Es ist kein sexy, hochmodernes Verfahren, doch Untersuchungen zeigen, dass umfassendes Asset-Management das beste Mittel ist, um die am häufigsten ausgenutzten Schwachstellen zu entschärfen.
Ein Joint Cybersecurity Advisory, verfasst von der U.S. Cybersecurity and Infrastructure Security Agency (CISA), dem Australian Cyber Security Centre (ACSC), dem National Cyber Security Centre (NCSC) des Vereinigten Königreichs und dem U.S. Federal Bureau of Investigation (FBI), stellte die 30 Schwachstellen vor, die im Jahr 2020 regelmäßig ausgenutzt wurden. Die Bedeutung, Software-Assets aktuell und regelkonform zu halten, wird dadurch überdeutlich.
Dieser Artikel erläutert die wichtigsten Erkenntnisse des gemeinsamen Advisories, erörtert Verfahren, mit denen Sie den gesamten Bestand Ihrer Software-Assets erfassen können, und zeigt abschließend, wie eine bessere Transparenz zu schnelleren Behebungszeiten führt.
Angreifer werden immer aggressiver
Das Top Routinely Exploited Vulnerabilities Advisory zeigte, dass vier der 12 CVEs, die 2020 am häufigsten ausgenutzt wurden, im Laufe des Jahres 2020 veröffentlicht worden waren. Da viele dieser CVEs erst zur Jahresmitte bekannt gegeben wurden, verloren Angreifer keine Zeit, diese Werkzeuge in ihr Arsenal aufzunehmen. Betrachtet man den Zeitraum insgesamt, wurden alle 12 CVEs innerhalb der vorangegangenen drei Jahre, also von 2017 bis 2020, veröffentlicht. Kurz gesagt: Diese Untersuchung zeigt, dass kritische CVEs, die in den vergangenen Wochen veröffentlicht wurden, sehr wahrscheinlich ausgenutzt werden.
Wenn Sie länger als sechs Wochen warten, um Ihre Systeme zu patchen oder zu aktualisieren, ist es zu spät. Unternehmen haben oft aufwendige Patch-Zyklen, die Wochen bis Monate dauern. Lange Patch-Zyklen bieten Angreifern ideale Gelegenheiten, Sicherheitslücken auszunutzen.
Effektives Asset-Management muss dynamisch sein und auf die neu entstehenden Bedrohungen von heute reagieren. Deshalb priorisieren die branchenüblichen 18 CIS Controls (früher SANS Top 20) den Software- und den Hardware-Asset-Bestand als die beiden wichtigsten Schwerpunktbereiche Ihrer Sicherheitsstrategie und tragen so zum Aufbau eines kontinuierlichen Schwachstellenmanagementsystems.
Eine umfassende Transparenz über und Verwaltung von Assets bildet die Grundlage für die Sicherheitsarchitektur Ihres Unternehmens. Mit einer vollständigen Abbildung Ihrer Umgebung können Sie Ihre Assets problemlos in großem Maßstab verwalten. Während sich Ihr Unternehmen weiterentwickelt, wird Ihre Angriffsfläche zunehmend komplexer und das Risiko größer, dass Software und Hardware übersehen werden. Jeden einzelnen Endpunkt zu erfassen, ist daher der entscheidende erste Schritt zu guten Sicherheitspraktiken.
Was gemessen wird, wird erledigt
Im Vergleich zu herkömmlichen Anbietern mit punktuellen Tools bietet eine Extended-Detection-and-Response-Lösung (XDR) eine umfassende, einheitliche Plattform, um Cloud-, Container- und herkömmliche Endpunkt-Assets zu inventarisieren und abzusichern. Mit einer XDR-Plattform können Sie den Asset-Bestand in Echtzeit erfassen und Einblick in die Vorgänge innerhalb Ihrer Unternehmensumgebung gewinnen.
Führende XDR-Lösungen normalisieren den Datenstrom Ihrer Assets in einer Datenbank, die sich einfach durchsuchen lässt. Ganz gleich, ob Sie Fragen zu Ihren Containerkonfigurationen haben, eine Live-Prüfung von Anwendungen durchführen oder Informationen zu einem bestimmten Softwarepaket suchen: Eine XDR-Plattform sollte Ihnen sofort eine Antwort liefern.
