Wenn IT-Tools im digitalen Wald eingesetzt werden und niemand sie sieht oder nutzt, existieren sie dann wirklich?
Die meisten Chief Information Security Officers (CISOs) wissen es besser, als diese zenartige Frage zu beantworten. Unabhängig davon, ob Software erkannt wurde oder nicht, kann die ungebremste Ausbreitung autorisierter und nicht autorisierter Tools Hackern eine reale und potenziell verheerende Hintertür öffnen.
Bradley Schaufenbuel ist sich dessen sehr wohl bewusst. Der CISO von Paychex, einem Anbieter von Lohnabrechnungsdienstleistungen für kleine Unternehmen, erklärt, dass die „Tool-Flut“ zu einem großen Problem für Sicherheitsteams geworden ist. Sein eigenes Team entdeckt täglich neue Sicherheitslücken, die durch schädliche Software verursacht werden. Wird diese Software nicht regelmäßig aktualisiert, vergrößert sich die Angriffsfläche exponentiell.
„Solange die Tools nicht genehmigt und erfasst sind, wissen die Sicherheitsteams oft gar nicht, dass es sie gibt“, sagt Schaufenbuel. „Und ein Sicherheitsteam kann nichts schützen, von dessen Existenz es nichts weiß.“
Ein weitreichendes Problem
Viele nicht genehmigte Tools werden ohne Wissen der IT-Abteilung wahllos im gesamten Unternehmen installiert und verbleiben dort – vergessen, ohne Sicherheitspatches und anfällig –, bis ein Hacker sie entdeckt und nutzt, um in das Netzwerk des Unternehmens einzudringen.
Laut einer weltweiten Umfrage von Tanium unter 2020 Befragten gaben 91 % der IT-Entscheidungsträger an, dass sie zu wenig Einblick oder Kontrolle über die IT-Ressourcen haben. Tatsächlich gab fast ein Drittel an, dass „Shadow-IT“-Projekte und die Vielzahl autorisierter und nicht autorisierter Tools enorme Probleme verursachten.
Die heute weit verstreute Belegschaft hat die Situation nur noch verschlimmert. Laut einer Umfrage des Netzwerksicherheitsunternehmens NetMotion nutzen mittlerweile drei von fünf Remote-Mitarbeitern unzulässige Tools , die außerhalb der offiziellen IT-Richtlinien liegen. Diese Fülle an ungeprüfter Software bereitet Unternehmen Kopfzerbrechen, da sie bestrebt sind, nach der Pandemie wieder zu einem gewissen Maß an „Normalität“ am Arbeitsplatz zurückzukehren. Das Problem wird noch verschärft, da globale IT-Umgebungen im Laufe der Jahre an Umfang und Komplexität zugenommen haben und Hybrid- sowie Multi-Cloud-Umgebungen mittlerweile gang und gäbe sind.
Sicherheitstools können Unsicherheit schüren
Die große Ironie all dieser Komplexität und dieser bösartigen Software besteht darin, dass gerade jene Tools, die zum Schutz der Sicherheit eines Unternehmens entwickelt wurden, die größte Bedrohung für die Cybersicherheit darstellen können, wie der jüngste Hackerangriff auf SolarWinds , der als „ “ bezeichnet wurde, deutlich gemacht hat.
In einer Umfrage gaben 55 % der IT-Entscheidungsträger an, 20 oder mehr Tools in den Bereichen Sicherheit und Betrieb zu nutzen, wobei 70 % angaben, dass diese Tools nicht vollständig integriert seien. Während einige IT-Sicherheitsexperten vielleicht der Ansicht sind, dass mehrere Sicherheitstools es Teams ermöglichen, flexibel einen größeren Bereich abzudecken, legt eine Studie von IBM unter dem Titel „ “ ( ) nahe, dass das Gegenteil der Fall ist. Diese lose gekoppelten Einzellösungen verursachen zusätzliche Kosten und Komplexität, die letztendlich die Fähigkeit eines Unternehmens beeinträchtigen, Sicherheitsverletzungen zu erkennen und darauf zu reagieren.
