Zusammenfassung
Durch kontinuierliches Engagement in der Bedrohungsanalyse und das anschließende „Vorwärtsverteidigen" konnte die USA in den letzten Jahren eine Reihe von Cyberangriffen weltweit vereiteln – vom chinesisch unterstützten Botnetz, das einige 260 000 Microsoft-Exchange-Server infiltrierte, bis hin zum russischen Angriff auf die ukrainischen Eisenbahnen, der – wäre er nicht vereitelt worden – möglicherweise zum Tod von Hunderttausenden von Ukrainern geführt hätte.
Was sich für Nationalstaaten als wirksam erwiesen hat, könnte auch für Unternehmen überraschend anwendbar sein, sagt Richard Harknett, ein wichtiger Architekt dieses neuen proaktiven Ansatzes zur Cybersicherheit und Mitautor von Cyber Persistence Theory: Redefining National Security in Cyberspace, erschienen beim Oxford University Press. Harknett führt uns durch einige dieser wichtigen Cybersiege (zumindest jene, die nicht oder nicht mehr als geheim eingestuft sind) und zeigt auf, wie Unternehmensführer, die dieselbe Denkweise übernehmen, davon in Bezug auf Vertragsabschlüsse, Lieferketten und allgemeine Geschäftsmöglichkeiten profitieren können.
(Das Gespräch wird nächste Woche mit Harknett fortgesetzt, wenn wir die neuesten Cybersicherheitsimplikationen für TikTok, KI und andere Themen beleuchten, mit denen sich Unternehmensführer im kommenden Jahr auseinandersetzen müssen.) MODERATOR: Mike Curran, VP Global Talent, Tanium GAST: Richard J. Harknett, Ph.D., Direktor des Center for Cyber Strategy and Policy und Co-Direktor des Ohio Cyber Range Institute, Universität Cincinnati
Shownotes
Weitere Informationen zur US-Cybersicherheitspolitik und dazu, wie autonomes Endpoint-Management Sie aktiv statt reaktiv hält, finden Sie in unseren Artikeln in Focal Point, Taniums preisgekröntem Online-Cyber-Nachrichtenmagazin, sowie in diesen weiteren nützlichen Ressourcen.
- Was Unternehmen über die neue US-Cybersicherheitsstrategie wissen müssen | Focal Point
- Was viele über Persistent Engagement falsch verstehen und warum es für Unternehmen wichtig ist | Focal Point
- Die Behörden nehmen CISOs ins Visier – So bleiben Sie auf der sicheren Seite | Focal Point
- Wie Automatisierung und KI Ihre Software-Lieferkette schützen | Focal Point
- Die nächste Entwicklungsstufe des Endpunkt-Managements ist autonom | Tanium
- Die Vorteile des kontinuierlichen Endpunkt-Managements (und wie es sich von Antivirensoftware unterscheidet) | Tanium
- Einführung von Tanium Automate: Einfach zu erstellende Orchestrierung und Automatisierung in großem Maßstab | Tanium
Transkript
Das folgende Interview wurde zur besseren Verständlichkeit bearbeitet.
„Wir müssen unser Denken darüber grundlegend ändern, was es bedeutet, angemessen hygienisch und angemessen sicher zu sein. Deshalb sage ich gerne, dass es in der Cybersicherheit keine Best Practices gibt. Es gibt nur bessere Praktiken."Richard J. Harknett, Direktor des Center for Cyber Strategy and Policy und Co-Direktor des Ohio Cyber Range Institute, Universität Cincinnati
Mike Curran: Wenn es um Cybersicherheit geht, ist es besser, aktiv als reaktiv zu handeln. Das ist der Kerngedanke der heutigen US-Cyberpolitik, der sogenannten „Defend Forward"-Strategie. Vor einigen Jahren galt sie noch als ziemlich radikal, aber das Vereinigte Königreich und andere Cyber-Verbündete folgen nun unserem Beispiel, und das lässt mich fragen, ob dies auch etwas ist, das US-Unternehmen tun sollten.
Hallo, ich bin Mike Curran, VP of Global Talent hier bei Tanium, und heute sprechen wir in Let's Converge über „Ihr Unternehmen vorausschauend verteidigen" und darüber, wie praktisch und profitabel das sein könnte.
