Falsch konfigurierte Systeme und ungepatchte Software bieten Angreifern die Möglichkeit, das Unternehmensnetzwerk zu infiltrieren
Sicherheitsexperten von F-Secure finden Sicherheitslücken in Unternehmensnetzwerken
Eine im Frühjahr 2016 durchgeführte Untersuchung von Firmennetzwerken durch die finnischen Cyber-Security-Spezialisten von F-Secure identifizierte Tausende von schwerwiegenden Sicherheitslücken, durch die sich Angreifer unbemerkt Zugang zu den Unternehmen verschaffen hätten können. Mithilfe von F-Secure Radar, der Vulnerability-Scanning- und Management-Lösung für Software-Schwachstellen von F-Secure, wurden im Rahmen der Untersuchung Zehntausende Fälle von falsch konfigurierten Systemen, ungepatchter Software und anderen Anfälligkeiten aufgedeckt - für die Sicherheitsexperten ein klarer Beweis, dass viele Unternehmen über keinen ausreichenden Überblick ihrer Netzwerke verfügen.
Das Ergebnis der Untersuchung sei besorgniserregend: Die im Rahmen der Untersuchung hundert häufigsten in Firmennetzwerken erkannten Schwachstellen ließen sich in insgesamt fast 85.000 Fällen nachweisen. In etwa sieben Prozent dieser Fälle ist die Sicherheitsschwäche – laut den Richtlinien der National Vulnerability Database – als „schwerwiegend“ einzustufen. Fast die Hälfte dieser schwerwiegenden Sicherheitslücken waren ausnutzbar und könnten es Angreifern erlauben, durch die Ausführung von Remote-Code die Kontrolle über infiltrierte Systeme zu erlangen. Und fast alle dieser ausnutzbaren Schwachstellen wären durch die richtigen Software-Patches oder ganz simple administrative Änderungen leicht zu beheben.
„Sollten Angreifer eine dieser schwerwiegenden Schwachstellen ausfindig machen, verheißt das nichts Gutes für das Unternehmen“, so Jarno Niemelä, Lead Researcher, F-Secure Labs. „Die Tatsache, dass wir Tausende Probleme dieses Kalibers entdecken konnten, deutet bei den betroffenen Unternehmen auf einige gravierende Sicherheitsdefizite hin. Entweder werden hier keine Patch-Management-Programme verwendet oder Teile des Netzwerks bei der administrativen Wartung schlichtweg vergessen. Die zugrunde liegenden Ursachen machen dabei aber keinen Unterschied, denn das Resultat ist und bleibt eine Unmenge von Angriffsmöglichkeiten, die nur darauf warten, von Hackern ausgenutzt zu werden.“
Das Ergebnis unterstreicht dabei ein weiteres Mal die oft angemahnte Bedeutung grundlegender Sicherheitsmaßnahmen und deren gewissenhafte Umsetzung. Laut dem amerikanischen Computer-Emergency-Readiness-Team ließen sich mit einigen, unkomplizierten Schritten – wie dem Patchen anfälliger Software – bis zu 85 Prozent gezielter Cyberattacken verhindern.
Während die Untersuchung Tausende von schwerwiegenden Schwachstellen ausfindig machen konnte, stellten sich falsch konfigurierte Systeme als weitaus häufigeres Problem heraus. Die zehn meist erkannten Sicherheitsschwächen waren von niedriger oder mittlerer Schwere, machten aber 61 Prozent aller identifizierten Schwachstellen aus. Und obwohl diese Probleme nicht dieselbe Gefahr wie Hochrisiko-Sicherheitslücken darstellen, ermutigen sie Hacker, das Netzwerk weiter zu testen und nach anderen Schwächen zu suchen.
„An sich betrachtet, erscheinen diese Probleme nicht besonders kritisch, aber Hacker sehen in jeder dieser kleineren Schwachstellen das Cyber-Security-Äquivalent einer Einladung zum Angriff“, warnt Rüdiger Trost, Sicherheitsexperte bei F-Secure. „Über viele dieser Schwachstellen kann man einfach nur durch bloßes Surfen im Web stolpern. Und selbst wenn ein Hacker keinen Angriff geplant hatte, die Versuchung, dieser 'Einladung' zu folgen und zu schauen, was passiert, ist groß. Im besten Fall können sich Unternehmen über eine informative E-Mail freuen, die sie über das Problem unterrichtet. Im schlimmsten Fall sind Cyberkriminelle bereits dabei, erste Aufklärungen in Vorbereitung eines gezielten Angriffs durchzuführen.“
F-Secure Radar ist eine nach dem PCI Security Standards Council zugelassenen Approved Scanning Vendor zertifizierte Softwarelösung zur Erkennung von Schwachstellen. Sie verleiht laut Anbieter den Firmen einen vollständigen Überblick ihres Netzwerks und identifiziert alle Sicherheitslücken, über die Angreifer in ihre Systeme eindringen könnten. Für eine umfassende Netzwerkanalyse verfügt F-Secure Radar über verschiedene Scan-Optionen und stuft erkannte Sicherheitslücken automatisch nach ihrem Risikograd ein. Mithilfe der Scans können sich Unternehmen eine Übersicht all der in ihr Netzwerk integrierten Systeme verschaffen, ihre Web-Applikationen – und selbst maßgeschneiderte, auf individuelle Netzwerke und Infrastruktur abgestimmte APIs – überprüfen und veraltete, nicht gepatchte oder falsch konfigurierte Teile ihres Netzwerks identifizieren.
„Das Angebot von F-Secure Radar ermöglicht es Unternehmen, für eine ganzheitliche Cyber-Security-Strategie essenzielle Sicherheitsmaßnahmen zu implementieren“, so Rune Kristensen, Leiter des F-Secure Radar Service. „Die lückenlose Übersicht des eigenen Netzwerks ist unabdingbar für eine erfolgreiche Angriffsprävention, und wir planen, Radar in dieser Hinsicht noch weiter zu verbessern, Firmen noch mehr Überblick zu verschaffen. Viele Unternehmen lagern zum Beispiel gewisse Dienstleistungen an externe Partner aus, ohne aber dabei entsprechende Sicherheitsvorkehrungen zu treffen oder sogar ihre eigenen IT-Mitarbeiter zu informieren. Wir arbeiten daran, unsere Scans auch auf in Unternehmensnetzwerke integrierte Fremdleistungen auszuweiten, und somit einen dringend benötigten Einblick in die Anfälligkeiten der Datenversorgungskette zu bieten, durch die Unternehmen Angriffen ausgesetzt werden könnten.“
Unternehmen können F-Secure Radar entweder als selbst-verwaltetes Lizenzprodukt erwerben oder sich für den von F-Secure angebotenen Service entscheiden. Zusätzlich zu den in vereinbarten Abständen durchgeführten Netzwerk-Scans, bietet der Service außerdem weitere Unterstützung in Form von ausführlicher Reports und Expertenberatung beim Eliminieren und Minimieren von Sicherheitsschwachstellen. F-Secure Radar bietet sich vor allem für mittlere bis große Unternehmen an und wird in Deutschland in Kürze verfügbar sein, so F-Secure.
Dem Wissen um Sicherheitsprobleme folgen oft keine Maßnahmen
Forscher warnen Unternehmen vor BYOD-Sicherheitslücken
Experiment: Persönliche E-Mails, Online-Banking- und Social-Networking-Daten sind gefährdet
Malware mit mehreren Engines gleichzeitig erkennen
Lesen Sie mehr zum Thema