Josh Schofield, Senior Director of Product Management bei Tanium, erklärt jedoch, dass Probleme im Zusammenhang mit der zunehmenden Verbreitung von Sicherheitstools nicht unbedingt bei den IT-Abteilungen ihren Ursprung haben. Die meisten dieser Tools, so behauptet er, seien einmalige Installationen unter und als Freeware unter , die von Mitarbeitern im Rahmen der Selbstwartung ihrer Rechner vorgenommen werden. Probleme entstehen, so sagt er, wenn Lizenzen in Kraft treten, die Unternehmen zur Zahlung von Gebühren für diese Anwendungen verpflichten und die Nutzung der Programme blockieren. Nur wenige Nutzer nehmen sich die Mühe, diese tatsächlich zu entfernen, was zu potenziellen Sicherheitslücken führen kann, so Schofield.
„Wenn ein Tool tatsächlich nützlich ist, bestehen Sie darauf, dass es einen Überprüfungsprozess durchläuft, um zugelassen zu werden.“Bradley Schaufenbuel, CISO bei Paychex
Chris Hughes, Berater für Cybersicherheit und Dozent an einer Universität zu diesem Thema, erklärt, dass jedes Cybersicherheits-Tool mit einer Person einhergehen muss, die weiß, wie man es einsetzt, installiert und verwaltet. Wenn IT-Organisationen über Support-Mitarbeiter verfügen, die die zunehmende Anzahl von Tools überwachen, sind sie in der Regel widerstandsfähiger gegenüber Angriffen. Allerdings sind derzeit nur wenige Sicherheitsteams in der Lage, dies gut umzusetzen, da ein kritischer Mangel an Fachkräften im Bereich der Informationssicherheit herrscht . In mehrere Cybersicherheits-Tools zu investieren, sei daher aus Sicherheitssicht wenig sinnvoll, so Hughes.
„Die meisten Sicherheitsteams, die Dutzende von Tools einsetzen, werden zugeben, dass sie nicht wirklich wissen, wie gut diese funktionieren“, sagt er. „Sie geben viel Geld für diese Tools aus, können Ihnen aber nicht sagen, ob sie einen Nutzen daraus ziehen.“ „Und das ist Geld, das sie in andere Bereiche hätten umleiten können, beispielsweise in die Verstärkung ihrer Mannschaften.“
Mark Settle, ehemaliger CIO bei Okta und BMC Software, sieht die Sache aus einem anderen Blickwinkel. Grundsätzlich investieren Unternehmen in mehrere Tools, da diese sich in ihren Funktionen ergänzen und der Nutzen, den sie im Zusammenspiel erzielen, größer ist als die Summe ihrer Einzelteile. „Das ist zumindest die Theorie“, sagt Settle, der kürzlich ein Buch über das IT-Management im Rahmen von „ “ mit dem Titel „“ verfasst hat. „In der Praxis kann es vorkommen, dass Tools sich in ihren Funktionen überschneiden, schwer zu verwalten sind und mit zugrunde liegenden Sicherheitslücken behaftet sind.“
Wie man den Tool-Wahn in den Griff bekommt
Theoretisch könnten Unternehmen, die der Tool-Flut entgegenwirken möchten, einfach eine einzige, genehmigte Plattform einsetzen, um mehrere Funktionen abzudecken. Dies würde die Betriebsabläufe und die Sicherheit optimieren und den Bedarf an Schatten-IT-Lösungen nahezu vollständig beseitigen. Experten empfehlen jedoch einige grundlegende Maßnahmen zur sofortigen Verbesserung der IT-Hygiene und -Sicherheit:
Bestandsaufnahme der Endgeräte und der Software. Das Team von Herrn Schaufenbuel bei Paychex tat dies im Rahmen einer umfassenderen Maßnahme zur Rationalisierung der Ausgaben für Software und zur Konsolidierung der Lieferanten. Einige Organisationen verfügen möglicherweise bereits über Workflow- oder umfassende Endpunktmanagement-Plattformen, die zur Erreichung dieses Ziels eingesetzt werden. Diejenigen, die dies nicht tun, sollten solche Lösungen in Betracht ziehen, um eine bessere Übersicht und Kontrolle über digitale Tools und Anwendungen zu erlangen.
[Lesen Sie auch: Wie CIOs in der öffentlichen Verwaltung eine strengere Rolle einnehmen können]
Schofield empfiehlt zudem, im Rahmen dieses Prozesses nach Anomalien Ausschau zu halten – es geht nicht nur darum, zu wissen, was alles in einem Netzwerk installiert ist, sondern auch, was offenbar in geringerem Umfang installiert ist – und warum.
