Under Attack?
Im Bereich der Cybersicherheit gehen manche Sicherheitslücken über ihre technische Schwere hinaus und werden zu branchenprägenden Ereignissen. Log4Shell im Jahr 2021 war eines davon. In jüngerer Zeit haben Sicherheitslücken, die unter dem Oberbegriff „PHP2Shell“ zusammengefasst werden, weltweit erneut ähnliche Bedenken bei Sicherheitsteams ausgelöst.
In beiden Fällen geht die Lehre weit über einen CVSS-Wert hinaus.
Die Grenzen des CVSS-zentrierten Denkens
Sicherheitsexperten nutzen häufig Frameworks wie CVSS, um Abhilfemaßnahmen zu priorisieren – und das zu Recht. Doch Sicherheitslücken, die weltweite Aufmerksamkeit erregen, erinnern uns daran, dass das Risiko nicht allein durch den technischen Schweregrad bestimmt wird. Die tatsächlichen geschäftlichen Auswirkungen einer Sicherheitslücke werden von einer Kombination verschiedener Faktoren beeinflusst: der Verbreitung der betroffenen Technologie, der Leichtigkeit der Ausnutzung, der Verfügbarkeit von öffentlichem Proof-of-Concept-Code, der Exposition im Internet und der Geschwindigkeit, mit der Angreifer neue Angriffsvektoren für ihre Zwecke nutzen.
Wenn diese Faktoren zusammenkommen, stehen Unternehmen vor einer weitaus größeren Herausforderung als nur der Installation eines Patches.
Ein CVSS-Score liefert eine wichtige technische Bewertung einer Sicherheitslücke, erfasst jedoch nicht das gesamte operative Risiko.
Betrachten Sie die Fragen, die Sicherheitsverantwortliche stellen sollten, wenn eine kritische Sicherheitslücke bekannt wird:
- In welchem Umfang ist die anfällige Technologie im gesamten Unternehmen im Einsatz?
- Ist sie dem Internet ausgesetzt?
- Kann eine Ausnutzung zu einer Remote-Code-Ausführung (RCE) führen?
- Wie schnell übernehmen Angreifer die Exploit-Techniken?
- Wie schwierig ist es, jede betroffene Instanz genau zu identifizieren?
- Wie lange wird die Behebung realistisch gesehen dauern?
Die Antworten auf diese Fragen liefern oft ein genaueres Maß für das Risiko eines Unternehmens als der CVSS-Score selbst.
Genau das machte Log4Shell so einschneidend. Unternehmen weltweit hatten nicht deshalb Schwierigkeiten, weil sie die Sicherheitslücke nicht verstanden, sondern weil sie oft nicht wussten, wo die anfällige Komponente eingesetzt wurde. Verborgene Abhängigkeiten, eingebettete Software, Anwendungen von Drittanbietern und unvollständige Bestandsaufnahmen der IT-Ressourcen führten zu einer Transparenzlücke, die wochen- und in manchen Fällen sogar monatelang bestand.
Auch heute beobachten wir noch immer ähnliche Muster, wann immer hochgradig ausnutzbare Schwachstellen auftauchen.
Die Realität: Eine sofortige Behebung ist nicht immer möglich
Sicherheitsrahmenwerke gehen häufig davon aus, dass kritische Schwachstellen so schnell wie möglich behoben werden sollten. Das ist zwar das ideale Ergebnis, doch jeder, der in Unternehmensumgebungen arbeitet, kennt die praktischen Realitäten.
Das Patchen geschäftskritischer Systeme erfordert oft:
- Genehmigungen im Rahmen des Änderungsmanagements
- Tests zur Anwendungskompatibilität
- Wartungsfenster
- Validierungsprozesse durch den Anbieter
- Bewertungen des Betriebsrisikos
- Genehmigung durch die Geschäftsverantwortlichen
Altsysteme können die Behebungsmaßnahmen zusätzlich erschweren. In manchen Fällen sind Patches möglicherweise nicht einmal sofort verfügbar.
Das Ergebnis ist eine häufige und unangenehme Situation: Die Sicherheitslücke ist bekannt, ein Missbrauch ist möglich, aber eine Behebung kann nicht sofort erfolgen.
An dieser Stelle wird die Reife der Organisation zum entscheidenden Faktor.
Die Sicherheitslage ist wichtiger denn je
Wenn eine sofortige Behebung nicht möglich ist, benötigen Unternehmen alternative Kontrollmaßnahmen, die das Risiko mindern und Angreifer aufhalten.
Hier zeigt sich der Wert einer starken Sicherheitslage.
Ein widerstandsfähiges Unternehmen sollte in der Lage sein:
-
ihre Angriffsfläche zu kennen
Unternehmen können keine Ressourcen schützen, von deren Existenz sie nichts wissen.
Umfassende Funktionen für das Asset-Management und die Software-Bestandsaufnahme bieten die erforderliche Transparenz, um bei Auftreten einer viel beachteten Sicherheitslücke das Risiko schnell einzuschätzen.
Die Fähigkeit, die Frage „Sind wir betroffen?“ innerhalb von Stunden statt Tagen zu beantworten, kann das Geschäftsrisiko erheblich verringern.
