auf und verfügen nicht über wichtige Patches, was zur Verbreitung von Ransomware und anderen einfachen Angriffen führt. Der „ 2015 Verizon Data Breach Investigations Report “ (wird in einem neuen Tab geöffnet) verdeutlicht, wie stark Unternehmen bei der Behebung von Sicherheitslücken hinterherhinken. Dem Bericht zufolge waren 99 % der ausgenutzten Sicherheitslücken bereits mehr als ein Jahr nach Veröffentlichung der Common Vulnerabilities and Exposures (CVE) ausgenutzt worden.
Ich bin nicht der Einzige, dem aufgefallen ist, dass die meisten Sicherheitsvorfälle eher auf mangelnde Sicherheitshygiene zurückzuführen sind als auf eine besonders ausgefeilte Vorgehensweise der Angreifer. Im vergangenen Jahr erklärte Rob Joyce, Leiter der Abteilung „Tailored Access Operations“ (TAO) der NSA – jener Gruppe, die für die Durchführung ausgeklügelter Cyberangriffe im Auftrag der NSA zuständig ist – , dass (öffnet in einem neuen Tab): „Wir investieren viel Zeit …, um [dieses Netzwerk] besser zu kennen als diejenigen, die es entworfen haben, und diejenigen, die es sichern.“ „Sie würden staunen, welche Dinge tatsächlich in einem Netzwerk laufen – im Gegensatz zu dem, was Sie eigentlich dort erwarten würden.“
Ian Levy, Leiter des britischen Cybersicherheitsprogramms, kritisierte Anfang dieses Jahres, dass Sicherheitsanbieter versuchten, „Advanced Persistent Threats“ (APTs) als eine Form hochkomplexer Angriffe darzustellen. Er schlug stattdessen vor, dass die Abkürzung APT für „, adequate pernicious toe-rags (öffnet in einem neuen Tab)“ stehe. Levy möchte, dass die derzeitige Debatte über Cybersicherheit die seiner Ansicht nach relativ einfache Vorgehensweise vieler Angriffe widerspiegelt. „Wenn man es als ‚Advanced Persistent Threat‘ bezeichnet, entsteht letztendlich eine Erzählung, die im Grunde besagt: ‚Ihr seid zu dumm, um das zu verstehen, und nur ich kann euch möglicherweise helfen – kauft mein magisches Amulett, und alles wird gut.‘“ „Das ist mittelalterliche Hexerei, das ist echte mittelalterliche Hexerei.“
Angesichts der Tatsache, dass die meisten Angriffe nicht besonders ausgeklügelt sind und selbst erfahrene Angreifer zunächst mit einfachen Taktiken beginnen, bevor sie ihre Vorgehensweise ausbauen, sollte die Einhaltung grundlegender Sicherheitsmaßnahmen der Ausgangspunkt für Sicherheitsverantwortliche sein. Das kann ich leicht sagen. Wo fangen Sie also als Sicherheitsverantwortlicher an?
Ich empfehle, die Sicherheitshygiene in drei Schritten anzugehen:
- Bewerten Sie Ihre bestehende Umgebung und stellen Sie sicher, dass die vorhandenen Lösungen ordnungsgemäß funktionieren und in vollem Umfang genutzt werden
- Richten Sie Ihr Sicherheitsprogramm an einem branchenführenden Rahmenwerk aus und straffen Sie Ihre Lösungen, um den von Ihnen angestrebten Zielzustand zu erreichen
- Messen Sie Ihre Fortschritte anhand des definierten Zielzustands und passen Sie Ihre Fähigkeiten bei Bedarf kontinuierlich an
Im Folgenden erläutern wir Ihnen die Leitlinien für die Umsetzung der ersten Phase Ihrer Maßnahmen zur Verbesserung der Sicherheitshygiene. In den kommenden Beiträgen werden wir uns mit den Phasen zwei und drei befassen.
Sicherheitshygiene – Stufe 1: Bewertung
Der erste Schritt zur Verbesserung der Sicherheitshygiene besteht darin, sich einen Überblick über den aktuellen Stand wichtiger Sicherheitsmaßnahmen in Ihrem Netzwerk zu verschaffen. Viele Unternehmen sind davon überzeugt, dass sie ihre Asset-Datenbanken effektiv verwalten und Sicherheitslücken erfolgreich beheben – meine Erfahrung hat mich jedoch gelehrt, dass dieses Vertrauen oft unangebracht ist. Das Ziel dieses ersten Schritts besteht darin, diese Lücken zu ermitteln und sicherzustellen, dass bestehende Investitionen voll ausgeschöpft werden.
Wählen Sie zunächst eine Reihe von nach Priorität geordneten Sicherheitsmaßnahmen aus. Wenn Sie sich auf Kontrollmaßnahmen konzentrieren, anstatt auf ein gesamtes Rahmenwerk (darauf werden wir im nächsten Beitrag eingehen), wird dieser Schritt vereinfacht und es wird Ihnen dabei helfen, eine Reihe von Kontrollmaßnahmen anzugehen, die allgemein als entscheidend angesehen werden. Die „ “ – 20 CIS Critical Security Controls ( ) – sind ein hervorragendes Beispiel für eine nach Priorität geordnete Liste von Kontrollmaßnahmen. Die Liste enthält Maßnahmen, die von der Bestandsaufnahme der Vermögenswerte bis hin zur Benutzerschulung reichen. Tatsächlich können Sie einen Teil der Liste auswählen, um sich auf die Bereiche zu konzentrieren, die Ihnen am meisten am Herzen liegen. Die enthaltenen Kontrollmaßnahmen sind Teilkomponenten gängiger Rahmenwerke wie dem „ “ (), dem „NIST Cybersecurity Framework“ ( ) (wird in einem neuen Tab geöffnet) () und dem „“, was es uns ermöglichen sollte, diese Bemühungen zu einem späteren Zeitpunkt auszuweiten.