Als kleinen Hintergrund: Die Bundesregierung begann, diese Strategie in 2018 zu testen, und verankerte sie erst letztes Jahr als offiziellen Cyberabwehrplan. Unser heutiger Gast war eine Schlüsselfigur dabei, dies zu verwirklichen.
Es handelt sich um Richard Harknett, Ph.D., Direktor des Center for Cyber Strategy and Policy und Co-Direktor des Ohio Cyber Range Institute an der University of Cincinnati. Er ist Professor und der erste Wissenschaftler in Residence beim US Cyber Command und der National Security Agency. Und er ist einer der Architekten dieser neuen Theorie der Beständigkeit und Proaktivität in der Cyberabwehr.
Tatsächlich hat er das Buch zu diesem Thema mitgeschrieben. Es trägt den Titel Cyber Persistence Theory: Redefining National Security in Cyberspace, erschienen beim Oxford University Press.
Willkommen im Podcast, Richard. Ich schätze es, dass Sie sich die Zeit nehmen. Sie sind ein sehr beschäftigter Mann und reisen nach Washington, D.C., Wien, London und überall hin. Vielen Dank, dass Sie sich heute die Zeit genommen haben.
Richard Harknett: Vielen Dank. Mike. Ich bin gerade erst aus London zurückgekehrt und habe etwas Zeit mit unseren Verbündeten verbracht, um die Herausforderungen des Cyberraums zu erörtern.
Curran: Fantastisch. Das weiß ich zu schätzen. Mir fällt etwas hinter Ihrer rechten Schulter auf. Ist das eine Münze oder so etwas Ähnliches? Sie sieht ziemlich interessant aus, aber ich kann sie nicht lesen. Was hat es damit auf sich?
Harknett: Oh, danke. Willkommen in meinem Büro, meinem Heimbüro. Ja, das war wirklich eine nette Geste von Admiral Mike Rogers, dem Vier-Sterne-Kommandeur des U.S. Cyber Command und Direktor der NSA. Ich wurde also von der University of Cincinnati abgeordnet, um 2016 ihr erster Scholar-in-Residence zu werden, und half dabei – was mittlerweile öffentlich bekannt ist –, einige der großen Kurswechsel zu entwickeln, die wir in der nationalen Cyberstrategie vorgenommen haben. Admiral Rogers überreichte mir daraufhin eine kleine Auszeichnung und eine Vier-Sterne-Münze – das ist wirklich eine tolle Sache.
Curran: Gut für Sie. Herzlichen Glückwunsch dazu. Danke, dass Sie uns davon erzählt haben. Aber hey, wir sind hier, um über anhaltende Einbindung zu sprechen und einen proaktiven Ansatz im Bereich Cyber zu verfolgen. Aber wenn wir einen Schritt zurücktreten: Sie haben einen Hintergrund als Experte für nukleare Abschreckung. Gab es einen bestimmten Moment oder ein Ereignis, bei dem Sie diesen Aha-Moment hatten, in dem klar wurde, dass wir einen neuen Ansatz für Cyber brauchen?
Harknett: Ja, das führt mich zurück ins Jahr 1992 oder so, ’93-ish. Ich arbeitete an nuklearen Themen und versuchte, mit dem Zusammenbruch der Sowjetunion umzugehen und zu klären, wie wir das alles bewältigen sollten. Ich leistete etwas Arbeit für das DOD, die ihnen gut gefiel, und sie sagten: „Hey, wir haben da eine Sache namens Browser. Was glauben Sie, welche Sicherheitsimplikationen das haben wird?" Also führte ich einige frühe Analysen durch und stellte fest, dass dies einfach nicht mit der Art und Weise übereinstimmt, wie wir über Sicherheit nachdenken und wie wir uns für Sicherheit organisieren.
Es war also wirklich ziemlich früh, Mike, dass ich das Gefühl hatte, dass es eine Diskrepanz zwischen der Realität des Bereichs und der Art, wie wir über Sicherheit dachten, geben würde, die für uns problematisch sein würde. Ich war dabei etwa 20 Jahre lang ziemlich konsequent. Ich wusste, was das Problem war, aber ich wusste nicht genau, was die Lösung war. Und in den letzten 20, 25 Jahren hat es uns eine Weile gedauert, dorthin zu gelangen, aber ich glaube, wir haben es herausgefunden.
