Unternehmen weltweit haben ihre Sicherheitsstrategien an das NIST-Cybersicherheits-Framework (CSF) angepasst, da es eine gute Möglichkeit bietet, die taktischen Anforderungen moderner Cybersicherheitsteams zu strukturieren. Mit der neuesten Version, CSF 2.0, wurde eine übergreifende Kategorie eingeführt, die bislang stark vernachlässigt worden war: Governance.
Entscheidend ist, dass das CSF nicht unbedingt als eine Anwendung gedacht ist, bei der man „hier anfängt und dort aufhört“. Das Ziel besteht darin, dass Organisationen auf ausgewogene Weise, die den Geschäftsrisiken Rechnung trägt, in Menschen, Prozesse und Technologie im gesamten Rahmenwerk investieren.
Die Schwerpunkte des CSF
„Identifizieren“ ist ein entscheidender Schritt, denn man kann nichts schützen oder Prioritäten setzen, wenn man nicht weiß, was man hat. Was ist entscheidend? Was unterliegt gesetzlichen Vorschriften? Was ist notwendig, damit unser Unternehmen funktioniert und Umsatz generiert?
Die meisten Teams haben mit diesem Aspekt Schwierigkeiten, insbesondere angesichts der weit verbreiteten dezentralen und Schatten-IT. Abgesehen vom CSF verlangen die meisten anderen Cyber-Frameworks und regulatorischen Leitlinien als grundlegenden Schritt die Identifizierung und Bestandsaufnahme von Systemen und Daten.
Bei „Protect“ dreht sich alles um Technologien, die eingesetzt werden, um Angreifern von vornherein den Zugriff auf Daten zu verwehren. Dies umfasst die gesamte Bandbreite an Technologien, von Schwachstellenscannern über Identitäts- und Zugriffsmanagement bis hin zu Antiviren- und Anti-Malware-Lösungen.
Diese Tools müssen ordnungsgemäß konfiguriert und – was am wichtigsten ist – auf allen Geräten und Systemen im gesamten Unternehmen bereitgestellt werden. Das ist jedoch nicht immer der Fall. Manchmal werden Anschaffungen über Unternehmens-P-Karten getätigt und nicht über die IT-Abteilung. Manchmal werden Systeme einfach nicht ordnungsgemäß aktualisiert und laufen daher mit veralteter, anfälliger Software.
Bei „Detect“ geht es darum, Fallen aufzustellen und sicherzustellen, dass Alarme ausgelöst werden, wenn Vorgänge auf ungewöhnliche Aktivitäten hindeuten. Leider verfügen viele Unternehmen über Dutzende von Tools, die Millionen von Warnmeldungen generieren, um Angreifer aufzuspüren, die in ihre Systeme eindringen.
Dieser massive Zustrom von Warnmeldungen, die möglicherweise auf ein tatsächliches Problem hinweisen – oder auch nicht –, kann zu einer „Alarmmüdigkeit“ führen: Man verbringt Unmengen an Zeit damit, möglichen Anomalien nachzugehen, nur um dann festzustellen, dass es sich um Fehlalarme handelte. Dies lenkt zudem die Aufmerksamkeit von anderen Warnmeldungen ab, bei denen es sich möglicherweise um echte Bedrohungen handelt.
Dann gibt es noch die beiden „Rs“ des Rahmenkonzepts: „Respond“ und „Recover“. In diesen beiden Bereichen der Cybersicherheit wird Ihr Können auf die Probe gestellt. Unternehmen werden Opfer von Angriffen werden. Die Frage ist nicht „ob“, sondern „wann und wie schwerwiegend“.
Um bei „Respond“ erfolgreich zu sein, müssen Teams in vielerlei Hinsicht aufeinander abgestimmt sein. Gute Führung, eine solide Strategie und Taktik, hervorragende Dokumentation und Planung sowie das Wichtigste von allem – Übung.
Bei der Reaktion auf Vorfälle werden Sie nicht über sich hinauswachsen, sondern sich auf das Niveau Ihrer Vorbereitung beschränken. Ohne Übung und ohne das Testen der von Ihnen entwickelten Prozesse setzen Sie sich der Gefahr eines möglichen Scheiterns aus – oder zumindest einem höheren Stressniveau, als nötig wäre, wenn ein tatsächlicher Vorfall eintritt.
Bei der „Wiederherstellung“ geht es um die praktische Umsetzung. Nach einem unvermeidbaren Sicherheitsvorfall ist es die Aufgabe aller Mitglieder der Sicherheits- und IT-Teams, die Systeme und Umgebungen wieder in einen einwandfreien Zustand zu versetzen. Dazu müssen Sie jedoch einen Schritt zurücktreten und darüber nachdenken, wie Sie dies sicher und effektiv bewerkstelligen können – ohne dabei die Angreifer und alles, was sie infiziert haben, wiederherzustellen.