Ermitteln Sie als Nächstes, wie effektiv Ihre Organisation die priorisierten Informationssicherheitsmaßnahmen umsetzt. Stützen Sie sich bei diesem Vorhaben eher auf technische Tests als auf einfache Vorstellungsgespräche. Um beispielsweise die Wirksamkeit Ihrer Gerätebestandsaufnahme zu ermitteln, erfassen Sie bitte alle Geräte in Ihrem Netzwerk und vergleichen Sie die Liste mit Ihrer CMDB. Sammeln Sie Informationen zum Patch-Stand von Betriebssystemen und wichtigen Anwendungen von Drittanbietern (z. B. Java, Flash). Vergleichen Sie die Informationen zu den Patches mit den Ergebnissen bestehender Schwachstellenanalysen. Anhand der festgestellten Lücken sollte sich rasch erkennen lassen, ob diese Kontrollmaßnahmen wirksam oder unwirksam sind.
Stellen Sie bei festgestellten Schwachstellen sicher, dass die bestehenden Investitionen in vollem Umfang genutzt werden. Nutzen Sie beispielsweise vorhandene Windows-Dienstprogramme wie BitLocker, AppLocker und EMET, um die Sicherheit zu verbessern, ohne Einzellösungen für die vollständige Festplattenverschlüsselung (FDE), die Erstellung von Whitelists für Anwendungen und den Schutz vor Exploits anschaffen zu müssen. Möglicherweise ist Ihre Anti-Malware-Lösung nur auf 80 % Ihrer Geräte auf dem neuesten Stand oder funktionsfähig – beheben Sie dies. Das Endergebnis dieser Maßnahme sollte darin bestehen, etwaige „Quick Wins“ anzugehen und verbleibende Lücken zu erfassen, die im Rahmen eines wesentlich umfassenderen Projekts zur Sicherheitsumgestaltung behoben werden sollen.
Bei Tanium haben wir eine Hygiene-Bewertung entwickelt, um unseren Kunden präzise und übersichtliche Berichte über häufige Lücken in der Sicherheitshygiene zur Verfügung zu stellen. Die Ergebnisse waren äußerst aufschlussreich.
- Ein großer Kunde aus dem Finanzsektor verfügte über etwa 5 500 dokumentierte und genehmigte Anträge. Mit Hilfe von Tanium konnten mehr als 10 000 installierte Anwendungen ermittelt werden.
- Ein großer Einzelhandelskunde war der Ansicht, das Patch-Management unter Kontrolle zu haben. Tanium hat etwa 3 500 Instanzen von Java identifiziert, die seit über einem Jahr nicht mehr aktualisiert worden waren.
- Ein internationales Finanzinstitut ging davon aus, dass SCCM auf allen Geräten korrekte Daten lieferte. Tanium stellte fest, dass SCCM auf etwa 15 % aller unterstützten Geräte nicht funktionsfähig war, was sich auch auf die Genauigkeit der Berichterstattung hinsichtlich des Patch-Stands und des Status anderer Lösungen, wie beispielsweise Anti-Malware-Lösungen, auswirkte.
Sobald Sie sich mit diesen grundlegenden Kontrollmaßnahmen vertraut gemacht und die in Ihrer Umgebung verfügbaren Werkzeuge genutzt haben, sind Sie bereit, sich auf ein umfangreicheres Transformationsprojekt zu konzentrieren, wobei Sie ein Rahmenwerk wie ISO 27001 oder das NIST-Cybersicherheits-Rahmenwerk heranziehen können.
Über den Autor: Als Chief Security Officer ist David Damato für die strategische Produktausrichtung bei der Modulentwicklung für die Tanium-Plattform verantwortlich und leitet das interne Sicherheitsprogramm des Unternehmens. David bringt umfangreiches Fachwissen im Bereich Sicherheit bei Tanium ein, das von der Reaktion auf Sicherheitsvorfälle und Forensik über Schwachstellenanalysen und die Entwicklung von Sicherheitsprogrammen bis hin zu Sicherheitsoperationen sowie Netzwerk- und Sicherheitsarchitektur reicht. Vor seiner Tätigkeit bei Tanium war David zuletzt als Geschäftsführer bei Mandiant, einem Unternehmen der FireEye-Gruppe, tätig, wo sein Team die Maßnahmen zur Reaktion auf Sicherheitsvorfälle und zur Behebung der Folgen von Sicherheitsverletzungen bei über 100 der 500 Fortune-Unternehmen leitete. Bei Mandiant war David zudem maßgeblich an der Entwicklung neuer Kompetenzen im Bereich der Incident-Response-Dienstleistungen sowie am Aufbau von Beratungsniederlassungen im In- und Ausland beteiligt. Vor seiner Tätigkeit bei Mandiant leitete David Sicherheitsberatungsteams bei PwC im Rahmen der „Washington Federal Practice“ und bekleidete IT-Positionen bei Raytheon, wobei sein Schwerpunkt auf der Verwaltung interner und staatlicher Netzwerke lag. David teilt sein Fachwissen und seine Erkenntnisse regelmäßig auf Branchenveranstaltungen und gegenüber den Medien.
