Als Chief Security Architect bei Tanium hat Ryan Kazanciyan die internen Reaktionsabläufe in Dutzenden von Unternehmen weltweit nach dem WannaCry-Ransomware-Angriff miterlebt. Was war seine wichtigste Erkenntnis? Der institutionalisierte Widerstand gegen Veränderungen – und nicht bloße Nachlässigkeit – ist einer der Hauptgründe dafür, dass so viele Unternehmen angreifbar blieben. Hier erfahren Sie, was Sie dagegen tun können.
(Image: Arek Socha / Pixabay)
Angesichts der Tatsache, dass sich der Kreis der Schuldzuweisungen im Zuge des „WannaCry“-Ransomware-Angriffs immer weiter ausdehnt, ist es nur natürlich, sich zu fragen, warum die Betroffenen so zögerlich waren, die bereits verfügbaren Schutzmaßnahmen umzusetzen. Ein Patch, der diesen Ausbruch verhindert hätte, war bereits seit zwei Monaten verfügbar. Die Malware nutzte eine Windows-Funktion aus, die bereits seit vier Jahren als veraltet galt. Was oft übersehen wird, ist, dass der institutionalisierte Widerstand gegen Veränderungen – und nicht bloße Nachlässigkeit – einer der Hauptgründe dafür ist, dass so viele Unternehmen angreifbar wurden.
In der vergangenen Woche hatte ich Gelegenheit, einen Einblick in einige der internen Reaktionsabläufe bei Dutzenden von Unternehmen weltweit im Zuge des „WannaCry“-Ransomware-Angriffs zu gewinnen. Ich stellte fest, dass es nur allzu häufig Diskrepanzen zwischen Wahrnehmung und Realität gab.
Beginnen wir mit der auffälligsten Diskrepanz: Viele Organisationen gingen davon aus, dass die Mehrheit ihrer Systeme gepatcht worden sei. Stattdessen stellten sie fest, dass der Anteil anfälliger Computer in ihren Beständen im zweistelligen Prozentbereich lag. Andere hatten keine Möglichkeit zu überprüfen, ob die Systeme neu gestartet worden waren oder ob andere Maßnahmen zur Risikominderung in Form von Konfigurationsänderungen vorgenommen worden waren oder bereits wirksam geworden waren. Und wieder andere zögerten weiterhin, Korrekturen „auf den Weg zu bringen“, da sie sich nicht sicher waren, ob sie etwaige unbeabsichtigte Folgen schnell erkennen oder die Änderungen bei Bedarf rückgängig machen könnten.
Diese Situation ist nicht auf den WannaCry-Angriff beschränkt. Obwohl sich die weltweiten Ausgaben für IT-Sicherheit im Jahr auf 2017 auf fast 100 Milliarden US-Dollar belaufen, haben Unternehmen weiterhin Schwierigkeiten mit grundlegenden Aufgaben der Systemverwaltung, wie beispielsweise der Installation von Patches, die für die sogenannte „Sicherheitshygiene“ von entscheidender Bedeutung sind. Um zu verstehen, warum dies der Fall ist, müssen wir zunächst untersuchen, wie die meisten IT-Organisationen arbeiten.
In den letzten zehn Jahren haben sich Softwareentwickler die DevOps-Bewegung und die sogenannten agilen Methoden zu eigen gemacht. Diese Ansätze legen den Schwerpunkt auf die iterative und zügige Entwicklung, Erprobung und Bereitstellung von Lösungen im Unternehmen. Allerdings sind die technischen Prozesse und Verfahren zur Änderungskontrolle in vielen Bereichen des IT- und Sicherheitsbetriebs vergleichsweise veraltet geblieben und zeigen sich hartnäckig resistent gegenüber Veränderungen. Es ist ein Aufeinandertreffen unterschiedlicher Philosophien: schnelle, schrittweise und automatisierte Veränderungen im Gegensatz zu methodischen, sorgfältig geplanten und geprüften, weitreichenden Maßnahmen.
WannaCry wirft schwerwiegende organisatorische Probleme auf
Es gibt sehr konkrete, praktische Gründe, warum sich der IT- und Sicherheitsbetrieb nur schwer auf Veränderungen einlässt. Der Großteil der IT-Infrastruktur ist ein Sammelsurium aus veralteter und moderner Technologie, das im Laufe der Zeit notdürftig so angepasst wurde, dass die Komponenten zusammenarbeiten. Laut Frost & Sullivan betreibt ein durchschnittliches Unternehmen vier bis sechs Betriebssysteme auf Endgeräten und vier bis sieben verschiedene Betriebssysteme auf Servern. Auf diesen Plattformen können Hunderte von geschäftskritischen Anwendungen ausgeführt werden – von denen einige empfindlicher auf Änderungen auf Betriebssystemebene reagieren als andere. Zudem ist die operative Verantwortung für die Verwaltung dieser gesamten Infrastruktur häufig stark in Silos aufgeteilt, wobei die Endbenutzer-IT, die Serververwaltung und die Anwendungsüberwachung auf zahlreiche Teams verteilt sind, die nicht immer im gleichen Rhythmus arbeiten. Die Einbeziehung von Auftragnehmern und externen Dienstleistern führt zu einer weiteren Komplexität. Und weder eine Einzelperson noch ein Team möchte dafür verantwortlich sein, dass durch ihre Maßnahmen zur Fehlerbehebung ein entscheidendes System ausfällt.