Curran: Fangen wir damit an: Können Sie „Persistent Engagement" und auch „Defend Forward" ein wenig definieren?
Harknett: Ja. Es ist wichtig, [zu betrachten,] wie sie miteinander zusammenhängen. „Persistent Engagement" gilt offiziell als Militärdoktrin, die dazu beiträgt, die Operationen des Cyber Command zu organisieren. Aber es ist auch eine Doktrin, die nun – in einer abgewandelten Form – vom Justizministerium eingesetzt wird, um Cyberkriminalität zu bekämpfen.
„Persistent Engagement" besagt im Wesentlichen, dass der Cyberspace ein Umfeld kontinuierlicher Aktivität ist, das darauf abzielt, inhärente Schwachstellen im vernetzten Computing auszunutzen.
Als wir also dieses Ding, das wir Internet nennen, aufgebaut haben, haben wir nicht alle Dinge vorhergesehen, die wir darauf aufbauen würden, von sozialen Medien bis hin zu massiver wirtschaftlicher Unterstützung, Effizienzsteigerungen und dergleichen. Im Kern wurde es nicht auf Sicherheit ausgelegt, sondern auf Zugang.
Aber sobald man anfing, persönliche Identitätsinformationen oder wirtschaftliches Vermögen hinzuzufügen, sind das Dinge, die andere Menschen begehren. Und deshalb muss man sich überlegen: Wie sichere ich das ab? Und die Herausforderung besteht darin, dass es ein Bereich ist, der für Ausbeutung anfällig ist.
Dauerhaftes Engagement bedeutet also im Grunde, dass Sicherheit darauf beruht, dass ich vorwegnehme, wie Sie versuchen werden, meine Schwachstellen auszunutzen, bevor Sie es tun. Und der einzige Weg, dies aus militärischer und nationaler Sicherheitsperspektive zu erreichen, besteht darin, herauszufinden, was unsere Gegner vorhaben, bevor sie es tun. Und genau hier kommt das „Vorwärtsverteidigen" ins Spiel.
Denn man kann sich nicht innerhalb der eigenen Netzwerke verteidigen. Wenn man sich am Rand seiner Netzwerke verteidigt, jagt man nur Kaninchen durch die Löcher. Man muss also sowohl im Raum als auch in der Zeit vorwärts verteidigen. Das bedeutet, ich muss meine eigenen Netzwerke verlassen und in die Netzwerke anderer eindringen, um zu sehen, ob sie Schadsoftware entwickeln, die sie dann gegen mich einsetzen können. Auf diese Weise könnte ich Sicherheitslücken schließen, bevor sie ausgenutzt werden.
Aber ich muss auch vorausdenken oder „vorwärts verteidigen" in der Zeit. Denn wenn ich ihre Werkzeuge entdecke, bevor sie eingesetzt werden, kann ich diese Sicherheitslücken beheben. Und dann sind all die Zeit, das Talent und die Energie, die sie in die Entwicklung dieser Cyber-Werkzeuge investiert haben, mit denen sie mich angreifen wollten, nutzlos geworden.
Also … warum muss ich beharrlich sein? Weil es die andere Seite ist. Die andere Seite sucht stets nach Möglichkeiten, die Vernetzung dieses Bereichs auszunutzen. Sicherheit beruht also auf Voraussicht, Mike, und deshalb muss ich beharrlich bleiben und muss ständig aktiv sein. Das ist ein grundlegender Wandel gegenüber der Art und Weise, wie wir früher im Kalten Krieg über Sicherheit nachgedacht haben.
Curran: Ja, ein dramatischer Wandel. Wenn man sich speziell die Privatwirtschaft ansieht, möchte ich heute etwas tiefer in dieses Thema einsteigen: Wie agiert sie und wie verteidigt sie sich proaktiv? Als ich mir die Privatwirtschaft und die Richtlinien des Verteidigungsministeriums angesehen habe, gab es eine Richtlinie, die meiner Meinung nach Warnmeldungen betraf … „Indications and Warnings", glaube ich, hieß sie.
Harknett: Richtig.
