Bedrohungslandschaft
Kenne deine Schwächen
Fortsetzung des Artikels von Teil 1
Sommer 2020: CVE-Hochsaison statt Entspannung
Durch die Veränderungen für die Belegschaft infolge der Covid-19-Pandemie wurde klar, dass die Sicherung von VPN-Lösungen wichtiger denn je ist. Zwei der wichtigsten Schwachstellen, die von Ransomware-Gruppen ausgenutzt werden, sind zwei VPN-Schwachstellen im Citrix ADC-Controller, die Gateway-Hosts (CVE-2019-19781) und Pulse Connect Secure (CVE-2019-11510) betreffen. Diese Schwachstellen sind ein Dreh- und Angelpunkt für nationalstaatliche Bedrohungsakteure, durchschnittliche Cyberkriminelle und Ransomware-Banden.
Mit der hektischen Umstellung auf Fernarbeit und Fernunterricht geriet auch das Remote-Desktop-Protokoll (RDP) ins Visier der Cyberangreifer, insbesondere bei Ransomware-Angriffen. Das verstärkte Interesse an RDP begann bereits 2019 mit CVE-2019-0708, einer kritischen Pre-Authentication-RCE-Schwachstelle in Remote Desktop Services, „BlueKeep“ genannt. Zur Ausnutzung von BlueKeep muss der Angreifer eine böswillige Anfrage an den RDP-Dienst senden, was zur vollständigen Übernahme eines anfälligen Geräts führen kann. Bislang waren alle Windows OS-Varianten von mindestens einer RDP-RCE-Schwachstelle betroffen.
Eine weitere Besonderheit der Bedrohungslandschaft im vergangenen Jahr: Im Sommer 2020 wurden innerhalb von drei Monaten 547 Schwachstellen veröffentlicht, darunter eine Reihe kritischer Schwachstellen. Dies stellte IT-Administratoren vor eine große Herausforderung, ihr Unternehmen vor einer Flut neuer Bedrohungen zu schützen. Der plötzliche Anstieg von Schwachstellen, der sogar als „CVE-Saison“ bezeichnet wurde, machte deutlich, dass Sicherheitsteams einen risikobasierten Ansatz für die Behebung von Schwachstellen umsetzen müssen.
Patchen kritischer Sicherheitslücken
Ransomware (siehe auch Folge-Artikel) ist nach wie vor die globale Cyberbedrohung mit den größten Auswirkungen. In diesem Jahr erweisen sich neue Erpressungstaktiken, wie das Betreiben von Leak-Websites, um die Opfer zu verunglimpfen, als lukrativ für Angreifergruppen, die auf Lösegeldzahlungen spekulieren. Diese Bedrohung betrifft praktisch jede Branche und hat eine Vielzahl von Ursachen, die Sicherheitsteams in ihrer Verteidigungsstrategie allesamt berücksichtigt müssen. Staatliche Gruppen von Akteuren nutzen bekannte Schwachstellen weiterhin aus, um insbesondere Bildungseinrichtungen und Kliniken anzugreifen. Der Einsatz von cloudbasierter Software, Videokonferenz-Tools und E-Learning-Angeboten hat die Cyberangriffsfläche erweitert. Die Gefahr ist bereits so groß geworden, dass Expertengruppen mehrfach Warnungen ausgesprochen haben, so auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) im Herbst letzten Jahres. Sicherheitslücken gilt es daher rechtzeitig zu patchen.
Handlungsempfehlungen für eine risikobasierte Sicherheitsstrategie
Cyberbedrohungen in den Griff zu bekommen, ist durch die pandemiebedingten Veränderungen noch anspruchsvoller geworden. In Anbetracht der neuen Herausforderungen, die das Jahr 2021 mit sich bringen dürfte, gilt es, sechs Handlungsempfehlungen im Hinterkopf zu behalten:
- Schwachstellen richtig beurteilen: Seit dem Bekanntwerden der Heartbleed-Schwachstelle im Jahr 2014 ist es in Mode gekommen, Schwachstellen zu benennen und sie mit einem Logo zu versehen. Das Branding sollte nicht der entscheidende Faktor sein, wenn es um die Schwere einer Schwachstelle geht. Hilfreicher ist ein genauerer Blick in den CVSS-Score und andere Risikobewertungen, einschließlich der Verfügbarkeit von Proof-of-Concept-Exploits und der Leichtigkeit der Ausnutzung. Bei Schwachstellen kommt es auf den Kontext an.