-
Implementierung mehrschichtiger Abwehrmaßnahmen
Eine Strategie der mehrschichtigen Verteidigung kann die Wahrscheinlichkeit einer erfolgreichen Ausnutzung erheblich verringern, bevor eine dauerhafte Behebung umgesetzt wird.
Beispiele hierfür sind:
- Web-Anwendungs-Firewalls (WAF)
- Intrusion-Prevention-Systeme (IPS)
- Netzwerksegmentierung
- Absicherung von Anwendungen
- Ausgleichsmaßnahmen
- Technologien für virtuelles Patching
Diese Kontrollmaßnahmen können die Schwachstelle zwar nicht beseitigen, aber sie können die Möglichkeiten des Angreifers, sie auszunutzen, drastisch einschränken.
Verbesserung der Erkennung und Bedrohungssuche
Unternehmen sollten davon ausgehen, dass öffentliche Ausnutzungsversuche kurz nach der Offenlegung beginnen werden.
Aus diesem Grund müssen Sicherheitsteams rasch Folgendes entwickeln:
- SIEM-Erkennungsregeln
- XDR-Analysen
- Anwendungsfälle für die Bedrohungssuche
- Überwachung von Indikatoren für Kompromittierung
- Strategien zur Protokollsammlung und -anreicherung
Eine frühzeitige Erkennung kann den Unterschied ausmachen zwischen der Abwehr eines Einbruchsversuchs und der Reaktion auf einen schwerwiegenden Sicherheitsvorfall.
Reduzierung von MTTD und MTTR
Bei groß angelegten Schwachstellenereignissen gewinnen zwei Kennzahlen besondere Bedeutung:
Mean Time To Detect (MTTD)
und
Mean Time To Respond (MTTR)
Je schneller ein Unternehmen verdächtige Aktivitäten erkennen und Eindämmungsmaßnahmen einleiten kann, desto geringer sind die potenziellen Auswirkungen.
Bei vielen Vorfällen entsteht der größte Schaden in den ersten Stunden nach dem Angriff. Die Verkürzung der Reaktionszeiten begrenzt direkt die Verweildauer des Angreifers und potenzielle Betriebsstörungen.
Die Bedeutung der Vorbereitung auf Vorfälle
Eine der wertvollsten Erkenntnisse aus Log4Shell war nicht technischer, sondern operativer Natur.
Unternehmen mit klar definierten Plänen zur Vorfallreaktion, getesteten Playbooks und eindeutigen Entscheidungsprozessen konnten weitaus effektiver reagieren als solche, die erst während der Krise versuchten, Verfahren zu entwickeln.
Vorbereitung bedeutet, Folgendes zu haben:
- Playbooks für die Vorfallreaktion bereitstehen, bevor die nächste kritische Sicherheitslücke auftritt
- definierte Eindämmungsmaßnahmen
- Eskalationswege bis zur Führungsebene
- Pläne für die Krisenkommunikation
- Integration von Bedrohungsinformationen
- Fähigkeiten zur kontinuierlichen Überwachung
Die nächste große Sicherheitslücke wird nicht im Voraus angekündigt. Die entsprechenden Vorkehrungen müssen bereits getroffen sein.
Die eigentliche Lehre
Die nächste kritische Sicherheitslücke ist unvermeidlich.
Ob sie nun Log4Shell, PHP2Shell oder ganz anders heißt – Unternehmen werden weiterhin mit sich rasch entwickelnden Bedrohungen konfrontiert sein, die ihre Reaktionsfähigkeit auf die Probe stellen.
Die widerstandsfähigsten Unternehmen sind nicht unbedingt diejenigen, die jedes System sofort patchen können. Es sind vielmehr jene Unternehmen, die ihre Umgebung verstehen, kontinuierlich nach Bedrohungen Ausschau halten, wirksame Ausgleichskontrollen implementieren und bei Vorfällen entschlossen reagieren.
Die Frage ist nicht, ob die nächste große Sicherheitslücke auftreten wird.
Die Frage ist, ob Ihr Unternehmen darauf vorbereitet ist, die Auswirkungen einzudämmen, wenn es soweit ist.
Wie Integrity360 Organisationen dabei hilft, Widerstandsfähigkeit aufzubauen
Wir bei Integrity360 wissen, dass es beim Schwachstellenmanagement nicht mehr nur um das Installieren von Patches geht. Es geht darum, Risiken über den gesamten Lebenszyklus eines Sicherheitsvorfalls hinweg zu managen.
Durch Dienstleistungen wie:
Wir unterstützen Unternehmen dabei, ihre Sicherheitslage zu stärken, die Transparenz in ihren Umgebungen zu verbessern und die Erkennungs- und Eindämmungszeiten deutlich zu verkürzen.
Wenn eine sofortige Behebung nicht möglich ist, konzentrieren wir uns darauf, sicherzustellen, dass Unternehmen über die erforderlichen Transparenz-, Überwachungs- und Reaktionsfähigkeiten verfügen, um den Erfolg von Angreifern einzudämmen und die Betriebsresilienz aufrechtzuerhalten.