Curran: Und sie konzentrierten sich besonders auf das, was sie DCI und DIB nennen, also die [verteidigungs]kritische Infrastruktur und die Verteidigungsindustriebasis. Wir wissen, wer sie sind – Boeing und die anderen großen Unternehmen. Aber was ist mit dem Rest der amerikanischen Unternehmenswelt? Der Rest der G-2000, der vielleicht nicht so eng damit verbunden ist? Wie verteidigen sie sich proaktiv?
Harknett: Ja, das ist eine sehr gute Frage. Ich möchte dazu zwei Denkansätze vorschlagen.
Aus unternehmerischer Sicht ist es illegal, in das Netzwerk einer anderen Person einzudringen. Das würde als Hacking angesehen werden – der Versuch, in fremden Netzwerken herumzupfuschen. Nationale Regierungen und Regierungen im Bereich der nationalen Sicherheit haben nach internationalem Recht die Befugnis, dies zu tun. Daher müssen Unternehmen unter anderem in der Lage sein, Informationen der Regierung aufzunehmen, während wir beginnen, uns proaktiv zu verteidigen und eine dauerhafte Einbindung zu etablieren.
Dies sind neue Konstrukte – wir bauen neue Kräfte auf. Cyber Command und die National Security Agency stehen dabei gewissermaßen im Mittelpunkt, aber wir haben auch andere Geheimdienste und Strafverfolgungsbehörden, die proaktiv vorgehen. Es hilft jedoch nichts, wenn wir proaktiv vorgehen und dann sagen: „Hey, wir haben eine Sicherheitslücke entdeckt", aber die Unternehmen nicht bereit sind, ihre Systeme anpassungsfähig und flexibel zu aktualisieren.
Es gab eine ziemlich schwerwiegende Microsoft-Exchange-Sicherheitslücke, von der wir inzwischen wissen, dass sie auf eine chinesische Operation zurückzuführen war. Je länger diese Lücke also offen blieb, desto mehr Unternehmen im ganzen Land waren gefährdet, richtig?
Curran: Ja.
Harknett: Das US-Justizministerium war in der Lage, mithilfe einer sogenannten Regel 41, einer Durchsuchungs- und Beschlagnahmebefugnis, einzugreifen und diese Sicherheitslücke tatsächlich zu schließen.
Wir hatten Internet-of-Things-Geräte und bestimmte Servertypen; 260 000 waren kompromittiert und in das eingebunden worden, was wir als Botnetz bezeichnen. Sie werden also von einem einzigen Befehlsserver gesteuert. Eine wirklich, wirklich clevere Operation, meiner Meinung nach. Wir haben herausgefunden, wo sich der chinesische Befehlsserver befand, der diese 260 000 kompromittiert hatte, haben diesen Befehlsserver übernommen und ihn angewiesen, seine eigene Schadsoftware zu löschen – sich selbst von all diesen Geräten im privaten Sektor zu entfernen.
Die Chinesen sind also dort, [und] sie sollten nicht dort sein. Die US-Regierung greift nicht in den privaten Sektor amerikanischer Unternehmen ein. Sie bringt die Chinesen tatsächlich dazu, ihre eigenen Daten zu löschen. Wie kommt das zustande?
Das geschieht durch beharrliches Engagement und die Erkenntnis, dass sie ständig versuchen, Schwachstellen auszunutzen…. [In diesem Fall] hatten sie einen guten Tag; sie haben 260 000 kompromittiert.
Das bedeutet, dass sie für eine Weile die Initiative gewonnen haben. Doch durch beharrliches Engagement und vorausschauende Verteidigung haben wir herausgefunden, wo sich dieser Befehls-Server [befand], und konnten mithilfe einer äußerst cleveren Taktik den proprietären Bereich aller dieser IT-Geräte wiederherstellen.
Das gibt Ihnen also einen kleinen Einblick in die Dynamik, die in diesem Bereich stattfindet. Der private Sektor muss diese vorausschauende Haltung einnehmen. Wenn wir sie also auf Schwachstellen hinweisen können, darf man sich nicht fünf Monate Zeit lassen, um zu entscheiden, ob man sie behebt. Denn das sind Zeiträume, in denen man angreifbar ist.