Mit einer XDR-Lösung beginnen Sie mit einer Dashboard-Übersicht Ihrer Assets und können anschließend nahtlos zu detaillierten Informationen über einzelne Assets wechseln.
Bei der Abwehr neuer Bedrohungen macht eine einheitliche Asset-Management-Plattform Ihr Team schneller bei der Analyse, Erkennung und Reaktion. Erweiterter Schutz geht über Transparenz hinaus: Sie können Ihre Plattform so konfigurieren, dass sie Ihrem Team die aufwendige Arbeit abnimmt und Echtzeit-Einblicke in überlastete Ressourcen, Sicherheitsausfälle und seltene Anomalien liefert.
Stellen Sie historische Konfigurationen wieder her, um den früheren Zustand Ihrer Sicherheitslage zu verstehen oder zu ermitteln, ob eine bestimmte Software Leistungsprobleme verursacht hat. Es empfiehlt sich, historische Daten der vergangenen 30 bis 90 Tage zu speichern. Historische Daten werden zu einem leistungsfähigen Instrument, um Risiken im Zeitverlauf zu bestimmen. Außerdem können Sie damit Abfragen zum aktuellen oder früheren Zustand Ihrer Rechner ausführen.
Wie Transparenz den Behebungszyklus beschleunigt
Im Zusammenhang mit neu auftretenden kritischen Schwachstellen kann eine XDR-Lösung einen mehrmonatigen Behebungs- und Patch-Zyklus auf einen Bruchteil dieser Zeit verkürzen. Sehen wir uns zunächst einen herkömmlichen Schwachstellenmanagement-Zyklus an und ermitteln dann, an welchen Stellen eine bessere Asset-Transparenz den Druck auf IT-Mitarbeiter verringert und eine schnellere Behebung ermöglicht.
Die herkömmliche Methode zur Behebung von Software-Schwachstellen:
- Eine neue kritische CVE tritt auf. Das Sicherheitsteam wird in der Regel über neue, medienwirksame kritische CVEs informiert. Da diese Schwachstelle jedoch einen kleineren Anbieter betrifft, erhält sie nicht dieselbe Aufmerksamkeit wie ein Exploit von Microsoft oder in einer großen Netzwerkinfrastruktur.
- Sie verfügen über ein herkömmliches Tool zur Schwachstellensuche, das eine punktuelle Analyse sämtlicher Software auf den von einem Agenten erfassten Assets durchführt. Dieser Scan verursacht einen starken Anstieg der Ressourcennutzung, sodass Sie ihn nur einmal täglich oder wöchentlich ausführen können. Ihr Team ist bereits unterbesetzt und überlastet, daher findet wöchentlich oder zweiwöchentlich ein Meeting statt, um die Scan-Ergebnisse zu überwachen. Sie haben Warnmeldungen und ein Dashboard konfiguriert, doch der Rückstand an zu behebenden CVEs sorgt für so viel Rauschen, dass die neuen Erkenntnisse in Ihrem Kanal untergehen.
- Eine Woche ist vergangen, und Ihr Team sieht die neue Erkenntnis. Sie scheint relevant zu sein, doch ihre angemessene Priorität ist unklar. Das Team beschließt, sie als Punkt für das bevorstehende Meeting vorzumerken.
- Die Erkenntnis wird im zweiwöchentlichen Meeting angesprochen. Fragen kommen auf, zum Beispiel: Welche Assets führen diese Software aus? Handelt es sich um einen Fehlalarm? Wer wartet die Assets, auf denen diese Software läuft? Wer hat die Kapazitäten, sich darum zu kümmern? Wie kritisch scheint die Erkenntnis zu sein? Betrifft sie internetseitig erreichbare Assets? Falls ja, wie viele? Enthalten diese Assets sensible Daten? Gibt es überhaupt eine Liste aller Assets, auf denen diese Software läuft? Nehmen wir Kontakt zum Dev- oder Ops-Team auf und klären wir, wie sich eine Änderung der Konfiguration oder ein Upgrade auf den derzeit stabilen Build auswirken könnte.