- Nicht gepatchte Schwachstellen sind ein größeres Problem als Zero-Days: Während Zero-Day-Schwachstellen oft im Rahmen gezielter Angriffe ausgenutzt werden, stellen ungepatchte Schwachstellen eine weitaus größere Bedrohung dar, da sie massenhaft angegriffen werden. Unternehmen sollten die Assets in ihren Umgebungen identifizieren, die für ältere Schwachstellen anfällig sind, und entsprechende Patches sofort anwenden. Erhalten ältere Softwarelösungen keine Sicherheitsupdates mehr, ist ein Upgrade auf eine aktuelle Lösung mit aktivem Support-Vertrag unerlässlich.
- Ransomware nicht aus dem Blick verlieren: Ransomware ist nach wie vor die größte Bedrohung für Unternehmen. Die Auswirkungen sind nicht nur mit Serviceunterbrechungen und Ausfallzeiten für Mitarbeiter verbunden. Wenn die Preisgabe von Unternehmens- oder Kundendaten zu einem Druckmittel wird, steht noch mehr auf dem Spiel. Darüber hinaus üben Angreifer durch anhaltende Denial-of-Service-Angriffe auf die Firmenwebsite noch mehr Druck auf die Opfer aus, zu zahlen. Unternehmen sollten daher alle verfügbaren Maßnahmen umsetzen, um sich zu schützen.
- Faktor Mensch berücksichtigen: Viele der Infrastrukturen und Implementierungen, die in kürzester Zeit für die Fernarbeit aufgebaut wurden, sind ein Hauptziel für Cyberkriminelle, die darauf aus sind, schlechte Cyberhygienepraktiken auszunutzen. In diesem Klima der Ungewissheit ist es wichtig, vorausschauend zu planen und den Zugriff auf alle kritischen Ressourcen in der erweiterten Unternehmens-umgebung im Blick zu behalten.
- Datendiebstahl verhindern: Datensicherheitsverletzungen sind meist auf Ransomware und E-Mail-Kompromittierungen zurückzuführen. Die Behebung ungepatchter Schwachstellen, die Implementierung starker Sicherheitskontrollen für das Remote-Desktop-Protokoll, die Umsetzung aktueller Endpunktsicherheit und die regelmäßige Durchführung von Schulungen zum Sicherheitsbewusstsein sind Schritte, um einige dieser Angriffe zu vereiteln. Ebenso ist es wichtig, sicherzustellen, dass für Datenbanken und Server, einschließlich der in der Cloud gehosteten Dienste wie Amazon Simple Storage Service (S3) und Google Cloud Storage (GCS), angemessene Sicherheitskontrollen vorhanden sind.
- Schwachstellenflut bewältigen: Angesichts Hunderter Schwachstellen, die regelmäßig veröffentlicht werden, ist es aus Verteidigerperspektive schon schwierig genug, Prioritäten bei deren Behebung zu setzen. Hinzu kommt die Herausforderung, die vielen neuen Fernmitarbeiter zu schützen. Unternehmen müssen ihr gesamtes Netzwerk inventarisieren, ihre kritischsten Assets identifizieren und sicherstellen, dass diese in einem angemessenen Zeitrahmen mit Patches versorgt werden. Zusätzliche Indikatoren, wie der CVSSv3-Score und die Verfügbarkeit von PoC Exploit Scripts, können weitere Erkenntnisse darüber liefern, ob eine Schwachstelle mit höherer Wahrscheinlichkeit in freier Wildbahn ausgenutzt wird. Sie helfen dem Sicherheitsteam auch dabei, sich zuerst auf die schwerwiegendsten Bedrohungen für ihr Netzwerk zu konzentrieren.
Aus der Vergangenheit lernen
Unternehmen auf der ganzen Welt bereiten sich derzeit auf die neuen Herausforderungen der Cybersicherheit im Jahr 2021 vor. Jetzt ist es wichtig, innezuhalten und einen Blick auf die wichtigsten Schwachstellen und Risiken des vergangenen Jahres zu werfen. Zu verstehen, welche Unternehmenssysteme von diesen Schwachstellen betroffen sind, gibt Aufschluss darüber, welche Schwachstellen derzeit das größte Risiko darstellen. Diese Erkenntnisse können Cybersicherheitsexperten dabei helfen, Lücken in ihren Praktiken zu identifizieren und einen risikobasierten Ansatz für das Schwachstellenmanagement umzusetzen oder zu optimieren.
Jens Freitag, Security Engineer DACH bei Tenable
- Kenne deine Schwächen
- Sommer 2020: CVE-Hochsaison statt Entspannung
Lesen Sie mehr zum Thema