Wenn geschäftliche Anforderungen eine unterbrechungsfreie Systemverfügbarkeit vorschreiben, ist es leicht nachvollziehbar, warum Unternehmen bei bestimmten Arten von IT-Änderungen einen konservativen Ansatz verfolgen. Und, um fair zu sein, sehen alle modernen Änderungskontrollprozesse Vorkehrungen für den Umgang mit Notfällen vor. Doch selbst als die Dringlichkeit des WannaCry-Vorfalls Flexibilität bei der Umsetzung von Änderungen erforderte, waren viele Unternehmen weiterhin durch ihre Sicherheitsabläufe und ihre Systemmanagement-Technologie eingeschränkt. Dies verdeutlicht einen Teufelskreis: Fehlt die technische Fähigkeit, Veränderungen zuverlässig und schnell umzusetzen und die Ergebnisse in großem Maßstab zu überwachen, verursachen die Menschen „Widerstände“ in Form von mehr Beratungen, Verfahren und Konsensfindung. Dies beeinträchtigt ihre Flexibilität zusätzlich und schränkt die Wirksamkeit der Lösungen ein, in die sie investiert haben.
Leider wies der Patch, der die Ausbreitung von WannaCry hätte verhindern können, genau die „perfekte“ Kombination von Eigenschaften auf, die seine Akzeptanz bremste:
- Davon waren nahezu alle Windows-Versionen betroffen, was bedeutet, dass mehr Systemrollen und -typen getestet werden müssen.
- Es war ein Neustart erforderlich (was nicht bei allen Patches der Fall ist), was eine Abstimmung des Zeitplans erforderte, um die Auswirkungen auf den Geschäftsbetrieb so gering wie möglich zu halten.
- Es wurde ursprünglich erst nach dem Ausbruch von WannaCry für Windows XP und Server 2003 veröffentlicht. Obwohl beide Betriebssysteme nicht mehr weiterentwickelt werden, sind sie in vielen Umgebungen nach wie vor im Einsatz. Ihre Zahl nimmt ab – laut NHS lief beispielsweise nur auf etwa 5 % der in der Bestandsliste erfassten Rechner Windows XP –, doch diese Systeme werden häufig zur Unterstützung kritischer älterer Geräte eingesetzt.
Vor dem Hintergrund dieser technischen und verfahrenstechnischen Hürden ist es nicht verwunderlich, dass WannaCry derart verheerende Auswirkungen hatte, insbesondere in Branchen wie dem Gesundheitswesen.
Die beängstigende Wahrheit ist, dass „WannaCry“ noch viel, viel schlimmer hätte ausgehen können. Zum Zeitpunkt der Erstellung dieses Artikels hatte die Malware „lediglich“ einige hunderttausend Systeme infiziert. Im Gegensatz dazu breitete sich Conficker (das eine ähnlich weit verbreitete Windows-Sicherheitslücke im Jahr 2008 ausnutzte) auf über 10 Millionen Computer aus. Viele Organisationen hatten schlichtweg das Glück, dem Visier der ersten Angriffskampagnen zu entgehen. Und doch hat unsere Abhängigkeit von IT-Systemen in 2017 dazu geführt, dass die Auswirkungen dieses Angriffs weitaus stärker zu spüren waren als bei früheren Angriffen.
IT-Führungskräfte müssen diese Gelegenheit nutzen, um die Modernisierung der Prozesse und Technologien voranzutreiben, die dem Systemmanagement und dem Sicherheitsbetrieb zugrunde liegen – und sich nicht lediglich auf die Verbesserung der Erkennung und Abwehr von Angriffen konzentrieren. Wenn zukünftige Angriffe unweigerlich unsere ersten Verteidigungslinien umgehen, kann ein flexibler Ansatz zur Sicherheitshygiene verhindern, dass sich kleine, vereinzelte Infektionen zur nächsten globalen Epidemie ausweiten.
Über den Autor: In seiner Funktion als Chief Security Architect bei Tanium bringt Ryan Kazanciyan mehr als 14 Jahre Erfahrung in den Bereichen Incident Response, forensische Analyse und Penetrationstests mit. Ryan ist für die Konzeption und die strategische Ausrichtung der Threat-Response-Lösungen von Tanium verantwortlich und leitet das Tanium-Team für Endpoint Detection and Response (EDR). Bevor er zu Tanium kam, leitete Ryan bei Mandiant die Ermittlungs- und Abhilfemaßnahmen und arbeitete dabei mit Dutzenden von Fortune- 500 -Unternehmen zusammen, die von gezielten Angriffen betroffen waren. Ryan hat als Ausbilder für Black Hat und die Cyber-Einheit des FBI Hunderte von Einsatzkräften geschult. Er ist Mitautor des Werks „Incident Response and Computer Forensics, 3. Auflage“ (McGraw-Hill, 2014). Ryan ist zudem als technischer Berater für die Fernsehserie „Mr. Robot“ tätig, wo er gemeinsam mit den Drehbuchautoren und dem Produktionsteam die in der Serie dargestellten Hackerangriffe konzipiert.