- Es dauert noch ein paar Tage, bis vollständig geklärt ist, wo diese Software läuft, wofür die betreffenden Assets sie einsetzen und in welchem Maß diese Assets dem Internet ausgesetzt sind. Zwei Wochen nach der Veröffentlichung stellt das Team schließlich fest, dass die Schwachstelle in seiner Umgebung vorhanden und relevant ist.
- Ihr Team beginnt mit der Behebung. Trotz der Dringlichkeit dieser Schwachstelle verfügen Sie über geschäftskritische Produktionsprozesse, die nicht unterbrochen werden können. Sie benötigen einen Prozess von mehreren Wochen bis mehreren Monaten, um einen Fix zunächst in der niedrigsten Testumgebung zu implementieren und seine Auswirkungen auf die Leistung zu überwachen. Nachdem Sie sichergestellt haben, dass er in den Testumgebungen stabil läuft, prüfen Sie die schrittweise Überführung in höhere Umgebungen bis hin zur Produktion.
- Schließlich endet dieser mehrmonatige Zyklus mit einem Fix in der Produktion, und Sie haben die neue CVE erfolgreich entschärft, indem Sie Ihre Assets wie empfohlen aktualisiert oder neu konfiguriert haben.
In diesem Szenario wird deutlich, wie viel Zeit zwischen der Veröffentlichung der CVE, ihrer internen Wahrnehmung, dem vollständigen Verständnis durch ein Team, der Priorisierung des Fixes sowie seiner Implementierung und Prüfung vergeht. Hoffentlich spiegeln die oben beschriebenen Schritte nicht exakt die derzeitigen Praktiken Ihres Unternehmens wider. Entscheidend ist jedoch, was erweiterte Transparenz und Asset-Management leisten können, um die Zeit für zwei Phasen zu verkürzen: 1) das vollständige Verständnis der Situation und 2) die sichere Implementierung des Fixes. XDR-Tools beantworten Fragen zu Umfang und Priorität schnell und schaffen außerdem Transparenz über die betrieblichen Auswirkungen eines Patches oder Upgrades.
Eine bessere Transparenz und tiefere Einblicke ermöglichen es Teams, die Gesamtsituation sofort zu verstehen und die genannten zentralen Fragen zu Asset-Eigentümern, Datensensibilität und letztlich zur Priorisierung zu beantworten. Herkömmliche Methoden stützen sich zu stark auf die Kommunikation zwischen Teams oder auf einzelne wichtige Personen im Unternehmen. Über eine zentrale Übersicht können Sicherheitsteams ihre gesamte Asset-Flotte schnell bewerten und in Echtzeit auf die Assets mit der höchsten Priorität eingrenzen. Ermitteln Sie sofort, welche Teilmenge der Assets höchste Priorität hat, oder prüfen Sie, ob angemessene kompensierende Kontrollen vorhanden sind, um die neue CVE zu entschärfen.
Während der Behebungsphase braucht die Implementierung eines Fixes Zeit, da Sie Patches oder aktualisierte Konfigurationen schrittweise überwachen und ausrollen. Diese Verzögerungen geben Angreifern mehr Zeit, in Ihre Umgebung einzudringen und sensible Daten abzuschöpfen. Erweiterte Transparenz im Behebungszyklus verkürzt die für die Validierung eines Fixes benötigte Zeit, indem die Leistung Ihrer Endpunkte in Entwicklungs-, Test- und Produktionsumgebungen umfassend überwacht wird. So lassen sich Leistungsprobleme durch den angewendeten Fix sofort erkennen. Die herkömmliche Methode, mehrere Tage oder Wochen zu warten, bevor Patches in höhere Umgebungen überführt werden, ist in der heutigen Bedrohungslandschaft nicht mehr tragfähig. Eine XDR-Lösung verschafft Teams die nötige erweiterte Transparenz, um Updates sicher in der gesamten Flotte auszurollen und einen Fix in deutlich kürzerer Zeit zu validieren.
Niemand kann vorhersagen, wie die nächste Bedrohung aussehen wird. Wir können unsere Teams jedoch mit den besten Tools und Prozessen ausstatten, damit sie sicher auf jede Art von CVE reagieren können. Mit erweiterter Transparenz, einzigartigen Erkenntnissen und Asset-Management in Echtzeit machen Sie Ihr Team bereit für die Bedrohungen von morgen.
Über den Autor:
Jeremy Colvin, Technical Product Analyst, Uptycs