Aber es gibt noch einen weiteren Aspekt, Mike, was die Geschäftspraktiken insbesondere größerer Unternehmen betrifft. Ihre Fähigkeit zur vorausschauenden Verteidigung liegt, wenn man so will, in besseren Praktiken mit ihren Lieferketten und ihren Zulieferern. Wenn Sie also Ihre Netzwerke mit einem nachgelagerten Zulieferer verbinden wollen, sollten Sie aus einer vorausschauenden Verteidigungsperspektive heraus wissen wollen, wie gut dieses Netzwerk ist.
Vor einigen Jahren beispielsweise wurde Target direkt am Point-of-Sale gehackt. Wenn man in ein Target-Geschäft ging und seine Karte durchzog, wurden die Kartendaten gestohlen. Diese Schadsoftware wurde über den HVAC-Zulieferer aller Target-Filialen eingeschleust. Man hätte wissen müssen, dass diese HVAC-Anlage tatsächlich angreifbar war, weil sie das Unternehmen verwundbar gemacht hat.
Es gibt also Praktiken, über die man bei der Vertragsgestaltung und der Beschaffung nachdenken kann. Sie müssen von Ihren Lieferanten ein bestimmtes Sicherheitsniveau einfordern.
Und es gibt eine weitere „Defend Forward"-Operation mit dauerhaftem Engagement, die wir durchführen und die wir als „Hunt Forward"-Operationen bezeichnen, über die das U.S. Cyber Command etwas mehr gesprochen hat. Die Kanadier haben es getan, die Briten haben es getan. Dabei lädt ein Land, ein Partnerstaat, die USA in seine Netzwerke ein. Das ist von vornherein eine große Vertrauensfrage. Doch indem wir in ihrem Netzwerk präsent sind und Seite an Seite mit ihnen arbeiten, können wir Dinge entdecken, die sie möglicherweise nicht entdeckt hätten, ihnen bei ihrem eigenen Netzwerk helfen und gleichzeitig diese Art von Erkenntnissen zur Verteidigung des Heimatlandes einsetzen.
Der bedeutendste öffentliche Fall, über den ich mit Ihnen sprechen kann, ist Oktober 2021, bevor russische Panzer in die Ukraine einrollten: Das U.S. Cyber Command führte tatsächlich eine „Hunt Forward"-Operation mit den Ukrainern durch, auf Einladung der Ukrainer, um in ihren Netzwerken tätig zu sein. Sie entdeckten eine ziemlich virulente, ziemlich ausgeklügelte Schadsoftware, die das Schienennetz in der Ukraine hätte lahmlegen können. Und wenn man etwas über die Ukraine weiß: Die Menschen fahren dort keine Autos – der Großteil der Bevölkerung fährt Zug.
Was wir also taten, war, diese Schadsoftware zu isolieren und dort zu belassen. Die Russen dachten weiterhin, es funktioniere, und handelten entsprechend. So [gewinnen wir] Erkenntnisse [und sind] in der Lage, zu unseren Transportnetzwerken zurückzukehren und zu sagen: „Hey, habt ihr diese Schwachstelle?" Wir sagen ihnen nicht, wie wir davon erfahren haben, aber: „Ihr habt diese Schwachstelle? Vielleicht ist das, was ihr tun müsst, um sie zu beheben."
Daraus ergibt sich die innere Sicherheit.
Und dann rollen im Februar die Panzer ein, [die Russen] drücken die Eingabetaste – und es funktioniert nicht. Die Financial Times aus London hat angedeutet, dass dies möglicherweise die erste Cyberoperation war, die Menschenleben gerettet hat, weil 1,2 Millionen Ukrainer in der ersten Woche der russischen Invasion mit dem Zug aus den Städten fliehen konnten.
Curran: Wow. Faszinierend.
Harknett: Also… eine ziemlich bedeutende Sache für nur eine einzige Art von Operation. Wenn man also bedenkt, was man durch vorausschauendes Handeln alles gewinnen kann – Unternehmen könnten dasselbe tun, oder?
Betrachten Sie das Vertragsumfeld als eine Einladung zur „vorausschauenden Suche". Ihr Lieferant sagt: „Hey, Sie können in meine Netzwerke kommen und sehen, dass ich tatsächlich die Standards erfülle, die Sie benötigen." Diese Unternehmen machen sich durch solche Maßnahmen zu attraktiveren Lieferanten.