Jedes Element muss mit derselben Sorgfalt und Aufmerksamkeit behandelt werden, damit es wirksam ist. Leider ist das nicht immer der Fall. In der Vergangenheit haben Unternehmen den Großteil ihrer Anstrengungen und Investitionen darauf konzentriert, Cybervorfälle zu verhindern, anstatt Technologien, Prozesse und strenge Arbeitsabläufe zu etablieren, die im Falle eines Cybervorfalls einzuhalten sind.
Da sich Daten über hybride Umgebungen verteilen, reicht Prävention allein nicht mehr aus. Unternehmen jeder Größe suchen nach Sicherheit in einer chaotischen hybriden Welt. Sicherheitsverantwortliche und CISOs müssen ihre Strategien anpassen, um eine reibungslose Recovery und Cyber-Resilienz zu gewährleisten, und Verfahren, Prozesse und Technologien rund um Datenqualität und Recovery implementieren.
Ransomware hat die Art der Recovery verändert. Angesichts zunehmender Cyberbedrohungen prüfen Sicherheitsverantwortliche derzeit den Einsatz isolierter Recovery-Umgebungen (IRE), die als saubere und nicht infizierte Standorte für die Recovery dienen sollen. Angesichts der vielschichtigen Natur der Angriffe muss eine solche IRE jedoch mehr sein als nur ein sicherer Ort. Sie ist zwar ein Teil des Recovery-Prozesses, aber nicht alles.
Commvault® Cloud Cleanroom™ Recovery ist ein umfassendes Test- und Failover-Angebot, das eine sichere, neue IRE bereitstellt, die (1) das Testen von Cyber-Wiederherstellungsplänen, (2) die Durchführung forensischer Analysen und (3) die Geschäftskontinuität im Falle einer Sicherheitsverletzung fördert.
Den Schwerpunkt von Präventionsmaßnahmen verlagern und in Gegenmaßnahmen und Recovery investieren
Unabhängig davon, ob man das CSF als Liste betrachtet: Organisationen haben – im Guten wie im Schlechten – entweder ganz oben oder rechts angefangen. Das Problem liegt in der sequenziellen Natur der Arbeit. Die meisten Organisationen kommen gar nicht erst zur „Reaktion“ oder „Wiederherstellung“, weil sie ihre gesamte Zeit und ihr gesamtes Geld für „Schutz“ und „Erkennung“ aufgewendet haben.
Die Tatsache, dass Unternehmen ihr Budget und ihre Ressourcen nicht auf alle Bereiche des CSF verteilt haben, hat dazu geführt, dass Angreifer nach wie vor die Oberhand behalten. Wenn sie Ihre Abwehrmechanismen überwinden und Ihrer Erkennung entgehen, kann das typische Cybersicherheitsteam bei der Reaktion auf Vorfälle zwar hervorragende Arbeit bei der Untersuchung des Vorfalls leisten, aber nur wenig zur Behebung der Folgen beitragen.
Man kann sich nicht immer auf die Backups des IT-Teams verlassen
Da die durchschnittliche Verweildauer von Angreifern in Unternehmen bei 204 Tagen liegt, ist es sehr wahrscheinlich, dass die Angreifer Ihre Backups bereits ausfindig gemacht, infiltriert und möglicherweise manipuliert haben. Darauf werden wir in einem zukünftigen Blogbeitrag näher eingehen, aber es lohnt sich auf jeden Fall, dies an dieser Stelle zu erwähnen. Im Falle von Sicherheitsverletzungen werden nicht nur Ihre Produktionsdaten wahrscheinlich manipuliert, sondern immer mehr Angreifer versuchen auch aktiv, einige der Maßnahmen zu untergraben und zu kompromittieren, die Sie ergriffen haben, um sicherzustellen, dass Sie intakte Datenkopien wiederherstellen können.
Man kann sich nicht darauf verlassen, einfach nur eine IP-Adresse zu sperren
Viele Tools reagieren auf Sicherheitsverletzungen, indem sie IP-Adressen sperren, um Angreifer aus dem Netzwerk zu verbannen. In der Cloud funktioniert das jedoch nicht mehr. Die Angreifer haben legitime Zugangsdaten gefunden oder gekauft und/oder sind in Ihre Identitäts- und Zugriffsmanagementsysteme eingedrungen. Damit sind sie nun zu legitimen Benutzern geworden.
Kurz gesagt: Man kann nichts glauben.
In einer Welt, in der der Begriff „Zero Trust“ nach einem Sicherheitsvorfall häufig verwendet wird, gibt es tatsächlich kein Vertrauen – und das sollte auch so sein. Daten müssen genauestens geprüft und auf Infektionen untersucht werden. Die Infrastruktur muss neu aufgebaut werden, um sicherzustellen, dass nur autorisierte Personen Zugang haben.
Wenn Sie nach Möglichkeiten suchen, die Cyber-Resilienz Ihres Unternehmens zu verbessern, wenden Sie sich bitte an unser Vertriebsteam bei Commvault, um einen Beratungstermin zu vereinbaren. Wir besprechen mit Ihnen alle Elemente, die eine gute Strategie zur Recovery nach Cyberangriffen ausmachen, und passen diese individuell an Ihr Unternehmen an.
