Bedrohungslandschaft
Kenne deine Schwächen
Jeden Tag sehen sich Cybersicherheitsexperten mit neuen Schwachstellen konfrontiert. Um die nächste neue Bedrohung zu beheben, bleibt wenig Zeit. Ein risikobasierter Ansatz erweist sich daher in der Praxis oft als am effizientesten. Doch wie hat sich die Bedrohungslandschaft zuletzt entwickelt?
Die jährliche Anzahl der Schwachstellen steigt. So weisen die gemeldeten CVEs (Common Vulnerabilities and Exposures; siehe auch Erklärung und Grafiken anbei) von 2015 bis 2020 eine durchschnittliche jährliche Wachstumsrate von 36,6 Prozent auf. Konkret wurden im Jahr 2020 an die 18.358 CVEs gemeldet. Das stellt einen Anstieg von sechs Prozent gegenüber 2019 (17.305 gemeldete CVEs) und einen Anstieg von 183 Prozent gegenüber dem Jahr 2015 (6.487) dar. Die Tatsache, dass in den letzten drei Jahren jährlich über 16.000 CVEs gemeldet wurden, spiegelt eine neue Normalität für die Offenlegung von Schwachstellen wider. Für den durchschnittlichen Sicherheitsexperten ist es in der Folge schwieriger denn je, Prioritäten zu setzen und zu entscheiden, welche dieser Schwachstellen Aufmerksamkeit verdienen – denn nicht alle Schwachstellen sind gleich.
Sicherheitsvorfälle machen Handlungsbedarf deutlich
Datendiebstahl ist auf dem Vormarsch und die Folgen für Unternehmen können schwerwiegend sein. Tenable hat – in diesem Fall für den Zeitraum von 1. Januar bis 31. Oktober 2020 – insgesamt 730 öffentlich bekannt gewordene Ereignisse festgestellt. Hierbei wurden weltweit über 22 Milliarden Datensätze offengelegt. 35 Prozent der im gesamten Jahr 2020 analysierten Fälle von Datendiebstahl waren mit Ransomware-Angriffen verbunden, die enorme finanzielle Schäden verursachten. 14 Prozent der Sicherheitsverletzungen waren das Ergebnis von E-Mail-Kompromittierung. Darüber hinaus gingen sechs Prozent der Vorfälle auf falsch konfigurierte Datenbanken und Server zurück. Der größte Anteil der analysierten Datensicherheitsverletzungen entfiel auf das Gesundheitswesen (25 Prozent), wo fast acht Millionen Datensätze betroffen waren. Technologieunternehmen (15,5 Prozent), das Bildungswesen (13 Prozent) und Behörden (12,5 Prozent) waren ebenfalls häufige Ziele.
Browser im Visier
Schwachstellen, die für Schlagzeilen sorgen, setzen Sicherheitsexperten unter Druck auch dann zu reagieren, wenn die Bedrohung für das Unternehmen gering ist. Die entsprechende Überprüfung zeigt, dass nicht jede kritische Schwachstelle einen Namen und ein Logo erhalten hat. Umgekehrt sollte nicht jede Schwachstelle mit Namen und Logo als kritisch angesehen werden. Bei der Abwägung müssen andere Faktoren berücksichtigt werden – wie das Vorhandensein von Proof-of-Concept (PoC)-Exploit-Code und die Komplexität.
Webbrowser wie Google Chrome, Mozilla Firefox, Internet Explorer und Microsoft Edge sind oft das Hauptziel für sogenannte Zero-Day-Schwachstellen – so bezeichnet, weil die Entdeckung der Schwachstelle und der erste Angriff (Zero-Day-Exploit) am selben Tag erfolgen, somit also null Tage dazwischen liegen. Von den 29 Zero-Day-Schwachstellen, die im Jahr 2020 bekannt wurden, waren über 35 Prozent browserbasiert. Browser bergen zwar nicht unbedingt das größte Risiko, aber da sie das Tor zum Internet sind, ist das Patchen der Geräte, die Browser nutzen, für die Sicherheit des Unternehmensnetzwerks dennoch unerlässlich. Firewalls, Domain-Controller und VPNs könnten bei einer Kompromittierung deutlich größere Auswirkungen haben, was noch mehr Sorgfalt erforderlich macht.
|
Common Vulnerabilities and Exposures |
|---|
|
Bei Common Vulnerabilities and Exposures (CVE), zu Deutsch „häufige Schwachstellen und Anfälligkeiten“, handelt es es sich um einen Industriestandard, dessen Ziel die Einführung einer einheitlichen Namenskonvention für Sicherheitslücken und andere Schwachstellen in Computersystemen ist. Mehrfachbenennung gleicher Gefahren durch verschiedene Unternehmen und Institutionen werden um eine laufende Nummer – zum Beispiel CVE-2006-3086 – ergänzt. Somit ist eine eindeutige Identifizierung der Schwachstelle möglich und ein reibungsloser Informationsaustausch zwischen den verschiedenen Datenbanken einzelner Hersteller kann gewährleistet werden. Vergeben werden die CVE-Nummern seit 1999. Bis Ende 2013 waren die fortlaufenden Nummern eines Jahres immer vierstellig und mit führender Null angegeben, etwa CVE-2007-0014. Weil dieses Format nicht mehr ausreichend war, sind seither beliebig viele Stellen erlaubt, mindestens jedoch vier. Verwaltet wird die Liste der Common Vulnerabilities and Exposures von der Mitre Corporation in Zusammenarbeit mit den CVE Numbering Authorities (Sicherheitsexperten, Bildungseinrichtungen, Behörden und Herstellern von Sicherheitssoftware). (DK)
|
- Kenne deine Schwächen
- Sommer 2020: CVE-Hochsaison statt Entspannung
Lesen Sie mehr zum Thema
