Die wichtigsten Erkenntnisse
- Das rasante Wachstum der Sicherheitslücken und die durch KI ermöglichte Erkennung verkürzen die Zeitspanne zwischen der Offenlegung einer Sicherheitslücke und ihrer aktiven Ausnutzung.
- Regelmäßige, disziplinierte Patch-Zyklen tragen dazu bei, das Gesamtrisiko zu verringern und sich auf neue CVEs vorzubereiten.
- Die Wiederherstellung ist für die Ausfallsicherheit unerlässlich, muss jedoch mit zeitnahen Patches einhergehen, um Sicherheitslücken zu beheben.
- Unternehmen sollten KI einsetzen, um die Erkennung und Behebung von Schwachstellen zu beschleunigen, anstatt zuzulassen, dass sich Probleme im Rückstand anhäufen.
- Anbieter, die eine entscheidende Rolle spielen, informieren ihre Kunden schnell und transparent über Sicherheitslücken und geben klare Anleitungen zur Behebung dieser Schwachstellen.
Im vergangenen Jahr ging aus Branchenberichten hervor, dass das jährliche CVE-Volumen im fünfstelligen Bereich lag; das NIST stellte später ein Rekordwachstum bei den CVEs sowie einen Anstieg der Meldungen um 263 % zwischen 2020 und 2025 fest.
Ich erfahre in Echtzeit, welche Auswirkungen das auf ein Sicherheitsteam hat, da ich bei den Telefonaten dabei bin, wenn es passiert. Die altbekannten Fragen – Wie groß ist unser Risiko und wie schnell können wir die Lücke schließen? – ließen früher noch etwas Spielraum. Jetzt tauchen sie schneller auf, als die meisten Teams Personal dafür bereitstellen können. Die meisten Organisationen verfügen über Verfahren zur Reaktion auf Sicherheitslücken. Nur wenige verfügen jedoch über Verfahren, die auf diese Geschwindigkeit ausgelegt sind. Jahrelang richtete die Branche ihre Reaktion auf einzelne Sicherheitslücken aus. Eine CVE wurde veröffentlicht, Schweregradbewertungen folgten, die Anreicherung holte auf, und die Teams führten eine Triage mit einem gewissen Ermessensspielraum durch. Dieser Rhythmus ging von einem menschlichen Tempo bei der Entdeckung aus, doch diese Annahme trifft nicht mehr zu. Dieses Volumen übersteigt bereits die Kapazitäten der Infrastruktur, die zu seiner Erfassung eingerichtet wurde. Das NIST hat mitgeteilt, dass die National Vulnerability Database auf ein risikobasiertes Anreicherungsmodell umgestellt wird, da die Zahl der CVE-Meldungen schneller gestiegen ist, als das Programm sie vollständig verarbeiten kann.
KI verstärkt den Druck wahrscheinlich noch weiter, indem sie Angreifern hilft, Schwachstellen auszunutzen, und es den Verteidigern ermöglicht, Schwachstellen schneller zu identifizieren und zu validieren, als dies mit herkömmlichen Katalogisierungsverfahren bewältigt werden kann. Das Zeitfenster zwischen der Entdeckung einer Schwachstelle und ihrer Ausnutzung wird immer kleiner, und funktionierender Exploit-Code kann bereits erscheinen, bevor ein Patch flächendeckend bereitgestellt wird. Das bricht mit dem alten Modell. Ein strukturiertes Schwachstellenmanagement ist nach wie vor wichtig, doch viele Programme sind auf eine langsamere Ära ausgelegt: Signale erfassen, Risiken einstufen, Verantwortliche zuweisen und dann Abhilfemaßnahmen ergreifen. Wenn sich die Erkennung so stark beschleunigt, geraten selbst disziplinierte Teams ins Hintertreffen, da das Betriebsmodell das Volumen nicht schnell genug bewältigen kann. Das bricht mit dem alten Modell. Die Arbeitsweise muss sich also ändern. Es kommt nicht mehr darauf an, ob Sie eine bestimmte Sicherheitslücke behoben haben, sondern darauf, ob Ihr Unternehmen in der Lage ist, Maßnahmen so schnell umzusetzen, zu überprüfen und Wiederherstellungen durchzuführen, wie es die aktuelle Bedrohungslage erfordert.
Aufnäher auf einer Uhr
Beginnen Sie mit der Kadenz. Die widerstandsfähigsten Unternehmen, die ich kenne, betrachten das Patchen nicht mehr als Unterbrechung, sondern als routinemäßige Wartungsmaßnahme: wöchentlich geplant, mit klarer Zuständigkeit und wie jede andere betriebliche Verpflichtung messbar. Ein vorhersehbarer Rhythmus trägt dazu bei, das Zeitfenster, in dem das gesamte Netzwerk einem Risiko ausgesetzt ist, zu verkürzen und die durch einzelne Sicherheitsmeldungen verursachte „Panikprämie“ zu beseitigen. Wenn Patches wöchentlich installiert werden, sind Unternehmen auf CVEs vorbereitet.
„Kadenz“ bedeutet nicht, alles gleich zu behandeln. Eine Sicherheitslücke, die aktiv ausgenutzt wird – also eine, die in den Katalog der bekannten, ausgenutzten Sicherheitslücken der CISA aufgenommen wird –, löst nach wie vor eine sofortige, außerplanmäßige Reaktion aus. Der wöchentliche Zeitplan bewältigt die Flut an Meldungen routinemäßig, sodass echte Notfälle die gebührende Aufmerksamkeit erhalten, anstatt im Rauschen unterzugehen.