Ich würde sagen, aus geschäftlicher Sicht gilt: Je mehr Cybersicherheit Sie bieten, desto attraktiver sind Sie in der Lieferkette. [Und] wir müssen dafür sorgen, dass es in beide Richtungen funktioniert, Mike. Wir brauchen größere Unternehmen, die von ihren Zulieferern bessere Praktiken einfordern, und aus wirtschaftlicher Anreizperspektive müssen diese kleineren Unternehmen ihre Sicherheit entlang der gesamten Lieferkette verbessern.
Curran: Ich meine, wenn Sie einen Cyberhygiene-Score von einer neutralen, vertrauenswürdigen Quelle hätten – sei es ein Ernst & Young, ein Accenture oder ähnliche Unternehmen –, der im Grunde besagt, dass dieser bestimmte Lieferant alle notwendigen Hygieneanforderungen erfüllt und als vertrauenswürdig eingestuft werden kann. Aber ich weiß nicht, ob es einen allgemein anerkannten Hygiene-Score gibt, mit dem die Menschen bei der Entscheidung über Lieferanten zufrieden wären, sagen wir mal….
Harknett: Nein, ich denke, das ist eine sehr treffende Beobachtung, und das ist ein Teil der Herausforderung der Theorie der Cyber-Persistenz und des Verständnisses, dass es sich um ein kontinuierlich dynamisches Umfeld handelt. Wir neigen dazu, Standards aus der Perspektive eines Compliance-Modells zu betrachten. Als würde man ein statisches Niveau von X erreichen, das ich über eine ganze Reihe von Bereichen operationalisieren kann. Und bin ich dann compliant, oder? Ich werde diese Excel-Tabelle überprüfen.
Und das wurde auf die Cybersicherheit angewendet – und es ist keine wirklich effektive Methode.
Denn seit wir heute miteinander sprechen, und das ist noch nicht sehr lange, hat irgendeine App auf Ihrem Telefon auf eine neue Version aktualisiert. Und meine gestrige Compliance hat das nicht erfasst.
Wir müssen unser Denken tatsächlich ändern, was es bedeutet, angemessen hygienisch und angemessen sicher zu sein. Ich formuliere es gerne so, dass es in der Cybersicherheit keine Best Practices gibt. Es gibt nur bessere Praktiken.
Was wir aus organisatorischer Sicht tun müssen, ist, dass Organisationen sich von diesem rein compliance-orientierten Modell lösen und eine Organisationsform einführen müssen, die besagt: <em>Jemand überprüft dies regelmäßig.</em> Ich habe einen Organisationsablauf, der sich anpasst und weiterentwickelt. Und leider tun wir das aus geschäftlichen Gründen; auf der Sicherheitsseite neigen wir nicht dazu, das zu tun.
Aber ich würde argumentieren, wenn wir anfangen zu verstehen, dass Sicherheit eine Geschäftsmöglichkeit ist, dann besagt dieser Mentalitätswandel, dass dies Teil eines erfolgreichen Geschäftsbetriebs im 21. Jahrhundert ist.
Curran: Vielen Dank für Ihre Zeit heute und viel Erfolg bei all der guten Arbeit, die Sie weiterhin leisten. Wir schätzen das sehr.
Harknett: Nun, vielen Dank und danke für die Plattform, um mit Ihren Zuhörern zu sprechen. Ich schätze das wirklich sehr und habe das Gespräch sehr genossen.
Curran: Ich habe mich mit Richard Harknett unterhalten, dem Direktor des Center for Cyber Strategy and Policy und Co-Direktor des Ohio Cyber Range Institute an der University of Cincinnati.
Wenn Sie mehr über proaktive Cybersicherheitsstrategien erfahren möchten, schauen Sie sich Focal Point, Taniums preisgekröntes Online-Cyber-Nachrichtenmagazin an; in den Show-Notizen finden Sie Links zu Artikeln. Oder besuchen Sie tanium.com/p für Publikationen.
Um weitere Gespräche mit den führenden Unternehmensverantwortlichen und Sicherheitsexperten von heute zu hören, abonnieren Sie Let's Converge in Ihrer bevorzugten Podcast-App. Und wenn Ihnen diese Episode gefallen hat, geben Sie uns bitte eine Fünf-Sterne-Bewertung.
Danke fürs Zuhören. Wir freuen uns darauf, in der nächsten Episode von Let's Converge weitere Cyber-Einblicke mit Ihnen zu teilen.
