Die Rolle von Gefährdungsbeurteilungen in der Unternehmenssicherheit
Warum eine Kompromissbewertung?
Die Aufgabe der Erkennung und Abwehr von Eindringversuchen wird in der Regel durch Echtzeit-Schutz- und Erkennungssysteme sowie Antivirensoftware in Verbindung mit einer Strategie zur kontinuierlichen Überwachung erfüllt. Eine Kompromittierungs- oder Bedrohungsanalyse unterscheidet sich von der Eindringungserkennung dadurch, dass es sich um eine unabhängige, auf Fakten basierende Bewertung handelt, die Ihre Schwachstellen, verdächtige Verhaltensweisen, mögliche Exploits und Anzeichen für eine erfolgreiche Kompromittierung aufzeigt.
Stellen Sie sich eine Kompromittierungs- oder Bedrohungsanalyse als eine von einer unabhängigen Stelle durchgeführte Prüfung der Sicherheitspraktiken einer Organisation vor, die auf den im Rahmen der Untersuchung gesammelten Beweisen basiert.
Im Rahmen der Bewertung ziehen die Anbieter Experten hinzu, die über umfassendere Befugnisse verfügen, um tiefer in die Materie einzudringen, als dies bei der täglichen Echtzeitüberwachung erwartet wird. Darüber hinaus kommen bei der Bewertung Werkzeuge und Techniken wie die digitale forensische Analyse und die Verhaltensanalyse zum Einsatz, die normalerweise der Reaktion auf Vorfälle vorbehalten sind, sich jedoch besser zur Erkennung von Aktivitäten nach einem Sicherheitsvorfall eignen. Kompromittierungsbewertungen sind die wirksamste Maßnahme der mehrschichtigen Verteidigung, die ein Unternehmen einsetzen kann, um sicherzustellen, dass Schwachstellen bekannt sind und keine Bedrohungen die Abwehrmechanismen überwinden.
Viele Unternehmen verfügen nicht über ausreichende Investitionsmittel für Cybersicherheit oder haben weder die Zeit noch die Ressourcen, um alle erforderlichen Cybersicherheitsmaßnahmen umzusetzen. Diese Unternehmen befolgen die Empfehlungen zur Einhaltung der Compliance-Vorschriften und akzeptieren das verbleibende Risiko oder wälzen es auf ihre Cyberversicherung ab. Für diese Unternehmen sollte eine regelmäßige Bewertung in ihre jeweiligen Strategien zur Risikominderung integriert werden, um sicherzustellen, dass ihre IT-Umgebung nicht durch Angriffe kompromittiert wird, die ausgefeilter sind, als das Unternehmen sie mit seinem derzeitigen Investitionsniveau erkennen kann.
Zudem fällt es vielen Organisationen schwer, eine Aufstockung ihres Budgets oder ihrer Ressourcen zu begründen, wenn der Stand ihrer Sicherheitslage nicht bekannt ist. Eine unabhängige Bewertung der Sicherheitslücken kann bisher unentdeckte Sicherheitslücken aufdecken und damit die notwendigen Belege liefern, um zusätzliche Investitionen in die Sicherheit zu rechtfertigen.
In bestimmten Fällen und Branchen kann eine regelmäßige Kompromittierungsbewertung eine sinnvolle Alternative im Risikomanagement darstellen, wenn eine kontinuierliche Überwachung über MDR zu kostspielig ist.
Ziele für eine erfolgreiche Kompromissbewertung
Über Jahre hinweg gab es Kompromittierungsanalysen nur in begrenzter Form als spezialisierte Dienstleistungen von kleinen, auf Incident-Response spezialisierten Unternehmen. Diese Praxis hat sich rasch ausgeweitet, da öffentlich bekannt gewordene Sicherheitsvorfälle einen Höhepunkt erreichten. Leider variieren die Methoden, Ansätze und die Wirksamkeit dieser Angebote stark, da es bislang noch keine Standardisierung gibt.
Der erste Schritt zur Standardisierung dieser Sicherheitsmaßnahme besteht darin, zu definieren, was eine Kompromittierungsbewertung ist und welche Ziele damit verfolgt werden, damit wir verstehen, wie sie am besten durchgeführt werden kann und welche Mindestanforderungen dafür gelten.
Um breit anwendbar zu sein, sollte die Kompromissbewertung folgende Merkmale aufweisen:
Effektiv – Bei der Erkennung aller bekannten Varianten von Malware, Fernzugriffstools sowie Anzeichen für verdächtiges Verhalten und unbefugten Zugriff.
Schnell – Erfassen Sie ein großes Netzwerk innerhalb weniger Stunden oder Tage mithilfe automatisierter Netzwerkerkennung und standardmäßiger IT-Zugriffsprotokolle, um die Umgebung zu analysieren.
Kostengünstig – Ein durchschnittliches Unternehmen sollte in der Lage sein, diese proaktiv und regelmäßig (d. h. monatlich/vierteljährlich) zu durchführen, wobei der Preis pro überprüftem Endgerät feststeht.
Unabhängig – Die Bewertung sollte sich nicht ausschließlich auf vorhandene Sicherheitsinstrumente oder -mitarbeiter stützen.
Fortgeschrittene Angebote und Lösungen sollten in der Lage sein, die Erkennung neuer Schwachstellen (Solarigate, „ Kaseya “ usw.) sowie unbekannter (Zero-Day-)Malware-Varianten noch weiter zu vertiefen. Jede gewählte Bewertungsmethodik sollte diese Anforderungen erfüllen und darauf abzielen, Zeit, Kosten und Effektivität zu optimieren. Sie sollte effizient und kostengünstig genug sein, um in einem Unternehmen durchschnittlicher Größe mindestens einmal im Monat durchgeführt zu werden. Darüber hinaus sollte die Wirksamkeit der Bewertung nicht wesentlich von unterschiedlichen Sicherheitsstacks, Überwachungs- und Protokollierungsverfahren oder Netzwerktopologien abhängen. Dank dieser Unabhängigkeit ist die Bewertung für ein regionales Unternehmen mit nur grundlegenden Schutzmaßnahmen wie einer Firewall und einem Antivirenprogramm ebenso nützlich wie für eine hochentwickelte globale Institution, die über ein eigenes Security Operations Center verfügt.
Letztendlich besteht das Ziel der Untersuchung darin, kritische Schwachstellen, böswillige Aktivitäten oder schädliche Logik schnell zu identifizieren – und nicht darin, eine vollständige forensische Untersuchung durchzuführen. Nach Abschluss der Untersuchung sollten Empfehlungen für geeignete Maßnahmen ausgesprochen und die gesammelten Beweise für das Unternehmen aufbereitet werden, damit dieses eine Untersuchung der Grundursache oder der hinter dem Angriff stehenden Akteure durchführen kann.