Schließt die Sicherheitslücke, nicht nur die Lücke
Hier liegt der Teil, den die Recovery allein nicht beheben kann. Wenn eine Schwachstelle eine Ressource gefährdet, stellt die Recovery dieser Ressource ohne Behebung der Schwachstelle lediglich den Stand zurück. Die Schwachstelle ist nach wie vor vorhanden und wartet auf den nächsten Angriff. Die Recovery ist wichtig, aber sie ist kein Ersatz für das Schließen der Lücke, durch die der Angreifer eingedrungen ist.
Das bedeutet, dass die eigentliche Arbeit früher erfolgen muss – nämlich an dem Punkt, an dem Schwachstellen entdeckt und behoben werden. KI verändert diese Gleichung auf beiden Seiten. Dieselben Modelle, die einem Angreifer helfen, eine Ausnutzungsmöglichkeit zu erkennen, können einem Anbieter helfen, sie zuerst zu finden. Die Entwicklungsabteilung von Commvault lässt unsere eigene Codebasis durch KI überprüfen, um Schwachstellen bereits vor der Veröffentlichung aufzuspüren, und wir setzen KI ein, um die gefundenen Probleme zu beheben, anstatt sie in ein Backlog zu verschieben. Eine Schwachstelle, die wochenlang in der Warteschlange steht, weil einem Team die Kapazitäten ausgegangen sind, bleibt dennoch eine Schwachstelle. Eine schnelle Erkennung bedeutet nichts, wenn die Behebung nicht ebenso zügig erfolgt.
Stellen Sie höhere Anforderungen an Ihre Lieferanten
Wenn der Zeitraum zwischen der Entdeckung einer Sicherheitslücke und ihrer Ausnutzung nur noch in Stunden gemessen wird, können es sich Kunden nicht leisten, erst von einem Dritten von einer Sicherheitslücke im Produkt ihres Anbieters zu erfahren. Sie müssen es vom Anbieter erfahren – frühzeitig, in verständlicher Sprache und mit einer direkten Antwort auf die Fragen „Bin ich betroffen?“ und „Was muss ich als Erstes tun?“ Fragen Sie jeden wichtigen Anbieter, wie schnell er Schwachstellen offenlegt, wie er betroffene Kunden benachrichtigt, welche Nachweise er für die Behebung vorlegt und wie Kunden überprüfen können, dass die Sicherheitslücke geschlossen ist. Transparenz bei Schwachstellen ist Teil der Resilienz.
Das Zeitalter der „Frontier-KI“ wird nicht von demjenigen gewonnen, der die wenigsten Schwachstellen aufweist. Jedes seriöse Softwareunternehmen wird mehr offenlegen. Der Vorteil liegt bei demjenigen, der das Patchen als fest verankerte Disziplin betrachtet und Recovery als die Disziplin, die es ermöglicht, ein verpasstes Zeitfenster zu überstehen.
FAQs
F: Warum wird das Zeitfenster zwischen der Entdeckung einer Sicherheitslücke und ihrer Ausnutzung immer kürzer?
A:
KI verstärkt den Druck wahrscheinlich noch, indem sie Angreifern hilft, Sicherheitslücken auszunutzen, und Verteidigern dabei unterstützt, Sicherheitslücken schneller zu identifizieren und zu validieren, als herkömmliche Katalogisierungsprozesse dies verarbeiten können. Infolgedessen kann Exploit-Code verfügbar werden, bevor viele Unternehmen Zeit hatten, Patches zu installieren.
F: Warum gewinnen wöchentliche Patch-Zyklen zunehmend an Bedeutung? A: Ein konsequenter wöchentlicher Patch-Zeitplan trägt dazu bei, das Risiko bekannter Sicherheitslücken für das Unternehmen zu verringern. Außerdem ermöglicht er es den Sicherheitsteams, sich unverzüglich auf aktiv ausgenutzte Bedrohungen zu konzentrieren und sich auf neue CVEs vorzubereiten. F: Reicht Recovery aus, um sich vor Cyberangriffen zu schützen? A: Nein. Recovery hilft Unternehmen, den Betrieb nach einem Vorfall wiederherzustellen, doch die Wiederherstellung von Systemen ohne Behebung der zugrunde liegenden Schwachstelle lässt sie weiterhin anfällig für zukünftige Angriffe. Eine effektive Widerstandsfähigkeit erfordert sowohl eine schnelle Behebung als auch eine zuverlässige Recovery. F: Wie kann KI dazu beitragen, das Schwachstellenmanagement zu verbessern? A: KI kann dabei helfen, Schwachstellen früher zu erkennen, Maßnahmen zur Behebung zu priorisieren und den Behebungsprozess zu beschleunigen. Dies ermöglicht es Sicherheits- und Entwicklungsteams, schneller zu reagieren, anstatt zuzulassen, dass Schwachstellen in langwierigen Backlogs ungelöst bleiben.
F: Was sollten Unternehmen ihre Softwareanbieter zum Thema Schwachstellenmanagement fragen? A: Unternehmen sollten fragen, wie schnell Anbieter Schwachstellen offenlegen, wie betroffene Kunden benachrichtigt werden, welche Anleitungen zur Behebung bereitgestellt werden und wie Kunden überprüfen können, ob das Problem vollständig behoben wurde. Transparente Kommunikation ist ein wichtiger Bestandteil der Cyber-Resilienz.
Rajiv Kottomtharayil ist Chief Products Officer bei Commvault.