„Es ist großartig zu wissen, dass ein Tool auf 50 000 Geräten installiert ist, aber es ist noch interessanter, wenn man das Ganze auf den Kopf stellen und Situationen finden kann, in denen es genau dieses eine Tool gibt, das nur auf fünf Rechnern installiert ist“, sagt Schofield. „Genau auf solche Dinge sollten Sie unbedingt achten, da sie einen bedeutenden Angriffsvektor darstellen könnten.“
Den Zugang verbessern. Es ist äußerst schwierig, den Zustand eines Netzwerks genau einzuschätzen, wenn die Geräte nicht darin registriert sind. Schaufenbuel empfiehlt, den Benutzern eine Amnestiefrist für die Registrierung von Tools einzuräumen, damit diese kontinuierlich gesichert und aktualisiert werden können; sollte dies nicht funktionieren, sollten nicht genehmigte Tools konsequent blockiert oder aus den Unternehmenssystemen entfernt werden. „Wenn ein Tool tatsächlich nützlich ist, bestehen Sie darauf, dass es einen Prüfprozess durchläuft, um zugelassen zu werden“, schlägt Schaufenbuel vor.
Er weist darauf hin, dass es sich hierbei nicht um einen einheitlichen Ansatz handelt. Insbesondere Softwareentwickler benötigen möglicherweise mehr Flexibilität bei der Installation nicht genehmigter Tools, um ihre Arbeit zu erledigen. „Einer der größten Fehler, den ich begangen habe, war, die Arbeitsplätze der Entwickler zu streng zu sichern“, sagt er, „was die Produktivität beeinträchtigen, Innovationen hemmen und Unmut gegenüber dem Sicherheitsteam schüren kann.“ Für Entwickler, so sagt er, sei es besser, eine Endpunktverwaltungslösung zu nutzen, die es ihnen ermöglicht, Tools auf kontrolliertere Weise zu installieren.
Überprüfen Sie die Ausgaben für Werkzeuge. Sobald ein Unternehmen den Umgang mit den Tools beherrscht, muss es die damit verbundenen Investitionen bewerten. Techniker können so sehr davon besessen sein, die neuesten und besten Werkzeuge zu kaufen, dass sie die anderen Werkzeuge übersehen, in die sie bereits investiert haben. „Einige der CISOs, die ich kenne, fordern ihre Teams auf, ein bereits vorhandenes Tool zu identifizieren, auf das sie bereit sind zu verzichten, bevor sie den Kauf eines neuen Produkts oder einer neuen Dienstleistung genehmigen“, sagt Settle. „Das kann ein äußerst wirksames Mittel sein, um die Zersiedelung einzudämmen.“
Patch. Patch. Patch. Sobald die IT-Abteilung jeden Baum in ihrem digitalen Wald überblicken kann, ist sie in der Lage, diese zu aktualisieren und zu sichern. Die IT-Abteilung sollte den Software-Patches von Priorität einräumen, die diejenigen Sicherheitslücken beheben, die das Unternehmen am ehesten beeinträchtigen könnten. Es ist wichtig, besonders auf Desktop-Computer, Laptops und Drucker zu achten, auf denen nicht mehr genutzte oder veraltete Software läuft. Ein aktueller Bericht von HP Bromium ergab, dass eine alte, nicht gepatchte Sicherheitslücke in Microsoft Office , die zu einer Speicherbeschädigung führen kann ( ), für fast 75 % aller Exploits verantwortlich war, die von der HP Sure Click-Cybersicherheitsfunktion erkannt wurden.
Gehen Sie über Passwörter hinaus. Jeder CISO weiß, dass Passwörter für sich genommen eine unwirksame Methode zur Kontrolle des Netzwerkzugangs darstellen. Daher ist es wichtig, Mechanismen einzuführen, die den Nutzern nicht nur dabei helfen, sichere, lange und einzigartige Zugangsdaten zu erstellen, sondern sich diese auch zu merken. Tools für das Identitäts- und Zugriffsmanagement, wie beispielsweise OneLogin, können dabei helfen. Sicherheitsexperten raten Unternehmen dazu, zudem eine mehrstufige Authentifizierung (MFA) nach dem „ “-Prinzip einzuführen, um das Risiko von Phishing- und Brute-Force-Angriffen zu verringern. Dies ist insbesondere deshalb von Bedeutung, weil die Zahl der Endpunkte, die über das Remote-Desktop-Protokoll (RDP) angegriffen wurden, während der COVID-Pandemie gestiegen ist.
